欧盟CRA法案生效，芯片IP供应商面临合规挑战

欧盟《网络韧性法案》于2024年10月通过，旨在统一数字产品网络安全基线。该法案覆盖所有向欧盟市场供应数字产品的公司，无论注册地或开发地。针对芯片与IP供应商，规则明确将单独销售的半导体纳入监管范围，包括微处理器、微控制器及FPGA等。制造商在集成第三方组件时须履行尽职调查，而IP供应商则可能需提供安全评估结果及假设条件。

CRA的强制报告阶段将于2026年9月生效。当产品漏洞被积极利用或发生严重安全事件时，制造商须通过单一报告平台提交早期预警、详细通报及最终报告。适用哪一类半导体及承担何种义务，取决于产品核心功能及其投放市场的方式。这一分类判断直接影响企业的合规责任，且承诺随分类变化而调整。

为应对合规要求，安全证据的整理需区分设计阶段与最终合规评估。供应商应识别密钥、配置等资产，定义保护边界，并记录资产流向。虽然Arteris提供了准备指南及相关验证工具，但评估方法并未被强制指定，企业需根据自身情况构建可追溯的安全证据链。

下一个关键节点是2027年12月11日，届时更广泛的网络安全与文档要求生效，CE标志将成为必需。在完整要求落地前，硬件与IP供应商宜尽早与客户确认面向欧盟的产品版本，以对齐项目排期。安防产业的供应链透明度与安全标准正随监管收紧而重塑，合规能力将成为硬件生态的核心竞争力。