为欧盟《网络韧性法案》做准备：一项针对四家瑞典企业的研究

《Information and Software Technology》：Preparing for the EU Cyber Resilience Act: A study with four Swedish companies

　　

摘要

背景：

欧盟网络弹性法案（EU CRA）为含数字元素的产品引入了网络安全义务，包括安全开发、漏洞处理、软件供应链透明度和技术文档要求。

目标：

调查企业如何为EU CRA做准备，特别关注软件供应链安全、产品安全、漏洞管理以及合规证明准备情况。

方法：

我们对位于瑞典的两家大型企业（LEs）和两家中小企业（SMEs）的九位从业者进行了定性访谈研究。访谈内容涵盖当前安全实践、EU CRA解读、合规规划、证据资料以及组织挑战。我们使用主题分析法对这些资料进行了分析。

结果：

四个案例显示EU CRA准备程度参差不齐。两家大型企业案例在不同程度上复用了现有标准，但其中一个在整合新产品网络安全流程时仍处于碎片化状态。两家中小企业案例从被动的开发者主导安全到嵌入工程流程的文档化工作流程不等。在各案例中，相关资料虽然存在，但并非总是作为可复用的合规证据来维护。

结论：

虽然各企业为EU CRA做准备的策略有所不同，但我们针对从业者、工具提供商和监管机构提出建议，以支持未来的法规合规工作。

引言

网络弹性法案（EU CRA）为投放欧洲市场的含数字元素产品引入了横向网络安全义务[1]。它将欧盟网络安全监管从基础设施和服务层面的关注扩展至产品级别的安全要求，要求制造商在设计、开发、生产、交付和维护全生命周期中解决网络安全问题。对于构建或集成软件的企业而言，这使得安全开发、软件供应链透明度、漏洞处理和技术文档成为核心合规关注点。

EU CRA将分阶段实施。漏洞和事件报告义务将于2026年9月开始生效，其余大部分义务则从2027年12月起适用[1]。这些截止日期使得准备工作成为一个运营问题。企业需要建立漏洞接收、分诊、责任归属、报告和与主管机构沟通的流程。它们还需要证据证明哪些安全活动被执行、由谁执行、针对哪个产品版本以及使用了哪些资料。从这个意义上说，EU CRA准备不仅关乎拥有安全控制措施，还关乎使这些控制措施可被证明[1]。

先前的研究阐明了EU CRA的多个法律、架构和技术方面。现有研究将该法规讨论为社会技术性和符合性挑战[2]，将EU CRA义务映射至需求和技术控制[3]，并分析了漏洞协调与披露[4]；而其他研究则专注于软件物料清单（SBOM）和软件供应链安全[5]、[6]、[7]、[8]。然而，我们仍然缺乏关于企业在执法前如何准备的实证证据——他们建设了哪些能力、如何分配责任、以及如何将日常安全工作转化为与合规相关的证据。

本文通过一项访谈研究（即定性调查）[9]、[10]填补了这一空白，研究对象为四家受EU CRA义务约束的瑞典企业。我们访谈了两家大型企业（LE）和两家中小企业（SME）中来自安全、开发、验证、架构和技术领导岗位的九位从业者。本研究聚焦于与EU CRA相关的安全开发和供应链实践，特别关注漏洞管理和证据准备情况。

本文在三个方面提供了实证证据。首先，与主要解读EU CRA要求或研究SBOM采纳的先前的研究不同，本文展示了企业在执法前如何落实风险评估、第三方组件管理、漏洞处理和事件响应。其次，本文分析了这些机制是否与责任归属、可重复的工作流程和可追溯的合规证据相连接。第三，本文定性比较了此类机制在所研究的大型企业和中小企业中的表现差异。

本文其余部分结构如下。第2节综述相关工作。第3节描述研究设计。第4节报告研究发现。第5节回答研究问题并讨论研究发现的启示，第6节讨论其局限性。最后，第7节总结全文。

各节摘要

相关工作

本节综述了与EU CRA相关挑战的文献，以及关注第三方组件透明度的文献——后者是EU CRA中最受研究的方面之一。

方法论

我们调查EU CRA准备情况，涉及当前的安全开发和软件供应链安全实践、企业通过证据证明合规的能力，以及大型企业和中小企业环境在EU CRA认知和落实方面的差异。

具体而言，我们回答以下研究问题（RQ）：

RQ1.
安全实践。 所研究的企业目前采用了哪些与EU CRA相关的安全开发和软件供应链安全实践？

研究发现

本节报告我们的研究结果。我们首先概述不同企业的背景（第4.1节），然后总结从我们的分析中得出的EU CRA相关实践（第4.2节）。

第4.3节呈现从EU CRA准备讨论中浮现的主题。最后，在第4.4节中，我们比较了各企业如何处理EU CRA的一个重要方面：漏洞管理。用于推导这些发现的编码手册可在附件中获取。

讨论

本节回答研究问题，将结果与先前的研究进行比较，并为从业者提供启示。

局限性与可信度

我们主要通过可信性、可迁移性、依赖性和可证实性标准来讨论研究的可信度[33]、[34]。为使这些标准在本访谈研究中更具可操作性，我们还采用Maxwell关于描述性和解释性有效性的观点作为实用视角，以审视本研究中的两个主要风险：一次未录音访谈中可能出现的细节丢失，以及对从业者部分陈述可能存在的过度解读[20]。研究报告的撰写遵循了

结论与未来工作

EU CRA为将含数字元素产品投放欧洲市场的企业引入了义务。这些义务涉及供应链安全、漏洞管理和披露，以及更广泛的"安全设计"理念。企业目前正在为EU CRA于2027年12月全面适用之前满足这些义务做准备。在本文中，我们调查了两家位于瑞典的大型企业和两家中小企业如何为EU CRA做准备。我们通过

作者贡献声明（CRediT）

Oleksii Novikov：撰写——审阅与编辑，撰写——初稿，可视化，验证，项目管理，方法论，调查研究，形式分析，数据整理，概念构思。Davide Fucci：撰写——审阅与编辑，验证，指导，项目管理，方法论，调查研究，形式分析，数据整理，概念构思。Daniel Mendez：撰写——审阅与编辑，验证。Oleksandr Adamov：撰写——审阅与编辑，验证。

生成式AI及AI辅助技术在论文撰写过程中的使用声明

作者使用了OpenAI的ChatGPT来辅助识别相关文献、协助论文结构和组织安排，以及帮助改善作者论述的清晰度和表达。作者还使用了OpenAI开发的本地GPT-OSS模型来辅助开发和验证访谈主题、帮助在访谈记录中定位引用语句，以及支持分析资料的整理。这些工具并未被用作

资金来源

本研究由知识基金会（KKS）通过SESAM项目（编号20230087）资助。

利益冲突声明

作者声明，他们没有已知的竞争性经济利益或人际关系，这些利益或关系可能影响本文所报告的工作。

Oleksii Novikov|Davide Fucci|Daniel Mendez|Oleksandr Adamov

Blekinge Institute of Technology, Valhallav?gen 1, Karlskrona, SE-371 79, 瑞典