网络弹性法案说明：安全设计在软件开发中的意义

网络弹性行动不仅是欧盟企业的核心议题，更在欧洲市场迅速成为所有优先战略企业的战略价值所在。随着合规要求延长至2027年，相关团队及安全部门已开始就设计实践、漏洞开发及能力建设提出严峻挑战。

与众多侧重文档化及审计的法规不同，克雷是安全软件设计与开发合规的核心。通过在设计阶段就投资于"安全设计"功能，企业能够更快实现转型，产品安全性也得以加速提升。

网络恢复法所需事项

《网络恢复法》(CRA)为投放欧盟市场的绝大多数产品引入了基本网络安全要求，涵盖软件、操作系统、连接设备及嵌入式系统等数字组件。

更重要的是，将会有变化。有事可做的地方。

安全已不再是运行时或运营层面的问题。在CRA中，安全责任贯穿整个生命周期，涵盖设计与开发义务、架构、实施、维护及漏洞处理等环节。

工程与安全这对领导者意味着：

• 产品必须按照安全设计原则进行制造。
• 已知的漏洞应尽可能预防并有效处理。
• 组织必须证明其具备安全开发实践。

简而言之，合规性与赚钱和维持运营的方式密不可分。

汽车申请对象

欧盟虽已引入，但后续将全面实施。全球所有组织均可借此向目标市场推出数字产品。具体包括以下几点：

• 服务适用对象：产品的远程数据处理、配置、关注软件、SaaS供应商
• 数字或联网产品制造商
• 进口商、分销商及零售商
• 包含第三方数字组件的组织

对于跨国企业而言，汽车准备工作不涉及跨境开发要求及区域合规活动。

组织现在开始的原因

主要里程碑：

• 2026年9月— 漏洞报告义务启动
• 2027年12月— 需要完全合规

从文件上看，该时间线可能显得宽松。实际上，开发创新往往以季度为单位推进，但其成效通常需要数年时间才能显现。

安全设计如下。必备事项如下。

• 语言及整体领域中数千项开发技术
• 考虑安全性的设计：对日常操作的预期
• 从事后应对式脆弱性改善转向预防性措施
• 安全开发实践得到一致应用并产生可衡量的证据

这些变化体现在"入职流程"、"架构决策与软件开发生命周期"以及"同理心文化"方面。若组织将改革推迟至2026年底，将面临监管压力被迫进行改造，这将是一条成本更高且破坏性更强的道路。

罚款可达1500万欧元或全球年度销售额的2.5%。根据第64条规定，可能违反网络安全要求。

等到2026年底就太迟了。

CR是

许多规定都讨论了政策和文件。CRA通过将软件设计与合规性实践相结合，更进一步。这不仅满足了治理要求，更提升了对原则和运营环境的期望。

<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<

• 对常见漏洞类别的理解
• 安全设计及架构原则应用
• 防止构建不安全的模式
• 负责任地处理第三方及开源组件

在解决安全工具问题方面发挥着重要作用。但编写代码时，工具的弱点就会暴露出来。要实现安全设计，必须从一开始就预防漏洞。

仅凭工具无法完成这项工作。基于安全的设计结果取决于人类的能力。

#安全代码：战士为汽车做准备的方法

存在安全代码战士，其学习路径已根据CRA进行调整，组合如下：

• A汽车标准任务附录I，第一部分技术脆弱性要求映射
• A安全设计概念系列
• 语言脆弱性实践学习

请参阅SCW所有汽车对齐学习内容的单页指南。SCW不提供合规认证，而是通过汽车支持服务，提供符合安全开发原则的系统化、可学习的能力提升方案。

现在就开始准备购车吧

CR反映了行业的发展方向。基于设计工程的安全性已成为基本预期。当前投资于开发者能力的工会能够为合规奠定有利基础，并长期构建出具有卓越韧性、低风险的平台。

有关Secure Code Warrior如何帮助实现合规性的详细信息，请参阅知识库。#Secure Code > Warrior如何帮助实现合规性