9 月 11 日起欧盟 CRA 报告义务适用，Matter 厂商准备好了吗？

2026 年 9 月 11 日起，欧盟《网络韧性法案》（Cyber Resilience Act，CRA）相关报告义务将正式开始适用。对于进入欧洲市场的智能家居与 IoT 企业而言，产品安全正在从“一次认证”走向贯穿设计、生产、上市、运营与漏洞响应的全生命周期管理。

9 月 11 日，是欧盟《网络韧性法案》（CRA）实施过程中的一个重要节点。

从这一天起，制造商需要针对主动遭利用的漏洞（actively exploited vulnerabilities）和严重影响产品安全的事件履行报告义务：在获知相关情况后，需提交 24 小时内的早期预警、72 小时内的主要报告，并根据后续处置进展完成最终报告。

CRA 把“产品安全”，推向生命周期管理

过去，智能硬件企业谈安全，更多关注的是产品上市前的测试、认证和漏洞修复。

但 CRA 的逻辑正在发生变化：

产品上市只是安全管理的起点，而不是终点。

作为一项面向带有数字元素的硬件和软件产品的欧盟网络安全法规，CRA 将网络安全要求延伸至产品的设计、开发、生产、上市和维护等阶段。

从产品设计开始，企业需要考虑网络安全风险；进入生产阶段，需要确保安全机制能够被正确实施；产品上市后，需要提供安全使用信息、明确支持周期，并持续处理产品及其组件中的漏洞；一旦发现主动遭利用的漏洞或严重安全事件，还需要按照规定进行报告。

这意味着，CRA 真正带来的变化，并不只是多了一项“漏洞上报”要求，而是正在改变企业看待产品安全的方式：

从“产品上市前是否安全”，转向“产品整个生命周期是否持续安全”。

这一变化，对于正在快速发展的 Matter 智能家居生态尤其值得关注。

为什么 Matter 是一个值得关注的典型场景？

Matter 正在推动不同品牌、不同生态之间实现更加标准化的设备互联。但对于一台真正进入家庭网络的智能设备而言，“能够连接”只是第一步。

一个更基础的问题是：

连接到家庭网络中的，究竟是不是一台真实、可信、经过认证的设备？

这也是 Matter PKI 体系存在的重要意义。

在 Matter 生态中，设备身份建立在一套完整的 PKI 信任体系之上：

PAA → PAI → DAC

其中，PAA 作为信任根，为 Matter 设备认证体系提供信任基础；PAI 负责建立设备证书签发链；最终，每台设备拥有自己的 DAC，用于设备身份及其认证信息的验证。

换句话说：Matter 首先解决的是“设备能否被可信地识别和接入”。

而 CRA 进一步提出的问题则是：

设备被识别为可信之后，这种安全状态能不能持续？

设备从工厂下线，到首次激活、接入家庭网络，再到长期运行、软件更新和漏洞修复，实际上都处于一个持续变化的生命周期中。

这两个问题，正在设备生命周期中逐渐汇合。

Matter PKI，不只是“发一张证书”

如果把 Matter PKI 简单理解为“给设备签发一张 DAC”，实际上只看到了设备身份体系的一部分。

对于大规模智能硬件生产而言，PKI 真正需要解决的是一整套从身份生成到设备落地的工程问题。

例如：

设备证书如何签发？
密钥如何保护？
DAC 如何在生产线上规模化签发和烧录？
设备进入市场后，相关身份和安全能力又如何持续管理？

这些问题共同构成了 Matter 企业需要面对的 Lifecycle Security（生命周期安全）。

也正是在这里，Matter PKI 与 CRA 的要求产生了交汇。

需要明确的是，Matter PKI 并不等于 CRA 合规。

CRA是一项产品网络安全法规，关注的是产品从设计到上市后维护的整体安全责任；Matter PKI 则主要解决设备身份、认证等问题。

但从技术能力来看，可信设备身份、密钥保护、身份认证以及规模化证书管理，可以成为企业建立生命周期安全能力的重要基础。

Matter 厂商，现在应该提前准备什么？

CRA 的主体义务将于 2027 年 12 月 11 日全面适用，届时产品网络安全要求、符合性评估、技术文档、上市后维护等义务将进一步系统落地。

对于计划进入欧洲市场的 Matter 智能家居厂商而言，现在更值得关注的，已经不只是“产品什么时候需要做 CRA 合规”。

而是：自己的产品安全能力，是否已经从一次认证，走向覆盖整个生命周期？

其中，至少可以从三个方面开始准备：

第一，建立产品安全与漏洞管理机制。

明确漏洞发现、风险评估、修复、更新和报告流程，为 9 月 11 日之后的报告义务做好准备。

第二，完善设备身份与 PKI 基础设施。

从设备证书、密钥管理到生产线量产烧录，建立可规模化的可信身份体系。

第三，将安全能力融入产品生命周期。

不要把安全停留在认证阶段，而是将设备身份、证书、密钥、漏洞、安全更新等能力纳入从研发、生产到运营的全过程。

对于 Matter 企业来说，这实际上意味着：从“做出一台能连接的设备”，走向“生产一台身份可验证、安全状态可维护、生命周期可管理的设备”。

从 Matter 认证，到设备生命周期安全

随着 CRA 逐步进入实施阶段，智能硬件的安全责任正在从产品上市前进一步延伸至上市后的长期运营。

作为亚太地区首家拥有全球可信 CA 资质的 Matter Open PAA，亚洲诚信TrustAsia 长期深耕 PKI 与数字信任领域，为 Matter 设备厂商提供从设备身份建立、DAC 证书签发与管理到量产烧录的一体化 Matter PKI 解决方案，帮助企业降低自建 PKI 基础设施的技术、运营与合规成本。

TrustAsia Matter PKI 解决方案主要由 SaaS 化 Matter PKI 平台与 IoT TrustManager 量产工具构成，分别解决“证书与信任体系”和“设备身份如何安全进入量产烧录”的问题。

在云端，TrustAsia Matter PKI 平台提供灵活的证书签发与管理能力，支持多种证书生成和交付方式，满足不同制造环境的需求。

在生产端，IoT TrustManager 则进一步将设备身份能力延伸至量产环节。通过软硬件一体化设备，TrustAsia 支持 Matter 设备密钥、工厂数据及二维码的安全生成、管理与烧录，将 PKI 能力与实际生产线连接起来，助力厂商在量产阶段全面提升生产效率与数据安全水平，帮助企业实现从“证书签发”到“设备身份安全落地”的完整闭环。

对于面向全球市场的 Matter 企业而言，这意味着可以将更多精力聚焦于产品研发和市场拓展，而将复杂的 PKI 基础设施建设、证书管理与量产身份落地交由专业的数字信任服务体系支撑。