meok-eu-cra-mcp

meok-eu-cra-mcp

MEOK AI Labs 提供的欧盟《网络韧性法案》（CRA，Regulation (EU) 2024/2847）合规 MCP 服务，详情参见 MEOK AI Labs。

面向 CRA 的 MCP——欧盟《网络韧性法案》（Reg (EU) 2024/2847）。适用于所有在欧盟销售且包含软件的产品，包括 AI 系统、IoT 设备和独立软件。

日期	事项
2024 年 12 月 10 日	CRA 生效
2026 年 9 月 11 日	漏洞报告义务开始实施（第 11 条、第 14 条）
2027 年 12 月 11 日	全面适用——所有产品都必须合规

CRA 与 NIS2（针对运营产品的组织）和 EU AI Act（针对产品的 AI 能力）并行适用。大多数受监管实体都需要同时遵守这些法规。

涵盖的 4 项义务

义务	内容	影响
第 6 条 + 附件 I——基本网络安全要求	基于风险的安全设计、投放市场时不存在已知漏洞、默认安全配置、加密、完整性、抗 DoS 能力、缩小攻击面、安全更新机制	所有在欧盟市场销售的产品。处罚：1500 万欧元或全球营业额的 2.5%
第 10 条——漏洞处理	在产品整个生命周期内，或至少 5 年（以较短者为准），识别、记录、测试、修复、披露漏洞并免费提供更新	所有产品。针对遭主动利用漏洞向 ENISA 报告的 24 小时要求将于 2026 年 9 月 11 日开始实施
第 13 条——合格评定	投放市场前进行自我评定（I 类）或由公告机构评定（II 类）	所有产品。附件 III 中的 5 个关键类别（密码管理器、身份验证、VPN、网络管理、SIEM、PKI 颁发机构）必须通过 II 类评定
附件 I §2——SBOM + 默认安全	软件物料清单（CycloneDX 或 SPDX）、启用自动更新、提供生命周期结束时的恢复出厂设置程序	所有产品。SBOM 是事实上的机器可读合规证据

安装

pip install meok-eu-cra-mcp
meok-eu-cra-mcp

工具（5 个）

cra_overview()

CRA 框架概要：适用范围、关键日期、处罚机制、豁免项（医疗器械、机动车、航空、无商业用途的 FOSS），以及 CRA 与 NIS2、EU AI Act、GDPR 和《产品责任指令》2024/2853 的并行适用关系。

classify_cra_obligations(places_product_on_eu_market, has_internet_connectivity, handles_personal_data, is_critical_infrastructure, is_iot_or_connected_device, is_ai_system_under_ai_act, is_free_and_open_source_no_commercial, is_medical_device, is_motor_vehicle, is_aviation_product)

根据产品特征映射 4 项 CRA 义务、关键性类别（I 类自我评定与 II 类公告机构评定）、ENISA 报告要求、24 小时报告时限，以及 2027-12-11 全面适用日期。首先处理豁免项：医疗器械、机动车、航空、无商业用途的 FOSS。

audit_cra_pipeline(tenant_id, has_sbom, sbom_format, has_security_txt, has_vulnerability_disclosure_policy, has_signed_releases, has_auto_update_mechanism, has_data_removal_procedure, has_threat_model, has_ssa_or_penetration_test, has_secure_sdlc_documented, sample_sbom_components)

审计现有产品流水线中的 CRA 合规缺口。检查是否缺少 SBOM、security.txt、VDP、签名发布包、自动更新、数据移除程序、威胁模型、安全测试和安全 SDLC。还会扫描示例 SBOM 组件，查找已知存在漏洞的软件包（log4j 1.x、openssl 1.0.1 等），并在发现时标记为严重。

sign_cra_attestation(entity_name, product_name, criticality_class, compliance_score, has_sbom, has_vdp, has_signed_releases, contact_email)

通过规范的 meok-attestation-api /sign 端点生成哈希链式 CRA 合规证明。返回 cert_id、signature、verify_url、audit_url、issued_at、expires_at、kid。需要设置 MEOK_API_KEY 环境变量（免费套餐：每天 1 个证书；Pro 套餐：£199/月，无限量）。

crosswalk_cra_to_nis2()

CRA ↔ NIS2 并列对照：10 个条目（范围、生效日期、主管机构、报告、漏洞处理、安全默认、SBOM、罚款、合格评定、渗透测试周期）。实用说明：CRA 面向产品；NIS2 面向组织。云托管 AI 产品受 CRA 监管（作为产品），云服务提供商则受 NIS2 监管（作为重要实体）。一次评估，满足两套制度，但交付物不同。

诚实说明限制

• 不会实际生成 SBOM：你需要提供 SBOM（或先运行 Syft/cdxgen）。MCP 会告知格式和标准
• 不会提交 ENISA 报告：ENISA 单一报告平台是独立门户（URL 由 ENISA 确定，将于 2026 年 9 月 11 日开放）
• 不会联系公告机构：公告机构由成员国指定；你需要找到所属类别对应的机构
• 不会实际进行合格评定：MCP 会告知评定程序（自我评估还是公告机构评估）和交付物（符合性声明、CE 标志，以及根据附件 VII 编制的技术文档）
• 不集成《网络安全法案》：MCP 不会从欧盟《网络安全法案》认证数据库提取信息；你需要自行提供证书

测试

cd eu-cra-mcp
pip install mcp httpx pytest
pytest tests/test_eu_cra_mcp.py -v

涵盖全部 5 个工具及排除项的 11 项测试，无需调用在线 API。

跨区域对照

• NIS2 — crosswalk_cra_to_nis2() 涵盖差异最大的 10 项要求
• EU AI Act — 高风险 AI 必须同时满足 CRA（产品网络安全）和 EU AI Act（AI 风险管理）的要求
• GDPR — CRA 第 6(g) 条关于数据最小化的要求与 GDPR 第 5(1)(c) 条重叠
• 《产品责任指令》2024/2853 — 违反 CRA 可作为产品存在缺陷的证据
• UK — UK《2022 年产品安全与电信基础设施法案》（PSTI）涵盖类似领域；UK NCSC 是主管机构
• US — 没有联邦层面的同类法规；California SB-327（IoT 安全）和 NY DFS Part 500（金融服务）最为接近

另请参阅

• meok-pipl-mcp — 中国 PIPL（数据方面；本项目涵盖产品方面）
• meok-fda-samd-mcp — US FDA SaMD（医疗健康领域专用，结构类似）
• meok-eu-ai-act-mcp — EU AI Act（面向 AI 产品的 CRA 配套法规）
• meok-owasp-agentic-mcp — OWASP Agentic Top 10（安全测试模式）
• meok-compliance-gateway — 13 个框架的对照
• meok-attestation-api — 规范的 SIGIL 签名服务（Ed25519，kid d4cb0eaa）

许可证

MIT — MEOK AI Labs，UK Companies House 16939677。