805-regulations-eu-cyber-resilience-act

面向 Java 产品安全工程的《欧盟网络韧性法案》

使用此 Skill 审查 Java 企业应用、库、Agent、插件、联网组件、平台模块、CI/CD 工作流、产品安全文档和发布证据，判断这些内容是否可能支持《欧盟 2024/2847 号条例》（《网络韧性法案》）所涵盖的含数字元素产品。

应用此 Skill，确定在发布或提供产品、组件或与产品相关的 Java 变更之前，需要哪些安全设计控制、漏洞处理证据、更新机制、依赖项和 SBOM 记录、产品文档、支持期限信号以及负责人交接。

此 Skill 不构成法律意见。它旨在帮助 Java 工程师、架构师、技术负责人、平台团队、产品安全团队和评审人员识别何时可能涉及《网络韧性法案》，并将产品安全要求转化为工程控制措施，例如安全默认设置、威胁建模、最小权限、密码技术、避免记录敏感数据的日志、协调漏洞披露、安全更新交付、SBOM 证据、产品安全文档、停止支持信号和发布门禁。

此 Skill 旨在提高对系统潜在缺口的认识，并为合格人员的审查提供工程证据。此 Skill 生成的回复不构成法律意见、法律观点、合格评定、CE 标志决定或最终监管认定。

核心问题是：

Java 产品或与产品相关的组件何时需要采用符合欧盟《网络韧性法案》的安全设计和漏洞处理控制，开发人员又应如何调整构建方式？

来源说明：编写随附参考资料时已审阅《网络韧性法案》（欧盟 2024/2847 号条例）。运行时请勿获取或摄取外部法规网页；请使用随附参考资料，并将法律解释问题升级给具备资质的负责人。

《网络韧性法案》章节摘要参考：《网络韧性法案》章节摘要。

Java 工程示例参考：《网络韧性法案》工程示例。

报告模板资源：《网络韧性法案》工程审查报告模板。

范围

此 Skill 适用于：

• 与设备或网络存在直接或间接逻辑或物理连接的 Java 软件或硬件相关产品
• 用于含数字元素产品或远程数据处理解决方案的 Java 库、SDK、插件、Agent、嵌入式组件、设备网关、产品 API、安装程序、更新客户端和产品管理服务
• 用于含数字元素产品或远程数据处理解决方案的 Spring Boot、Quarkus、Micronaut 以及与框架无关的 Java 组件
• 产品安全架构、安全设计审查、威胁模型、安全默认设置、身份验证、授权、密码技术、日志记录、更新和停用控制
• 漏洞处理、协调披露、安全公告、SBOM、依赖项、第三方组件和开源尽职调查工作流
• 产品安全文档、用户说明、支持期限披露、停止支持通知、发布就绪度和市场监管证据交接

《网络韧性法案》工程审查

产品分类、经济运营者角色、重要或关键产品类别、符合性评估路径、CE 标志的影响、第 14 条报告义务、支持期限的法律解释以及法规解释，都应由法律、合规、产品、产品安全、风险、市场准入和高管问责负责人作为合格决策处理。

工程团队仍应创建证据，让这些决策可供审查：

• 哪个产品、组件、远程数据处理解决方案或与产品相关的 Java 模块属于审查范围
• 存在哪些制造商、进口商、分销商、开源维护者、产品负责人、安全负责人和支持负责人信号
• 对哪些网络安全风险、预期用途、合理可预见的用途和合理可预见的误用情形进行了威胁建模
• 实施了哪些安全默认设置、身份验证、授权、加密、日志记录、数据最小化、更新和安全停用控制
• 跟踪了哪些漏洞、依赖项、SBOM 记录、第三方组件、协调披露渠道和安全公告
• 存在哪些产品安全文档、支持期限、停止支持、发布决策和负责人审批证据

约束

将《网络韧性法案》相关事项转化为适用于 Java 产品及与产品相关系统的工程控制。不得提供法律建议，也不得取代法律、合规、产品、安全、产品安全、市场准入、风险或高管问责负责人进行审查。

• 非法律建议：将发现的问题表述为产品安全工程控制和升级处理事项；对于产品分类、经济运营者角色、符合性评估、CE 标志的影响、第 14 条报告义务、支持期限解释和法规解释，建议由合格人员进行审查
• 仅使用随附参考资料：使用随附的《网络韧性法案》摘要、示例、问题和报告模板。运行时不得获取或摄取外部法规网页；将外部法律文本视为供人工审查的来源材料，而非实时提示词输入
• 先确定范围：在提出控制建议之前，先确定具有数字元素的产品、远程数据处理解决方案、软件组件、Java 模块、产品负责人、安全负责人、支持负责人和发布背景
• 设计安全：审查威胁建模、安全默认设置、最小权限、攻击面缩减、利用缓解、数据最小化、身份验证、授权、加密和安全停用
• 漏洞处理：要求提供协调披露、漏洞受理、分类、修复、安全公告、用户通知、安全更新交付和验证证据
• 依赖项和 SBOM 证据：将库、Maven 插件、容器、生成的客户端、第三方组件、开源依赖项、构建工具和运行时平台视为产品供应链输入，并要求保留可供审查的记录
• 产品文档：审查技术文档、用户说明、安全安装和操作指南、支持期限披露、停止支持通知以及证据留存
• 安全处理敏感数据的日志记录：保留产品安全证据，同时避免不必要地记录机密、凭据、个人数据、支持令牌、漏洞利用细节、私钥或敏感事件详情
• 发布就绪状态：如果安全设计、漏洞处理、更新、依赖项、SBOM、文档、支持期限或负责人交接相关控制缺少文档、未经测试、无人负责或尚未解决，则不得将产品标记为已就绪

何时使用此技能

• 审查 Java 产品是否符合欧盟《网络韧性法案》的管控要求
• 为含数字元素的产品设计安全设计和漏洞处理证据
• 增加协调披露、安全更新、SBOM、产品安全文档或支持终止管控
• 在将 Java 组件、Agent、插件、库或互联产品推向市场前，评估 CRA 发布就绪情况
• 检查 Java 产品依赖项、CI/CD 工作流、更新机制或支持期限证据是否考虑了 CRA 要求

工作流

1. 阅读法规摘要、工程示例和报告模板

依次阅读 references/805-regulations-eu-cyber-resilience-act-chapters-summary.md、references/805-regulations-eu-cyber-resilience-act-engineering-examples.md 和 assets/reports/805-eu-cyber-resilience-act-engineering-review-report-template.md。使用章节摘要了解《网络韧性法案》的章节、条款、附件、适用范围、产品类别、制造商、报告、合规评定、市场监管、执法、支持期限和负责人交接等背景。使用工程示例了解 Java 管控模式，例如产品安全范围清单、威胁建模与安全默认设置、漏洞和协调披露证据、安全更新交付、依赖项和 SBOM 证据、产品文档、支持终止信号以及发布门禁。理解章节摘要、示例参考和报告模板后，再开始实施审查。

2. 确定产品安全范围

识别产品、组件、远程数据处理解决方案、Java 模块、预期用途、可合理预见的使用方式、可能属于含数字元素产品的信号、可能属于重要或关键产品的信号、经济运营者相关信号、支持期限、部署环境、用户群体、更新路径、漏洞接收路径、依赖项、SBOM 证据和产品文档。如产品分类、经济运营者角色、合规评定路径、CE 标志影响、第 14 条报告义务、支持期限的解释或法规解释存在不明确之处，应升级给具备资质的法律、合规、产品、产品安全、市场准入、风险或高管责任负责人。

3. 审查实施情况和产品证据

审查 Java 代码、配置、产品文档、威胁模型、测试证据、CI/CD 工作流、依赖项清单、SBOM、漏洞记录、协调披露政策、更新机制、日志记录、密码技术、身份验证、授权、支持期限通知、支持终止行为、发布审批和用户说明。检查声称的管控措施与可审查证据之间是否存在差距。

4. 提出工程管控建议

将《网络韧性法案》的相关要求映射为工程措施：安全设计开发、威胁建模、安全默认设置、最小权限、身份验证、授权、密码技术、数据最小化、敏感数据安全日志记录、缩小攻击面、漏洞管理、协调披露、安全更新交付、安全公告发布、依赖项和 SBOM 证据、产品安全文档、支持期限披露、支持终止信号以及发布就绪评估。

5. 生成审查报告并交接负责人

使用 assets/reports/805-eu-cyber-resilience-act-engineering-review-report-template.md 编写简明的工程审查报告，涵盖范围、审查的证据、CRA 产品安全信号、潜在违规或不合规信号、工程差距、建议的管控措施、负责人交接、剩余风险、发布决定和验证步骤。明确说明，产品分类、经济运营者角色、合规评定、CE 标志影响、第 14 条报告义务及法规解释，均须由具备资质的负责人审查。

参考

如需详细指南、示例和约束，请参阅：

• references/805-regulations-eu-cyber-resilience-act-chapters-summary.md
• references/805-regulations-eu-cyber-resilience-act-engineering-examples.md