非公路行业中的《网络弹性法案》：ETAS助力制造商实现CRA合规

《网络弹性法案》（CRA）为整个欧盟范围内含有数字组件的产品制定了强制性网络安全标准。尽管汽车行业受《联合国第155号规程》（UN-R155）和ISO/SAE 21434等法规约束，但这些豁免条款并不适用于非公路（OHW）领域。因此，农业、建筑及特种机械制造商必须在产品的整个生命周期内履行新的网络安全义务。在ETAS最新发布的白皮书《非公路行业如何应对《网络弹性法案》》中，ETAS专家阐述了企业如何落实这些监管要求并构建可扩展的安全架构。

在这份白皮书中，迈克尔·弗里德里希（Michael Friedrich）和托比亚斯·克莱因（Tobias Klein）阐述了开发符合CRA要求的产品，并在其漫长的运营生命周期内维持产品安全所需的措施。他们重点探讨了基于风险的网络安全流程、漏洞管理以及可扩展的安全基础设施。

下载白皮书

贯穿整个产品生命周期的整体安全方法

CRA要求采取全面的安全设计方法，涵盖开发、部署和运营阶段。这种方法将网络安全措施融入产品生命周期的各个环节，使制造商能够应对不断演变的威胁。该白皮书指出了几个关键推动因素：

基于风险的网络安全

CRA要求建立基于风险的网络安全生命周期，包括风险评估、默认安全设计、数据和接口保护、日志记录以及安全的软件更新机制。

加密安全基础设施

现代网络安全依赖加密身份和设备专属密钥，以实现安全认证、软件更新和数据保护。完善的密钥管理能够防止攻击在产品间扩散，并支持法规合规。

SBOM 与漏洞管理

软件物料清单（SBOM）能够全面展示产品中的软件组件。它为漏洞管理、依赖关系追踪以及供应链网络安全风险的持续监控提供基础。

安全更新与设备群监控

网络安全必须贯穿产品整个生命周期。安全的 OTA 更新、日志记录和监控能力有助于管理访问权限、检测异常行为，并高效部署安全补丁。

CRA合规的实际支持 ETAS通过提供包括咨询、入门套件、密钥管理、SBOM服务和漏洞管理服务在内的全面服务组合，为制造商提供支持。其目标是帮助组织建立高效的产品网络安全生命周期，并确保开发和运营流程的安全性。ETAS凭借其在监管严格的汽车行业积累的丰富专业知识，为非公路领域提供解决方案。
对于非公路车辆制造商而言，CRA 正逐渐成为维持欧盟市场准入的关键要求。与此同时，现代网络安全理念使 OTA 更新、远程诊断和车队管理等功能成为可能。本白皮书阐述了如何通过可扩展的安全架构和集成式诊断平台来满足监管要求。