在我们上一篇博客中，我们阐述了 OEM 不能忽视网络安全，因为合规性和监管要求正在迅速演变。若不顺应这一转变，长此以往会给您带来影响。声誉和/或财务层面都会受影响。
自然而然，这就引出了下一个问题：OEM 应该采用哪些合规框架与监管规范？
您需要注意以下三项：NIS2、网络弹性法案 (CRA) 和机械法规。无论您身在世界何处，您都有很大可能会在某个时候受到这些法规的影响，并且需要遵守。
本博客旨在帮助您更好地理解这些框架，并为您详细介绍：
根据我们的经验，我们开始看到两类截然不同的 OEM 正在涌现。
有三项法规值得了解，了解它们之间的关系会有所帮助。
*关键实体和重要实体共享相同的核心网络安全风险管理控制措施和事件报告时间表，但两者的监管方式存在显著差异。
NIS2 对关键设施安全保障提出了期望。CRA 将这种期望延伸到构成它们的组件。并且，《机械法规》专注于确保设备安全。对于 OEM 而言，一个核心焦点将是《网络弹性法案》。
CRA 要求在每个阶段都确保安全：设计、部署、执行和维护。其核心，可归结为三个问题。如实回答，即可明晰自身现状。
不只是您的产品，更是您的组织。您能否服务好自己的市场，提供支持，并以自己愿意信守的标准来运营？
最简单的理解方式就是将其看作您的网络安全文化。网络安全是否已成为贵组织的一部分，就像安全在 15-20 年前成为制造业文化的一部分那样？
这是两个值得区分清楚的行业术语。OEM 需要在此证明，在整个设计和开发过程中都考虑了网络安全，从而获得 CE 标志并满足 IEC 62443 合规要求。
这包括它的设计方式、连接方式，以及人们如何通过物理或远程方式连接到它。
这意味着它在构建时尽可能剔除非必要组件和挂钩。机械设备不会处于完全开放状态，交由下游用户自行加固防护。
这是强制性的。这也是 OEM 最容易低估的一点。
您可以在产品发货当天验证其不含病毒，但您将如何长期跟踪新出现的漏洞呢？ 洞通常在攻击者获取设备版本后、寻找入侵途径时暴露出来。
这意味着您的安全态势需要持续在线。您清楚自己售出了什么产品，也了解威胁情报和漏洞报告所反映的风险情况。现在，您有责任帮助那些向您采购机器的客户。否则可能会引发更多问题。
关于问题三，您还需要注意另外一点：此义务伴随机器的整个产品生命周期，或在其生产期间内最长持续十年。
假设示例：您的 OEM 每年出货一百台机器。到十年期满时，您需要持续承担合规义务的设备将达到1000台。 并且每台机器都安装了若干设备。 比如说有100件这样的设备。 这意味着您必须能够跟踪漏洞和产品更新，并将其映射到您已运送到多个地点的超过100,000个端点。所有这一切都涉及上千台机器，您需要了解、跟踪和报告它们的版本和漏洞状态。
接下来，加上人工成本。它会根据您的规模进行调整，而且并非无足轻重。正在应对这一问题的欧洲 OEM 告诉我们，追踪工作的负担是巨大的；而那些已经找到简化方法的公司则节省了大量时间。
这种工作量会让人面临一个艰难的决定。您可以将此视为现状，并将其整合为您产品、功能和服务的核心能力。或者您也可以把它当作一件麻烦事，打勾完事然后抛之脑后。
选择第二种方式，隐患将会随之而来。毫无疑问，CRA将会改变OEM市场。问题是，你站在变革的哪一边。
对于北美的 OEM 和机器制造商来说，他们很容易会将《网络弹性法案》归为“欧洲问题”。但是，观察其发展轨迹很重要。
如果您向欧洲销售产品，或者您的客户这样做，那么该要求会通过采购订单传递给您。
如果您的业务严格限于北美地区，那么联邦政府已经开始提高各行业和政府部门的网络安全要求，这表明该要求将继续扩展到其他行业。无论它是否会如期而至，大方向都不是减少责任。
生命周期是关键的差异化因素。监控您的机器是否存在漏洞，并将补丁交付给您的客户，这一点至关重要。这类工作可以被自动监控，并为您生成特定的补丁。
它的回报不仅仅是降低风险。如此高的可见性还可让您和您的客户持续了解每台机器的状况。到了五年或十年的时候，您的客户就会知道哪些机器需要更换或升级；而所有这些都有证据支持。
这也为 OEM 开辟了新业务线与增长机会。也让您相比竞争对手更具安全优势——竞争对手无法提供追踪或记录来佐证其安全承诺。
法规和合规框架可能会令人不知所措。在开始时，有四点注意事项可供参考。
发布时间 2026年10月12日
您可能还对以下内容感兴趣
