虹科前瞻 | 欧盟CRA新规下，CAN网络合规之路该如何走？
CAN（控制器局域网）作为汽车、工业自动化等领域的核心通信网络，其网络安全合规性随欧盟《网络弹性法案》（Cyber Resilience Act，CRA）的落地实施成为行业关注重点。
2026年2月，国际CiA（CAN in Automation）协会就欧盟《网络弹性法案》对CAN网络技术的影响发布了一份重要声明，明确了CAN相关产品的CRA合规要求、安全等级适配方案及行业推进方向。该声明不仅为欧盟市场的CAN设备供应商提供了合规指引，也为国内CAN产业链企业出海、完善产品网络安全设计提供了重要参考。
CiA协会声明
核心立场与合规指引
在欧盟市场上投放使用的CAN相关产品，除相关网络安全要求已被欧盟专用立法覆盖的情形外，均需遵守欧盟《网络弹性法案》。多数情况下，企业可自行开展法案要求的风险评估，仅当产品被归为法案附件三中定义的关键产品时，需按特殊要求执行评估。
目前尚未确定哪项未来标准能最贴合欧盟《网络弹性法案》的合规要求。现阶段，CAN互联设备的客户普遍要求供应商遵守《工业自动化和控制系统安全》IEC 62443标准系列中规定的特定安全等级（SL）。
CiA协会认为，CAN网络通常可通过少量投入达到安全等级2（SL2）要求；若要实现安全等级3（SL3），则需在CAN数据帧（数据链路层实体）或CANopen报文（应用层实体）层面采取包含加密技术在内的更高级安全措施。
CiA协会经评估得出，物理访问受到严格限制的CAN网络，其安全等级通常可达到SL2或更低，无需额外增设网络安全措施。此结论的前提是，与其他网络连接的网关功能及外部接口已通过防火墙实现防护，或直接关闭相关接口（如联合测试行动小组制定的JTAG接口）。 |
若物理访问的严格限制难以落实，网络安全措施也并非必须采用加密技术。CiA协会认为，按照欧盟《网络弹性法案》及IEC 62443标准系列要求，部署安全监控实体是一种高效的安全措施 —— 该实体可扫描通信中的异常行为，检测并上报网络攻击。这一措施能降低未被发现的网络攻击带来的整体风险，对风险评估结果产生积极影响，同时也体现了纵深防御的安全理念。
若确有必要采用加密技术，其应用范围可限定于核心功能。尽管安全的软件更新机制可能是满足《网络弹性法案》合规要求的必备项，但在多数情况下，其他安全功能的应用可简化为实现CAN节点的安全身份认证及设备配置保护（如通过密码实现）。
上述核心安全功能目前正由CiA协会高层协议（HLP）网络安全特别兴趣小组（SIG）研讨，相关内容拟纳入CANopen CC及CANopen FD技术规范。
背景信息
技术基础与CRA实施细则
2024版ISO 11898-1标准中规定的CAN数据链路层协议（CC、FD及XL），以及CANopen CC/FD（CiA 301/CiA 1301）等标准化高层协议，均未内置网络安全防护措施。企业可根据实际所需的安全等级，为相关协议增设网络安全措施。因此，CAN互联设备供应商、CAN网络相关产品厂商及CAN网络设计人员，需结合目标应用场景评估确定所需的安全等级。
长期以来，CiA协会始终致力于研发各类安全措施，防范CANopen通信遭受意外误用及蓄意操纵，同时也针对CANopen设备与网络的未授权访问问题制定防护方案。例如，CANopen对象字典的访问权限可通过密码进行管控；CiA协会还拟在CANopen报文规范中增设认证签名功能，通过该签名可验证报文的合法来源，且在服务数据对象（SDO）传输过程中，可确认相关SDO分段的完整性及未被篡改属性。
部分CANopen技术规范已包含专用安全措施，如CiA 710通用CANopenBootloader、CiA 417-1/CiA 814-1电梯专用CANopenBootloader。
欧盟《网络弹性法案》是欧盟首部针对含数字元件或软件的产品制定最低网络安全要求的法规。CAN接口的实现既包含数字元件（协议控制器），也涉及软件（如高层协议栈、应用程序），因此相关产品需开展系统及应用层面的风险评估。
欧盟《网络弹性法案》已于2024年12月11日正式生效，在所有欧盟成员国适用并分阶段落地实施：2026年6月11日起，合格评定机构（CAB）可开展法案合规性评估；2026年9月11日起，企业需在72小时内将产品的漏洞及安全事件上报指定主管机构；2027年12月11日起，所有相关产品均需全面满足法案的各项合规要求。 |
以下CAN互联产品不受《网络弹性法案》管辖：免费开源软件、非营利性产品；此外，若医疗产品、车辆、体外诊断设备、民用航空及海洋设备、国家安全领域相关产品（如军用设备）已有欧盟专用网络安全法规覆盖，也不在该法案的适用范围内。
根据开放系统互连（OSI）模型，企业可结合所需安全等级及预期攻击场景，在七层协议的任意一层部署安全控制措施，该要求已在1989版ISO 7498-2中标准化。针对CAN XL数据链路层，CiA协会正研发CANsec（CiA持有的欧盟商标）安全方案，该方案作为网络安全扩展功能，其规范将纳入CiA 613-2（CAN XL附加服务——第2部分：CANsec数据平面）。
结语
国内产业借鉴与启示
此次CiA协会发布的声明，清晰界定了欧盟CRA框架下CAN网络的合规边界与实操路径，为全球CAN产业链企业提供了可落地的安全设计与合规评估指引。
对于国内而言，一方面，我国是CAN设备的生产和出口大国，汽车、工业自动化等领域的企业出海欧盟需紧跟CRA分阶段实施节奏，参照IEC 62443安全等级标准完善产品网络安全设计，同时关注CiA在CANsec、CANopen协议安全升级等方面的技术进展，提前布局合规化改造。
虹科PCAN系列设备
在此过程中，科学的风险评估与严谨的合规验证是关键环节，需要借助专业的测试工具作为支撑。虹科长期专注于CAN总线相关解决方案，在CAN/CANopen一致性测试、网络安全验证等领域积累了成熟的工具链和技术经验，可为企业提供相关支持。
另一方面，声明中提及的纵深防御、按场景适配安全等级、核心功能加密等理念，也与国内工业控制系统网络安全的建设思路高度契合，可为国内工业通信网络安全标准的细化、企业安全防护体系的搭建提供有益参考，推动国内CAN网络技术在安全化、标准化方面的进一步发展。
