CRA与AI法案协同效应
基本原则
BAUER GROUP受三项互补的欧盟网络安全法规约束。为避免重复工作并最大限度减少内部合规负担，需系统性地利用协同效应：CRA和AI法案合规中的现有流程将被NIS2引用而非复制。
协同效应概览
| NIS2措施 (§30) | CRA覆盖范围 | AI法案覆盖范围 | NIS2特有内容 |
|---|---|---|---|
| 第1项 – 风险管理 | 部分（产品相关风险评估，第13条第2款） | Art. 9（AI风险管理） | ISMS、组织级风险分析 |
| 第2项 – 事件管理 | 第14条（被积极利用的漏洞、严重事件） | — | 运营事件、§32报告 |
| 第3项 – 业务连续性 | — | — | 完全NIS2特有 |
| 第4项 – 供应链 | 第13条第5款、附件I第II部分第1项（SBOM） | — | 服务商评估 |
| 第5项 – 漏洞管理 | 第13条第8款、附件I第II部分（产品CVE） | — | 基础设施CVE |
| 第6项 – 有效性评审 | — | — | 完全NIS2特有 |
| 第7项 – 培训 | — | Art. 4（AI素养） | 网络卫生、BSIG特有 |
| 第8项 – 密码学 | 附件I第I部分第2项(e)（产品加密） | Art. 15（AI网络安全） | 基础设施加密 |
| 第9项 – 访问控制 | — | Art. 14（人类监督） | 人员安全、访问概念 |
| 第10项 – MFA与安全通信 | — | — | 完全NIS2特有 |
详细协同效应
漏洞管理 (第5项)
| 方面 | CRA流程 | NIS2补充 |
|---|---|---|
| CVE监控 | CRA: Trivy + Grype + OSV-Scanner | 基础设施扫描器（网络、服务器） |
| SBOM | CRA: CycloneDX生成 + Cosign签名 | 引用CRA SBOM |
| 补丁管理 | CRA: 产品更新 | NIS2: 基础设施补丁（操作系统、固件） |
| 信息披露 | CRA: ENISA报告 | NIS2: BSI报告 |
报告义务 (第2项 / §32)
| 方面 | CRA (Art. 14) | NIS2 (§32 BSIG) |
|---|---|---|
| 触发条件 | 产品中被积极利用的漏洞或严重安全事件 | 运营中的重大安全事件 |
| 预警 | 24小时内向协调CSIRT和ENISA报告 | 24小时内向BSI报告 |
| 详细报告 | 72小时 | 72小时 |
| 结案 | 纠正措施可用后14天（漏洞），1个月（严重事件） | 72小时报告后1个月 |
| 报告机构 | ENISA统一报告平台 | BSI报告平台 |
并行报告义务
一个事件可能同时触发两项报告义务。统一的初始评估流程会自动检查是否需要CRA和/或NIS2报告。报告模板设计为相互兼容。
供应链 (第4项)
| 方面 | CRA流程 | NIS2补充 |
|---|---|---|
| 软件依赖 | CRA: 依赖策略 + SBOM | 引用CRA |
| 服务提供商 | — | NIS2: 托管、云、支持合作伙伴 |
| 审计权 | CRA: 供应商审计 | NIS2: 服务商审计 |
工作量优化
通过系统性利用CRA基础工作，NIS2特有的额外工作量可降低至：
| 领域 | 无协同效应时的工作量 | 有协同效应时的工作量 | 节省 |
|---|---|---|---|
| 漏洞管理 | 完全从头建设 | 仅需基础设施补充 | ~60% |
| 事件响应 | 完全从头建设 | 仅需运营事件 + §32 | ~40% |
| 供应链 | 完全从头建设 | 仅需服务商评估 | ~50% |
| 培训 | 完全从头建设 | 引用AI素养 (Art. 4) | ~20% |