产品场景与本页关注点
若NAS以本地设备交付，但支持远程访问、应用安装或云账户绑定，则需核实软件物料清单、更新签名机制、漏洞接收渠道及第三方组件版本。企业版与家用版在权限模型、日志保留和远程服务默认状态上可能不同，应按实际交付配置分别整理资料，不预设客户已采用某一方案。
围绕NAS的操作系统、账户权限、远程访问、应用商店、开源组件、更新机制、日志和漏洞接收流程建立产品安全资料包。
适用范围与法规边界
欧盟《网络韧性法案》(EU) 2024/2847适用于带有数字元素并投放欧盟市场的产品，按分阶段日期实施。制造商需要结合产品功能、软件与远程数据处理方案、供应链角色和支持期准备风险评估、技术文件、漏洞处理及相关流程。自2026年9月11日起适用的特定主动利用漏洞和严重事件报告义务，需要与后续全面适用要求分开核对。
CRA不是一张独立通用证书，也不能仅凭渗透测试或漏洞扫描报告证明全部义务已满足。是否属于产品范围、是否为重要或关键产品、报告主体与时间节点均应按实际产品和角色确认。无线、电气安全、数据保护及行业专门法规可能另行适用。
建议先准备的资料清单
- 操作系统与固件版本清单，含各版本发布说明、更新方式及回滚机制描述，便于核对版本控制。
- 账户权限与远程访问配置说明，含默认账户、角色划分、多因素认证支持情况及远程服务开启条件。
- 应用商店或插件清单，含第三方应用来源、权限申请范围及与主系统的接口调用关系。
- 开源与第三方组件清单，含组件名称、版本、许可证类型及已知漏洞跟踪方式，供供应链版本核对。
- 漏洞接收与处理流程记录，含报告渠道、内部评估步骤、修复发布方式及用户通知机制说明。
项目评估流程与版本核对
- 第一步：梳理NAS实际交付形态，区分本地设备、云服务与混合模式，明确各数字元素的责任边界和资料范围。
- 第二步：汇总操作系统、应用商店和第三方组件版本信息，建立软件物料清单并标注版本控制与更新策略。
- 第三步：整理账户权限、远程访问和日志配置说明，核对默认设置与用户可调整项，记录待核验事项。
- 第四步：建立漏洞接收与处理文档，说明报告渠道、评估流程和修复发布方式，并纳入版本变更记录。
常见风险与补件原因
- 软件物料清单不完整，第三方组件版本与许可证信息缺失，导致供应链版本核对困难，影响资料完整性。
- 远程访问默认开启或权限模型描述不清，可能使账户权限与日志资料无法反映实际交付配置。
- 漏洞接收渠道未文档化或更新机制说明不足，导致漏洞处理流程无法追溯，增加后续核验不确定性。
拟沟通的交付物与费用影响因素
可交付资料包括：NAS软件物料清单与版本控制记录、账户权限与远程访问配置说明、应用商店及第三方组件清单、更新机制描述、漏洞接收与处理流程文档、日志配置说明及版本变更记录。上述资料供项目预评估使用，具体责任边界和待核验事项需结合实际交付方式确认。
实际交付物、费用和周期以产品范围、已有资料、约定项目及确认方案为准；本页资料清单是预评估建议，不表示每一项均为法定要求。结果取决于产品实际情况与主管机构要求。
FAQ：采购与产品负责人常问的问题
NAS的CRA资料准备应从哪些数字元素开始？
建议先梳理NAS操作系统、应用商店和第三方组件版本，形成软件物料清单，再补充账户权限、远程访问和更新机制说明。漏洞扫描报告可作为参考，但不能替代对数字元素、供应链版本和漏洞处理流程的完整资料整理。
企业版与家用版NAS的资料有何不同？
企业版与家用版可能在默认权限、远程服务状态和日志保留上不同。应按实际交付方式分别整理账户权限、远程访问和更新资料，并注明版本差异。云服务与本地设备的责任边界需结合交付模式核对，不预设统一方案。
漏洞接收与处理流程应记录哪些内容？
建议记录漏洞报告渠道、内部评估步骤、修复发布方式和用户通知机制，并保留版本变更记录。扫描或渗透测试可提供输入，但不等于全部漏洞处理义务。资料应体现从接收到修复的流程，便于后续核验与版本追溯。
官方来源与核验记录
核验日期 2026-09-29。法规适用以主管机构现行文件为准；资料准备建议与法定义务应分别理解。
下一步：先提交现有资料
向广东省科证检测认证（集团）有限公司说明产品型号、目标市场、项目阶段和实际遇到的问题；如尚无完整资料，可以先提供产品照片和功能说明。
咨询该产品的资料评估 · 查看检测认证服务专题 · 科证官网