01产品设计与默认安全
对应附件 I 第 1 部分的基本要求，共 12 项（意译）。
1. 风险评估设计产品时，是否基于网络安全风险评估确定了安全要求？
2. 出货时无已知可被利用漏洞产品上市前，是否扫描并处理了已知的可被利用漏洞？
3. 安全的默认配置出厂默认配置是否安全，并且可以恢复到原始状态？
4. 安全更新机制是否有安全更新机制，包括可默认开启、用户可关闭的自动更新，并在有更新时通知用户？
5. 认证与访问控制是否有认证、身份与访问管理，防止未授权访问，并能发现可能的未授权访问？
6. 数据保密存储和传输中的敏感数据是否加密？
7. 数据与程序完整性数据、指令、程序和配置是否能防止被未授权篡改，例如固件签名、安全启动？
8. 数据最小化是否只收集和处理实现产品功能所必需的数据？
9. 关键功能的可用性遭遇攻击（如拒绝服务）时，关键功能能否保持？
10. 缩小攻击面是否关闭了不必要的外部接口和服务，例如调试口、开放端口？
11. 安全日志与监控是否记录与安全相关的内部活动，并可由用户选择关闭？
12. 数据清除与转移用户能否安全、方便地永久清除数据和设置，并安全转移到其他产品？
02漏洞处理
对应附件 I 第 2 部分的漏洞处理要求，再加支持期，共 9 项（意译）。
13. 组件清单（SBOM）是否维护了包含第三方组件的清单，至少覆盖顶层依赖，并为机器可读格式？
14. 及时修复漏洞发现漏洞后，能否及时修复并提供安全更新？
15. 定期安全测试与评审是否定期对产品做安全测试和评审？
16. 公开已修复的漏洞发布更新后，是否公开说明已修复的漏洞，包括描述、严重程度和修复指引？
17. 协调漏洞披露政策是否制定并执行协调漏洞披露政策？
18. 漏洞报告渠道是否提供联系方式，方便外部人员报告漏洞？
19. 安全分发更新是否有安全分发更新的机制，例如签名校验、安全通道？
20. 及时、免费地提供更新安全更新是否及时、免费提供给用户，并附带说明？
21. 确定并公示支持期是否确定了产品的支持期（一般不少于 5 年，除非产品预期使用时间更短）并向用户说明？
本工具对 CRA 做了意译和简化，是初步自查，不构成法律意见或合规认证。具体义务请以法规原文（Regulation (EU) 2024/2847）、协调标准及贵司法律顾问意见为准。