欧盟CRA进入实施期，国产MCU出海为什么不能只看芯片安全？

2026年9月17日，兆易创新GD32 MCU公布面向欧盟《网络弹性法案》（CRA）的安全合规方案，通过安全启动、固件更新、加密及身份认证等能力，帮助采用GD32的终端厂商应对欧盟市场的网络安全要求。CRA主要义务将在2027年12月11日起全面适用，而针对已被利用漏洞和严重安全事件的报告义务，已于2026年9月11日开始实施。

这件事对电子制造业的影响，不只是“MCU增加几个安全功能”。真正发生变化的是：一款联网硬件要进入欧盟市场，网络安全开始从软件功能变成贯穿设计、生产、上市和维护全过程的问题。

安全启动、加密、OTA，最终都要落到一块板上

过去选择MCU，厂商更关注性能、功耗、接口、成本和供货。CRA实施后，网络安全能力的重要性进一步提高。

欧盟要求产品制造商开展网络安全风险评估，并在产品的规划、设计、开发、生产、交付和维护阶段考虑相关安全要求，同时在支持期内持续处理漏洞。

落到硬件上，安全启动、密钥存储、身份认证、安全通信和OTA升级，都需要芯片、软件和外围电路共同完成。

因此，MCU具备安全功能只是第一步。

如果终端还需要配置存储、通信、电源管理或其他安全器件，主控板的器件数量和连接关系也可能随之增加。对于空间有限的工业终端、智能家居、机器人和可穿戴设备，如何把这些功能集成进去，会进一步影响PCB布局和PCBA设计。

CRA不会直接规定PCB工艺，却会改变整机开发方式

这里需要区分一个概念：CRA并没有规定联网产品必须使用HDI，也没有直接给PCB提出统一的层数、线宽或阻抗指标。

不同产品最终采用什么PCB，仍然取决于芯片封装、器件数量、接口速度、尺寸和应用环境。

但当安全功能进入硬件设计，部分高集成度产品可能需要在有限面积内增加更多器件和连接。如果普通PCB已经无法满足布局空间，HDI才会成为一种工程选择。

真正困难的不是“为了CRA换一种PCB”，而是增加安全功能之后，原来的尺寸、成本和可靠性要求依然不能丢。

这也会把压力传递到激光微孔、层间对准、电镀填孔、线路制造以及后续SMT等环节。PCB复杂度是否提高，要根据具体产品判断，而不能简单由CRA直接推导。

合规开始从“出厂检测”延伸到整个产品生命周期

CRA更值得关注的一点，是它并不把网络安全理解成产品上市前做一次检测。

欧盟要求制造商确定产品支持期，并在支持期内持续处理漏洞；从2026年9月11日起，对于已被主动利用的漏洞和影响产品安全的严重事件，制造商已经需要按照规定进行报告，其中早期预警时限为知悉后的24小时。

这让硬件开发中的版本管理变得更加重要。

哪一版PCB用了什么器件、哪一批PCBA对应什么固件、后续硬件修改是否影响软件和安全功能，都需要更清晰地管理。

对于PCBA制造而言，价值也不只是“把元器件焊上去”，而是减少硬件版本、物料替换和生产变更带来的不确定性，让终端企业能够更好地管理产品生命周期。

聚多邦目前可提供PCB、SMT、BOM配单及PCBA一站式制造服务，并支持1—40层PCB、1—5阶HDI以及相关场景下的高速差分阻抗控制。对于采用国产MCU进行新品开发的项目，这类制造能力更适合承担从研发打样、版本迭代到后续批量生产之间的工程衔接。需要强调的是，RoHS、REACH、UL等要求与CRA属于不同的法规或合规体系，具备相关体系和制造能力并不等同于终端产品已经满足CRA。

国产芯片出海，下一关是“芯片+整机”一起合规

兆易创新此次围绕GD32建立CRA安全能力，释放出的信号很清楚：国产MCU参与海外竞争，比较的不再只有算力、价格和供货。

芯片企业需要提供安全能力，终端厂商需要完成风险评估和产品设计，软件团队负责漏洞处理与持续更新，PCB和PCBA则负责把硬件方案稳定实现出来。

过去国产替代更多回答“有没有自己的芯片”；进入海外市场之后，还需要回答另一个问题：使用这颗芯片做出来的整机，能不能满足目标市场从上市到维护阶段的一整套规则。

对PCB和PCBA行业来说，CRA带来的机会并不是出现一种所谓“CRA PCB”，而是终端产品开发越来越强调软硬件协同、版本管理和批量制造一致性。

当国产MCU继续进入工业控制、智能家居、机器人等海外市场，真正更有价值的制造能力，会是把芯片、安全功能、PCB和PCBA稳定连接起来，让一套合规设计能够从研发样机顺利走向批量产品。