刚刚发布的 Qt 6.12 是最新的 Qt 长周期支持版（LTS），它让 Qt 框架成为 Qt Group 首个依据欧盟《网络弹性法案》（CRA）签发欧盟符合性声明的产品。
Qt 6.12 符合已知的 CRA 要求，是 Qt Group 自该法规于 2024 年 12 月首次生效以来持续投入的成果。距离 CRA 全面生效的期限只剩一年多一点，时机比以往任何时候都更重要。CRA 的各项义务意味着相当大的工作量，我们希望所有客户此刻都已着手准备。Qt 框架的这一版本现在就已满足要求，我们的目标是让客户有足够的时间来更新到新版本，从而为产品满足 CRA 标准做好准备。
我们也收到越来越多客户的提问，想了解 Qt 框架在 CRA 合规中扮演什么角色。本文将回答这个问题，同时回答另一个问题：Qt 能帮你满足 CRA 要求，还是需要你自己来完成？
Qt 6.12 符合欧盟《网络弹性法案》要求
Qt Group 已正式声明 Commercial Qt 6.12 LTS 版本符合 CRA 要求。
Qt Group 对 Commercial Qt 6.12 开展了符合性评估（Conformity Assessment） ，对照 CRA 附件一的基本网络安全要求逐项评估。Commercial Qt 框架被归入 CRA 的默认类别，因此评估以自评估方式完成，并随附 Qt 6.12 的欧盟符合性声明。
在实践中，这意味着 6.12 版本的构建目标，是满足 CRA 提出的、按我们目前所知将于 2027 年 12 月全面生效的各项已知要求。这个 Commercial Qt 版本，已经走完了 CRA 要求制造商为自家产品执行的同一套符合性评估流程。待 CE 标志的加贴标准更加明确后，将为 Qt 6.12 加贴 CE 标志。在此期间，已签署的符合性声明可证明 Qt 6.12 符合 CRA 要求；在接下来的 5 年 LTS 支持期内，我们也将在后续维护版本中持续确保合规。
Qt 6.12 的 CRA 合规对你意味着什么
如果你将含数字元素的产品（products with digital elements）投放到欧盟市场，那么根据 CRA，你就是制造商，成品的合规义务仍由你承担。使用经过 CRA 声明的 Qt 版本并不会改变这一点。不过，我们希望它确实能帮助减轻你需要亲力亲为的基础工作量和取证工作量。
Qt 的合规工作可以显著减轻你自己的供应链尽职调查负担，但无法替代它。也就是说，你不必再独自从零开始评估 Qt 框架的网络安全状况：就产品中 Qt 的部分，你可以获得大量现成且经过正式评估的工作成果，用于你自己的产品评估。此外，Qt 6.12 在整个 5 年的 LTS 期内也会在网络安全方面得到妥善维护，借助附加服务还有可能延长。如果你想知道原因，我们整理了安全维护对长生命周期产品为何重要。
Qt 6.12 为 CRA 合规提供了什么？
以下是几项值得重点介绍的合规资产：
- 安全设计：在 Qt Group 质量管理体系和 ISO 认证的支撑下，Qt 库让开发符合 CRA 的功能更加容易，并且已主动标出所有安全关键项。
- 风险管理：每当出现新模块、重大功能或架构变更时，都会开展威胁分析与风险评估，每项已识别的风险都会被评分，并由明确的负责人跟踪。
- 默认安全：高质量的 Qt API 有助于添加校验和身份认证等所需功能，同时明确划分了 Qt Group 与你的开发团队之间的安全职责。
- 漏洞管理：依托我们自身的漏洞处理流程和严格的第三方管理， Qt Group 的 CNA 资质(CVE编号机构)、安全公告、早期预警列表（Early Warning List），以及面向商业许可客户的服务等级协议（SLA），都能进一步降低你的风险。
- 安全维护：5 年的 LTS 支持期，以及通过附加服务延长和扩展该支持期的选项，能够显著帮助确保你的产品在整个生命周期内可更新、可修补。
- SBOM、文档与评估：自动生成软件物料清单（SBOM）并利用现成的技术文档，有助于你开展 CRA 相关工作；你还可以把 Qt 6.12 符合性声明 作为支撑证据，用于自身的符合性评估。
关于 Qt 6.12 版本如何对应 CRA 的每一项要求，完整说明请参阅更轻松实现《网络弹性法案》合规。
那么开源方案呢？
Qt 6.12 的欧盟符合性声明以及未来的 CE 标志仅覆盖 Commercial Qt 许可证，不覆盖 Qt 的开源产品，即 Qt Community Edition（社区版）。
如果你的产品是专有产品且属于 CRA 适用范围，我们建议你考虑转用 Qt 6.12 的商业版本。使用开源的 Qt Community Edition 时，你自己需承担合规负担。如资源充足，这些工作是可以完成的，但我们也整理了一些思考，探讨为什么在 CRA 框架下继续使用开源版本存在风险。
Qt Group 如何完成 CRA 符合性评估
符合性评估用于检验 CRA 的各项要求是否得到满足，并不是简单的逐项打钩，也不是填一张表就能完成。符合性评估是一个可重复的流程；由于我们的许多客户此刻正在为自己的产品建立同类流程，我们希望分享自己流程中的一些心得，或许能给你带来启发。
Qt Group 按五阶段流程，对 Qt 6.12 开展了 CRA 符合性评估：
-
定义产品与评估路径。Qt 框架在 CRA 中属于默认类别，因此可以自行完成评估。
-
评估网络安全要求。对照 CRA 的基本网络安全要求审查 Qt 6.12 LTS，审查中发现的每个问题都指定了负责人，并持续跟进到解决为止。
-
汇编证据。整理了涵盖架构、安全开发与漏洞处理实践、测试结果、SBOM、技术用户文档以及构建溯源信息的文档。
-
出具符合性声明并加贴 CE 标志。完成法务审查后，Qt 6.12 的欧盟符合性声明已正式签署并发布。在符合适用法规的前提下，一旦具备可行条件，将立即为 Qt 6.12 加贴 CE 标志。在此期间，已签署的符合性声明可证明 Qt 6.12 符合 CRA 要求。
-
整个产品生命周期内保持合规性。 最后一个阶段，即发布后阶段：确保在整个支持期间保持合规性，包括持续处理漏洞和报告安全事件，以及在发生重大变更时进行重新评估。
同样的生命周期适用于今后每一个 Commercial Qt 版本。这是一项跨职能工作，涉及产品管理、IT、研发和法务团队，每次都以同样的方式执行。如果你正在建立自己的 CRA 实践t体系，希望我们分享的这份流程梳理对你有所帮助。确保合规需要相当严格的工程纪律，但请记住，你并不孤单。例如，我们可以通过安排专家为你进行CRA就绪性评估（CRA Readiness Check），帮助你了解当前的准备状况。
如何查证 Qt 的 CRA 合规情况？
Qt 6.12 是 Qt Group 规划的一项持续性计划中的首个版本：后续版本和产品正按计划依次纳入符合性评估和 CE 标志加贴工作。最新状态请参阅 CE 标志页面 。
关于 Qt 框架商业版 6.12 版本的欧盟符合性声明摘要可在线查阅。
