产品安全
与欧盟网络韧性法案

您可以依赖的承诺

本页所列内容，正是合规审查人员通常需要专门询问的事项。我们直接写在这里，方便您归入审计档案。

ProEssentials 在您的 CRA 义务中的位置

根据网络韧性法案，将成品投放欧盟市场的公司即为其制造商，第13条(5)要求该制造商对其集成的第三方组件履行尽职调查，以确保这些组件不会损害成品的安全性。如果您发行的应用程序包含 ProEssentials，这项义务在您一方，而 ProEssentials 正是其中一个组件。

实际操作上，这意味着您的审计档案需要证明您评估过 ProEssentials，并且其供应商背后确有真实可行的漏洞处理流程。本页正是为充当这一证据而撰写。以下内容的表述都足够明确，可直接引用；如果您的流程需要一份签署的供应商声明，我们会在公司信笺上以书面形式确认其中任何一项。

第13条(6)同样要求您在集成的组件中发现漏洞时通知我们。我们承诺以相同的义务反向履行，并且宁可早些收到您的消息，也不愿太迟。报告请发送至 support@gigasoft.com。

最关键的一点：几乎没有什么需要审计

现代软件供应链审查的大部分精力都花在依赖项上。一个引入数十个软件包的图表库，会把数十个组件的责任转交给您：每一个都要出现在您的物料清单中，每一个都需要持续监控新的 CVE，而且一旦上游出现漏洞，任何一个都可能迫使您临时发布新版本。

ProEssentials 不是这样运作的。在每一个受支持的版本中，ProEssentials 的全部代码均为自主开发，由 Gigasoft 编写，没有开源库，没有第三方 NuGet 或 npm 包，也没有从外部引入的代码。以 Log4Shell 为代表的整类依赖链事件，不会经由我们波及到您。这并不是要您凭信任接受的说法：我们通过检查发行二进制文件进行了核实。

另有三项特性把您的暴露面降到几乎为零：

• 无网络 I/O。 该组件既不发起也不终止网络连接。没有遥测，没有许可证回连，没有更新探测，也没有任何形式的出站流量。
• Gigasoft 不处理数据。 您的数据在您自己的进程内、您自己的机器上绘制。Gigasoft 在运行时不会传输、接收或存储其中任何内容。
• 无账户、无激活、无运行时服务。 部署就是复制文件。没有需要评估的云依赖，数据路径上也没有第三方服务。

有一条边界值得明确说明，因为审计人员会问到：您的应用程序通过网络传输的任何数据，其传输加密由该应用程序负责。ProEssentials 从不接触网络，因此既不能保护也不会危及传输中的数据。

物料清单

由于受支持版本不含第三方组件，我们的物料清单短到可以全文列出。一次 ProEssentials 部署由 Gigasoft 自研的渲染引擎，以及面向您所选框架的 Gigasoft 控件程序集构成，此外别无其他。您的应用程序加载的其余内容，要么是您自己的代码，要么是操作系统，或您本就随产品发行的 .NET、Windows App SDK 运行时的内置组成部分。

版本 8 及更早版本中的历史第三方库

早期的 ProEssentials 静态链接了三个开源库，且仅用于写出图像文件：用于压缩的 zlib、用于 PNG 输出的 libpng，以及用于 JPEG 输出的 libjpeg。在当时这是通行做法，因为 Windows 尚未提供自带的图像编码器。

ProEssentials 的任何版本，都从未有安全利用被报告给我们。

再次说明：这些库从未被用于读取或解码文件，而这正是此类漏洞所在之处；从未解压过任何内容，也没有任何 ProEssentials API 向调用方暴露过解码路径。早期 ProEssentials 使用这些库的方式，不存在现实可行的漏洞。

我们的建议是迁移到版本 11。版本 8 及更早已终止生命周期，不会再更新。API 在各主版本之间刻意保持稳定，移植很容易。

CRA 时间表及其对您的意义

网络韧性法案，即法规 (EU) 2024/2847，分阶段适用。比起笼统的保证，我们更愿意把具体日期告诉您。

Gigasoft 在这些时间节点上进展顺利。法规对我们这类组件所要求的实质内容已经到位，并在本页中作了说明：没有失控的依赖面、明确的支持期、免费的安全更新、公开的报告渠道，以及经签名的分发包。到2027年12月之前余下的工作是正式文档和合格评定材料，而不是改变产品的构建方式。

随着制度不断完善，包括仍在制定中的协调标准，我们会持续更新本页。

ProEssentials 在 CRA 下的分类

法规将单独投放市场的软件组件本身视为具有数字元素的产品。因此 ProEssentials 自身即在适用范围内，而不仅仅是您产品的一个组成部分。

ProEssentials 属于默认类别产品。它不属于附件 III 第 I 类的十九个类别中的任何一个，也不属于附件 III 第 II 类的四个类别中的任何一个，更不是附件 IV 的关键产品。面向开发者的图表与数据可视化库，不具备使产品归入这些类别的任何核心功能。我们已对照欧盟委员会实施条例 (EU) 2025/2392 中的技术定义核对了我们的分类。

对您而言的实际结论是：ProEssentials 采用第32条(1)及附件 VIII 模块 A 规定的内部控制合格评定路径。不涉及公告机构，此类组件也不需要第三方评定。如果您自己的产品属于更高类别，那是由您产品的功能决定的，而不是由我们的组件决定的。

受支持的版本与支持期

网络韧性法案要求制造商说明支持期并公布其结束时间，而不是任其开放。我们的支持期为每个主版本自其正式发布日起至少五年。此外，比起把所有版本一律称为“受支持”，我们更愿意告诉您每个版本实际能得到什么。因此下表区分了积极开发、维护，以及仅处理重大安全问题这三种状态。

ProEssentials v11 于2026年7月21日正式发布，v10 于2025年1月23日正式发布，因此其公布的支持期分别至少延续至2031年7月21日和2030年1月23日。版本 9 首次发布于2018年4月，已超出这一五年窗口，因此我们不作日期承诺，仅在出现重大安全问题时才会采取行动。使用版本 9 的客户应当着手规划迁移到版本 11。

如何报告漏洞，以及之后会发生什么

如果您认为在 ProEssentials 中发现了安全漏洞，请发送至 support@gigasoft.com。请附上产品版本、框架与平台，以及足以复现问题的信息。有概念验证会有帮助，但并非必需。

我们的承诺：

• 我们会在2个工作日内确认收到报告。
• 我们会进行评估，并在10个工作日内告知能否复现，以及初步的严重程度判断。
• 对已确认的漏洞，我们按严重程度排序并尽快修复，同时告知预计时间，而不是让您一直等待。
• 所有受支持版本的安全修复均为免费；在对客户更有利时，会与功能版本分开发布。
• 我们会直接通知受影响的客户，并通过常规更新渠道发布修复。
• 如您希望署名，我们会注明报告者，并且不会对善意的安全研究采取法律行动。我们只请求您在公开披露前，给我们合理的时间发布修复。

我们是一家规模不大、直接沟通的公司。发送到该地址的报告，会直达编写代码的人，而不是进入工单队列。

补丁与更新如何送达

安全修复与维护修复通过与常规版本相同的渠道分发，因此您无需另外学习一套流程。

• 维护补丁发布在我们的下载页面，可直接下载。
• NuGet 包会针对 .NET 的 WinUI、WPF 和 WinForms 版本进行更新。
• 对于通过安装程序部署的客户，我们会更新完整安装程序。

由于 ProEssentials 以复制文件的方式部署，无需激活也没有运行时服务，更新只是替换您本就随产品发行的二进制文件。没有需要重新激活的内容，也没有需要协调的许可证服务器。

分发完整性与代码签名

我们发布所经的每一个渠道都经过签名，您可以据此验证收到的就是我们构建的：

• 安装程序以 Gigasoft, Inc. 名义进行 Authenticode 代码签名。 签名使用 SHA-256 并附 RFC 3161 可信时间戳，卸载程序同样已签名。
• NuGet 包带有 Gigasoft, Inc. 的作者签名。 您可以用标准工具自行验证：对该包运行 dotnet nuget verify，并检查作者签名是否为 Gigasoft, Inc.。

有一项限制，我们宁愿自己说明，也不想让您自行发现。分发包内的单个二进制文件没有单独进行 Authenticode 签名。这是出于技术考虑的有意安排：在您的产品安装时，按客户进行的许可证打戳会改写引擎内部的字节，从而使事先施加于该文件的任何签名失效。因此完整性是在包一级保障的，签名覆盖整个分发包，而不是逐个文件。如果您的合规流程明确要求逐文件签名，请与我们联系，我们会商讨针对您的情况能做些什么。

安全开发与公司实践

Gigasoft 是一家规模不大、专注的公司。比起借用大型企业安全项目的措辞，我们更愿意准确地描述自己的做法。

• 安全由最高层负责。 公司负责人亲自对安全决策负责，不会把它交给一个并不存在的部门。
• 全部产品代码都是我们自己的。 每一行都在内部编写和评审，这正是没有依赖链需要监控的原因。
• 输入经过校验，数据库访问采用参数化。 这适用于支撑本产品的公司系统，例如注册和下载。
• 公司系统在多个层面进行了加固。 包括网站与 Web 服务器、电子邮件认证和端点防护。电子邮件由 SPF、DKIM 以及强制执行的 DMARC 策略保护，您可以对照我们的 DNS 记录独立验证。我们不公布具体配置，因为公布对攻击者的帮助会大于对您的帮助。
• 服务器日志会针对滥用模式进行检查。 Web 层同样运行着防滥用控制。
• 终端运行当前版本的 Windows 并启用 Microsoft Defender。

我们同样明确说明自己不是什么。我们不运营企业级网络基础设施，因此对加密流量的深度包检测或入侵检测之类的控制并不适用于我们的运营形态，若宣称具备只会流于形式。我们不为本产品存储客户数据，因为产品不会向我们发送任何数据。如果问卷中问到某项控制并不适用于一家产品完全运行在客户自有环境中的小型组件供应商，我们会直说不适用并解释原因，而不是照着模板作答。

我们可为您的审计档案提供的材料

通过 support@gigasoft.com 索取，均为免费：

• 与您的版本对应的 SPDX 或 CycloneDX 格式机器可读 SBOM。
• 公司信笺上签署的供应商安全声明，确认本页所载各项承诺。
• 针对您自有供应商安全问卷的书面答复。
• 确认您所部署版本的支持期结束日期及当前支持级别。
• 如上文所述的、我们关于协同漏洞披露的承诺。

我们经历过受监管行业客户的安全评估，了解这一流程需要什么。请告诉我们您的审查人员需要的内容，我们会准备好。

常见问题

联系我们

安全方面的问题、问卷、资料索取以及漏洞报告，请一并发送至 support@gigasoft.com，会直达构建本产品的人员。

本页最近一次审阅于2026年7月30日，并会随 CRA 制度的发展持续维护。

本页说明 Gigasoft 的产品安全实践，以及我们对网络韧性法案如何适用于 ProEssentials 的理解。它旨在支持您自身的合规工作，并不构成法律意见。您对所投放市场的产品所负的义务，取决于您的产品、您的市场以及您自己的评估。