紧急提醒
距离欧盟《网络安全弹性法案》（Cyber Resilience Act，Regulation (EU) 2024/2847）2026 年 9 月 11 日漏洞上报义务强制生效，不足4个月！这是 CRA 首个落地的核心条款，所有在欧盟销售的数字产品均需遵守，逾期未报直接触发最高1500 万欧元或全球营业额 2.5% 的罚款！
一、Article 14 核心要点
1、生效日期：2026年9月11日
2、适用范围：所有向欧盟市场投放带数字元素产品的制造商（含境外企业，无论其是否在欧盟设立实体）
3、报告对象：对应成员国CSIRT和欧盟ENISA
4、上报渠道：所有报告必须通过根据第 16 条建立的欧盟单一报告平台（SRP）提交，该平台预计在2026年9月上线
5、触发条件：制造商在知悉以下两类安全风险时，必须履行法定报告义务
6、用户告知义务：在发现被主动利用的漏洞或严重安全事件后，制造商必须通知受影响的用户
二、报告流程与法定时限
两类报告均采用三阶段式报告机制，时限自制造商知悉风险之时起算。
正在被主动利用的漏洞：
早期预警（24小时内）：提交漏洞基本情况、受影响的欧盟成员国（信息不完整也要先报，严禁延误）
详细通报（72小时内）：补充受影响产品清单、漏洞利用方式、已采取的缓解措施、用户可自行操作的防护措施、注明信息敏感度（若适用）
最终报告（漏洞修复后14天内）：提交完整漏洞描述（含严重性和影响范围）、攻击者相关信息（如有）、安全补丁 / 补救措施详情
严重安全事件：
早期预警（24小时内）：提交事件基本情况、是否涉嫌恶意攻击、受影响的欧盟成员国 （若适用）
详细通报（72小时内）：补充事件性质的信息、初步影响评估、已采取的处置措施、用户可自行操作的防护措施、注明信息敏感度（若适用）
最终报告（事件通报后1个月内）：提交事件详细说明、根本原因分析、已实施及持续进行的缓解措施
三、CRA的监管范围
CRA的管辖范围极其广泛，在欧盟市场上提供带有数字元素的产品，其预期用途或合理可预见的使用方式包括直接或间接的逻辑/物理数据连接至设备或者网络的环节。
覆盖品类：
· 消费电子：可穿戴设备、智能冰箱、智能音箱、智能摄像头等
· 工业设备：PLC、智能传感器、工业软件等
· 通信设备：路由器、交换机、网关等
· 软件 / 固件：操作系统、安全软件、云端服务软件等（只要远程数据处理对产品功能至关重要）
· 硬件组件：CPU、SOC、微处理器、数字信号处理器等
四、如何确定协调的CSIRT？
欧盟境内制造商：先看网络安全决策地，再看员工最多的营业场所
第一优先级：主要负责作出其含数字元件产品网络安全相关决策的成员国
第二优先级：制造商在欧盟拥有员工数量最多的营业场所所在成员国为准（只有在无法确定决策地时才用）
欧盟境外制造商：根据以下顺序优先级判定
(a) 授权代表数量最多的成员国
(b) 进口商数量最多的成员国
(c) 分销商数量最多的成员国
(d) 用户数量最多的成员国
五、CRA 漏洞上报到底要报什么？
根据 CRA 第 14 条，仅需上报已被实际利用的漏洞和严重安全事件，未被利用的漏洞无需上报。
✅ 必须上报的情形
· 有公开 POC / 攻击工具，且已出现真实攻击案例的漏洞
· 安全社区 / 第三方披露，有确凿证据正在被黑客利用的漏洞
· 企业自研发现的漏洞，且确认已被外部攻击者利用
· 导致用户数据泄露、设备被远程控制、业务中断的严重安全事件
❌ 无需上报的情形（内部修复即可）
· 仅扫描发现、无实际利用条件的潜在漏洞
· 白帽测试或漏洞奖励计划 (SRC) 中发现，未被利用的漏洞
· 内部研究发现、尚未被外部知晓、无任何攻击迹象的漏洞
· 仅本地触发、无远程利用可能，且不影响核心安全属性的纯业务逻辑缺陷
六、制造商应如何合规
1、全面梳理在欧销售产品清单，确认产品是否在CRA管辖的范围内
2、确认协调的CSIRT
3、制定符合CRA要求的CVD政策，对外公布漏洞接收和处理流程
4、生成符合 CycloneDX/SPDX 标准的 SBOM，对接全球漏洞库实现实时监测
5、建立内部安全事件发现流程，确保产品在欧盟市场出现漏洞/重大安全事件时，企业能在第一时间响应。
七、一信泰可以做什么
· CRA范围评估与差距分析
· 生成CRA 合规级的SBOM表
· CRA合规级的漏洞扫描 + 报告
· CRA合规认证支持
如果您的产品在CRA的管辖范围内，务必开始漏洞的报告工作以及CRA的准备工作。若您的产品正面临 CRA 合规难题，可直接联系邮箱 info@uttlab.com或dojn.dong@uttlab.com 咨询，一信泰将为您提供专业服务！