CRA并未规定制造商应该通过何种途径获悉正在被积极利用的漏洞或重大安全事件，仅要求制造商在知悉相关情况后，依照Article 14 履行上报义务。制造商可以通过以下三类渠道获取相关风险线索：

渠道一：客户与合作机构风险反馈

客户或合作企业向制造商反馈异常系统行为、系统遭入侵沦陷情况，并提供可靠证据，证实产品中存在正在被积极利用的漏洞；或是制造商自行收集佐证材料，确认存在被恶意利用的漏洞。

渠道二：第三方安全主体披露

1、 安全研究员、网络安全企业发布威胁情报，披露产品中存在零日漏洞（暂无补丁、安全修复方案的漏洞），且该漏洞已被用于定向攻击；

2、 欧盟各国官方网络安全监管机构通过自身监测体系捕捉到漏洞利用行为，并向制造商下发通知；

3、 道德黑客（白帽黑客）上报已经在真实网络环境中被恶意利用的漏洞。

渠道三：企业内部安全监测体系告警

依靠内部安全监控、资产扫描、设备遥测体系发现问题，典型场景包括：

1、 制造商的遥测系统、蜜罐（用于诱捕网络犯罪分子、保护正常业务资产的安全机制）检测到产品中未知漏洞被外部利用；

2、 制造商安全团队监控暗网论坛，捕获黑客已成功利用本方产品漏洞实施攻击的相关证据。

 ✅ 强制上报条件

当制造商掌握可靠证据，证明恶意攻击者已经在真实环境中利用暂无官方补丁或安全更新的漏洞（即“零日漏洞”）发起攻击，需要依据法案Article 14履行上报义务（24 小时预警、72 小时详细通报、修复后 14 日内提交最终报告）。

❌ 无需强制上报的零日漏洞场景

1.白帽黑客通过制造商漏洞赏金计划提交的零日漏洞，无任何已知恶意利用记录；

2.第三方安全测评机构受制造商委托检测发现的零日漏洞，未发现过往被恶意利用的证据。

💡补充说明：针对上述无需强制上报的零日漏洞，制造商可依据法案Article 15开展自愿上报。

1、义务生效时间节点

CRA制造商的报告义务自2026年9月11日起正式生效。对于所有纳入CRA管辖范围、搭载数字元素组件的产品（包含2027年12月11日之前已投放市场的产品）。

2、权责差异化划分

l 法定义务：制造商必须遵守Article 14规定履行相关上报义务：主动上报正在被积极利用的漏洞以及对产品安全造成影响的重大安全事件；产品上市时间不构成免责理由。

l 可豁免义务：若产品已于2027年12月11日之前投放市场，由于用于扫描、运行旧版软件的配套工具已不复存在、旧代码的编译构建环境无法复原、核心人员流失等客观原因。针对该类产品，CRA仅要求制造商上报相关漏洞或安全事件，不强制其履行漏洞处理等其余相关法定义务。

3、用户告知要求

根据Article 14(8) 规定，制造商必须告知受影响用户（必要时告知全部用户）相关漏洞与安全事件。若制造商未及时通知用户，接收上报的计算机安全事件响应团队（CSIRTs），在合理且有助于防控、降低危害的前提下，可代为向用户披露相关信息。

1、 强制上报

制造商有义务通报其产品（含数字元素）中存在的任何已被积极利用的漏洞。如果含数字元素的产品包含源自第三方组件的已被积极利用的漏洞，则该产品的制造商有义务通报该漏洞。如果第三方组件已投放市场，则该第三方组件的制造商也有义务上报该漏洞。

2、自愿上报

制造商知悉第三方组件存在漏洞，但该漏洞在自有产品架构中无法触发、不存在可利用路径，则该漏洞不属于“被积极利用漏洞”，因此无需强制上报。制造商仍可根据Article 15自愿上报该漏洞，并须根据Article 13(6) 的规定，将该漏洞详情同步告知制造或维护该组件的个人或实体。