隨著歐盟《網絡彈性法案》（Cyber Resilience Act，CRA）的正式實施進入倒計時，許多企業認為距離2027年12月11日全面強制執行還有較長時間，因此尚未啟動CRA符合性準備工作。

事實上，CRA并非所有要求都在2027年才開始執行。

2026年9月11日，CRA中的漏洞報告義務（Reporting Obligations）將提前生效。

這意味著，向歐盟市場銷售聯網產品的制造商，必須建立產品安全事件響應機制和漏洞報告機制，否則將面臨合規風險。

什么是CRA漏洞報告義務？

CRA要求制造商在發現產品存在被利用的漏洞或重大安全事件后，按照規定時間向歐盟網絡安全機構進行報告。

其核心目標是：

· 提高歐盟范圍內的網絡威脅感知能力；

· 縮短漏洞處置周期；

· 提升數字產品整體安全水平；

· 加強供應鏈安全管理。

負責接收報告的平臺為歐盟網絡安全局 ENISA 建設的統一報告平臺（SRP）。

哪些企業會受到影響？

CRA適用于絕大多數具有數字元素的產品（Products with Digital Elements，PDE）。

典型產品包括：

消費類產品

· 智能攝像頭

· 智能門鎖

· 智能家居設備

· 智能穿戴設備

· 路由器

· NAS存儲設備

工業及商業產品

· 工業網關

· PLC

· HMI

· 工業控制器

· 充電樁

· 儲能系統

· 能源管理設備

· 工業物聯網設備

軟件產品

· 操作系統

· APP軟件

· 云平臺客戶端

· 網絡管理軟件

· 網絡安全產品

只要產品計劃進入歐盟市場并落入CRA適用范圍，制造商均需履行相關報告責任。

企業需要報告哪些內容？

CRA主要關注以下兩類情況：

1. 被積極利用的漏洞（Actively Exploited Vulnerabilities）

當企業發現：

· 產品存在安全漏洞；

· 且漏洞已經被攻擊者利用；

則需要啟動CRA報告流程。

例如：

· 遠程代碼執行漏洞（RCE）

· 默認口令漏洞

· 身份認證繞過漏洞

· 權限提升漏洞

· 數據泄露漏洞

2. 嚴重安全事件（Severe Incidents）

包括：

· 產品遭受大規模攻擊

· 服務中斷

· 數據泄露

· 勒索軟件事件

· 供應鏈攻擊

· 后門植入事件

如果事件影響產品安全或用戶安全，制造商需進行評估并報告。

CRA規定的時間要求有多嚴格？

CRA采用與NIS2類似的快速報告機制。

企業在發現相關事件后：

24小時內

提交早期預警（Early Warning）。

內容包括：

· 事件基本情況；

· 影響產品信息；

· 初步影響評估；

· 是否存在跨境影響。

72小時內

提交詳細事件報告。

內容包括：

· 技術分析結果；

· 受影響產品范圍；

· 漏洞利用情況；

· 已采取緩解措施。

后續持續更新

在調查完成后提交最終報告(30天內)。

包括：

· 根本原因分析；

· 修復措施；

· 風險降低措施；

· 安全更新計劃。

企業目前面臨的最大問題是什么？

很多企業已經具備研發團隊和質量體系，但并未建立產品安全事件響應體系（PSIRT）。

常見問題包括：

沒有漏洞接收渠道

企業官網沒有：

· Security Contact

· security@郵箱

· 漏洞提交通道

導致研究人員無法聯系廠商。

沒有漏洞處置流程

發現漏洞后：

· 誰負責評估？

· 誰負責修復？

· 誰負責發布補丁？

· 誰負責向歐盟報告？

缺少明確職責分工。

沒有協調式漏洞披露機制（CVD）

許多企業尚未建立：

· 漏洞接收流程

· 漏洞評級機制

· 外部研究員溝通機制

· 漏洞披露策略

這將直接影響CRA符合性。

企業現在應當做什么？

距離2026年9月11日已經非常近。

建議企業立即開展以下工作：

第一階段：建立PSIRT團隊

建立產品安全事件響應團隊（PSIRT）。

明確：

· 組織架構

· 職責分工

· 升級機制

· 應急響應機制

第二階段：發布CVD政策

制定并公開：

《協調式漏洞披露政策（Coordinated Vulnerability Disclosure Policy）》

向外部研究人員明確：

· 漏洞提交方式；

· 響應時間；

· 漏洞處理流程；

· 獎勵機制（可選）。

第三階段：建立安全聯絡渠道

建議至少建立：

· security@company.com

· 官方安全頁面

· 安全聯系人

第四階段：建立漏洞管理流程

覆蓋：

· 漏洞接收

· 風險評估

· CVSS評分

· 修復驗證

· 補丁發布

· 漏洞披露

· CRA報告

形成標準化管理閉環。

第五階段：開展CRA差距分析

重點關注：

· CRA Annex I安全要求

· 安全開發生命周期（SDL）

· SBOM管理

· 漏洞管理機制

· 安全更新機制

· PSIRT體系建設

提前完成整改工作。

北測服務

CRA被認為是歐盟近年來影響范圍最大的產品網絡安全法規之一。

很多企業將關注點放在2027年12月11日的全面實施日期，但實際上，2026年9月11日開始執行的漏洞報告義務才是企業面臨的第一個關鍵節點。

對于計劃持續進入歐盟市場的企業而言，現在已不是“是否需要準備CRA”的問題，而是“是否能夠在規定時間內建立合規的漏洞響應和報告能力”的問題。

提前建立PSIRT體系、漏洞管理機制和協調式漏洞披露政策，將成為未來進入歐盟市場的重要基礎能力。

北測信息安全實驗室可為企業提供：

· CRA差距分析

· PSIRT體系建設

· 協調式漏洞披露（CVD）政策制定

· 漏洞管理流程建設

· CRA技術文件輔導

· 產品網絡安全測試與符合性驗證

歡迎與我們交流CRA合規實施方案。