2026年9月11日起，CRA第14條漏洞與嚴(yán)重事件報告義務(wù)正式適用。

企業(yè)一旦獲知產(chǎn)品存在正在被利用的漏洞（AEV），或發(fā)生影響產(chǎn)品安全的嚴(yán)重網(wǎng)絡(luò)安全事件（SI），需要通過歐盟 **CRA Single Reporting Platform（SRP）**進(jìn)行強(qiáng)制報告。

三個關(guān)鍵時間節(jié)點

① 24小時｜Early Warning 早期預(yù)警

自企業(yè)獲知AEV或嚴(yán)重事件起，應(yīng)當(dāng)無不當(dāng)延遲且最遲24小時內(nèi)提交Early Warning。重點提供：

· 通報類型：漏洞 / 事件

· 產(chǎn)品名稱及版本

· 標(biāo)題、摘要

· 制造商信息

· 產(chǎn)品上市成員國

· 已知的漏洞/事件基本情況

· 已知的影響及風(fēng)險信息

目的：快速告知監(jiān)管方"發(fā)生了什么"。

② 72小時｜正式通知

在24小時預(yù)警基礎(chǔ)上，最遲72小時內(nèi)提交進(jìn)一步的Notification。重點包括：

· CVE / EUVD編號（如適用）

· 漏洞或事件詳細(xì)概況

· 漏洞/事件影響

· 嚴(yán)重程度

· 攻擊向量

· 已采取的糾正/緩解措施

· 用戶可采取的風(fēng)險緩解措施

· 惡意行為主體信息（如已知）

· 信息敏感性及特殊情況說明

目的：從"發(fā)現(xiàn)問題"進(jìn)一步說明"問題是什么、影響多大、已經(jīng)怎么處理"。

需要留意的是，ENISA目前的SRP字段明確體現(xiàn)：部分字段在24小時階段可以是可選項，但到了72小時或最終報告階段會變?yōu)楸靥睿虼似髽I(yè)應(yīng)持續(xù)補(bǔ)充和更新信息。

③ 最終報告｜完成事件閉環(huán)

最終報告根據(jù)事件類型分別計算時限：

· AEV（被利用漏洞）：在糾正措施或緩解措施可用后，最遲14天內(nèi)提交最終報告。

· 嚴(yán)重事件（SI）：在72小時通知后，1個月內(nèi)提交最終報告。

最終報告進(jìn)一步完善：

· 漏洞/事件完整描述

· 實際及潛在影響

· 嚴(yán)重程度

· 攻擊方式及攻擊主體（如已知）

· 威脅類型或可能根因

· 已實施及持續(xù)實施的緩解措施

· 最終糾正措施/安全更新

目的：形成從發(fā)現(xiàn)、研判、處置到修復(fù)的完整閉環(huán)。

一個容易被忽視的操作要點：提交前一定要確認(rèn)

≠

≠

（DPP）

CRA SRP支持將24小時、72小時和最終報告保存為Draft（草稿），草稿狀態(tài)下僅自己可見，可以繼續(xù)完善后再提交。

?草稿≠ 正式提交

保存草稿：
?可以繼續(xù)修改
?尚未進(jìn)入正式通知流程
?僅自己可見

點擊Submit正式提交：
??通知將進(jìn)入CRA SRP正式處理流程，并向相應(yīng)機(jī)構(gòu)發(fā)送通知。
??不要把正式提交當(dāng)成“草稿保存”——提交前應(yīng)完成內(nèi)部審核和信息確認(rèn)。
??已提交通知在最終報告提交前仍可進(jìn)行更新，但不是簡單的“撤銷后重新提交”；最終報告提交后，該通知將不可編輯。

特別提醒：24小時窗口很短，但“趕時間”不等于“未經(jīng)審核直接提交”。企業(yè)應(yīng)提前建立內(nèi)部研判、審批和上報機(jī)制。

企業(yè)需要提前建立什么？

CRA上報不是簡單填寫一張表，而是一套持續(xù)性的漏洞與事件響應(yīng)機(jī)制：

漏洞發(fā)現(xiàn)

↓

AEV / SI研判

↓

內(nèi)部風(fēng)險評估

↓

24h Early Warning

↓

72h Notification

↓

糾正/緩解措施

↓

Final Report

↓

證據(jù)留存與持續(xù)跟蹤

建議企業(yè)提前建立：

PSIRT漏洞響應(yīng)機(jī)制｜CVD漏洞披露流程｜安全事件響應(yīng)流程｜24h/72h上報機(jī)制｜漏洞分級機(jī)制｜CVE/EUVD管理｜用戶安全通知機(jī)制｜糾正措施管理｜CRA SRP上報流程

北測信息安全實驗室

CRA合規(guī)評估｜PSIRT體系建設(shè)｜CVD流程建設(shè)｜漏洞管理｜安全事件響應(yīng)｜CRA 24h/72h/最終報告支持

從漏洞發(fā)現(xiàn)到最終報告，幫助企業(yè)建立CRA產(chǎn)品網(wǎng)絡(luò)安全全生命周期管理與報告閉環(huán)。

CRA報告義務(wù)已于2026年9月11日開始適用。企業(yè)需要準(zhǔn)備的，不只是“會填報告”，更是能否在24小時內(nèi)完成識別、研判、決策和上報。

點擊獲取更多歐盟CRA法規(guī)資訊：

面向歐盟市場的數(shù)字元素產(chǎn)品：CRA第14條報告義務(wù)實務(wù)指引

重要合規(guī)提醒：歐盟 CRA 漏洞報告義務(wù)提前落地，距生效僅剩 7 天

歐盟 CRA 正式實施在即，企業(yè)出口歐洲必須關(guān)注的網(wǎng)絡(luò)安全新門檻

CRA產(chǎn)品范圍全解析：您的產(chǎn)品是否屬于歐盟網(wǎng)絡(luò)彈性法案監(jiān)管對象？

距離CRA正式生效僅剩3個月！2026年9月11日起企業(yè)必須履行漏洞報告義務(wù)