随着欧盟《网络弹性法案》（Cyber Resilience Act，CRA）的正式实施进入倒计时，许多企业认为距离2027年12月11日全面强制执行还有较长时间，因此尚未启动CRA符合性准备工作。

事实上，CRA并非所有要求都在2027年才开始执行。

2026年9月11日，CRA中的漏洞报告义务（Reporting Obligations）将提前生效。

这意味着，向欧盟市场销售联网产品的制造商，必须建立产品安全事件响应机制和漏洞报告机制，否则将面临合规风险。

什么是CRA漏洞报告义务？

CRA要求制造商在发现产品存在被利用的漏洞或重大安全事件后，按照规定时间向欧盟网络安全机构进行报告。

其核心目标是：

· 提高欧盟范围内的网络威胁感知能力；

· 缩短漏洞处置周期；

· 提升数字产品整体安全水平；

· 加强供应链安全管理。

负责接收报告的平台为欧盟网络安全局 ENISA 建设的统一报告平台（SRP）。

哪些企业会受到影响？

CRA适用于绝大多数具有数字元素的产品（Products with Digital Elements，PDE）。

典型产品包括：

消费类产品

· 智能摄像头

· 智能门锁

· 智能家居设备

· 智能穿戴设备

· 路由器

· NAS存储设备

工业及商业产品

· 工业网关

· PLC

· HMI

· 工业控制器

· 充电桩

· 储能系统

· 能源管理设备

· 工业物联网设备

软件产品

· 操作系统

· APP软件

· 云平台客户端

· 网络管理软件

· 网络安全产品

只要产品计划进入欧盟市场并落入CRA适用范围，制造商均需履行相关报告责任。

企业需要报告哪些内容？

CRA主要关注以下两类情况：

1. 被积极利用的漏洞（Actively Exploited Vulnerabilities）

当企业发现：

· 产品存在安全漏洞；

· 且漏洞已经被攻击者利用；

则需要启动CRA报告流程。

例如：

· 远程代码执行漏洞（RCE）

· 默认口令漏洞

· 身份认证绕过漏洞

· 权限提升漏洞

· 数据泄露漏洞

2. 严重安全事件（Severe Incidents）

包括：

· 产品遭受大规模攻击

· 服务中断

· 数据泄露

· 勒索软件事件

· 供应链攻击

· 后门植入事件

如果事件影响产品安全或用户安全，制造商需进行评估并报告。

CRA规定的时间要求有多严格？

CRA采用与NIS2类似的快速报告机制。

企业在发现相关事件后：

24小时内

提交早期预警（Early Warning）。

内容包括：

· 事件基本情况；

· 影响产品信息；

· 初步影响评估；

· 是否存在跨境影响。

72小时内

提交详细事件报告。

内容包括：

· 技术分析结果；

· 受影响产品范围；

· 漏洞利用情况；

· 已采取缓解措施。

后续持续更新

在调查完成后提交最终报告(30天内)。

包括：

· 根本原因分析；

· 修复措施；

· 风险降低措施；

· 安全更新计划。

企业目前面临的最大问题是什么？

很多企业已经具备研发团队和质量体系，但并未建立产品安全事件响应体系（PSIRT）。

常见问题包括：

没有漏洞接收渠道

企业官网没有：

· Security Contact

· security@邮箱

· 漏洞提交通道

导致研究人员无法联系厂商。

没有漏洞处置流程

发现漏洞后：

· 谁负责评估？

· 谁负责修复？

· 谁负责发布补丁？

· 谁负责向欧盟报告？

缺少明确职责分工。

没有协调式漏洞披露机制（CVD）

许多企业尚未建立：

· 漏洞接收流程

· 漏洞评级机制

· 外部研究员沟通机制

· 漏洞披露策略

这将直接影响CRA符合性。

企业现在应当做什么？

距离2026年9月11日已经非常近。

建议企业立即开展以下工作：

第一阶段：建立PSIRT团队

建立产品安全事件响应团队（PSIRT）。

明确：

· 组织架构

· 职责分工

· 升级机制

· 应急响应机制

第二阶段：发布CVD政策

制定并公开：

《协调式漏洞披露政策（Coordinated Vulnerability Disclosure Policy）》

向外部研究人员明确：

· 漏洞提交方式；

· 响应时间；

· 漏洞处理流程；

· 奖励机制（可选）。

第三阶段：建立安全联络渠道

建议至少建立：

· security@company.com

· 官方安全页面

· 安全联系人

第四阶段：建立漏洞管理流程

覆盖：

· 漏洞接收

· 风险评估

· CVSS评分

· 修复验证

· 补丁发布

· 漏洞披露

· CRA报告

形成标准化管理闭环。

第五阶段：开展CRA差距分析

重点关注：

· CRA Annex I安全要求

· 安全开发生命周期（SDL）

· SBOM管理

· 漏洞管理机制

· 安全更新机制

· PSIRT体系建设

提前完成整改工作。

北测服务

CRA被认为是欧盟近年来影响范围最大的产品网络安全法规之一。

很多企业将关注点放在2027年12月11日的全面实施日期，但实际上，2026年9月11日开始执行的漏洞报告义务才是企业面临的第一个关键节点。

对于计划持续进入欧盟市场的企业而言，现在已不是“是否需要准备CRA”的问题，而是“是否能够在规定时间内建立合规的漏洞响应和报告能力”的问题。

提前建立PSIRT体系、漏洞管理机制和协调式漏洞披露政策，将成为未来进入欧盟市场的重要基础能力。

北测信息安全实验室可为企业提供：

· CRA差距分析

· PSIRT体系建设

· 协调式漏洞披露（CVD）政策制定

· 漏洞管理流程建设

· CRA技术文件辅导

· 产品网络安全测试与符合性验证

欢迎与我们交流CRA合规实施方案。