2026年9月11日起，CRA第14条漏洞与严重事件报告义务正式适用。

企业一旦获知产品存在正在被利用的漏洞（AEV），或发生影响产品安全的严重网络安全事件（SI），需要通过欧盟 **CRA Single Reporting Platform（SRP）**进行强制报告。

三个关键时间节点

① 24小时｜Early Warning 早期预警

自企业获知AEV或严重事件起，应当无不当延迟且最迟24小时内提交Early Warning。重点提供：

· 通报类型：漏洞 / 事件

· 产品名称及版本

· 标题、摘要

· 制造商信息

· 产品上市成员国

· 已知的漏洞/事件基本情况

· 已知的影响及风险信息

目的：快速告知监管方"发生了什么"。

② 72小时｜正式通知

在24小时预警基础上，最迟72小时内提交进一步的Notification。重点包括：

· CVE / EUVD编号（如适用）

· 漏洞或事件详细概况

· 漏洞/事件影响

· 严重程度

· 攻击向量

· 已采取的纠正/缓解措施

· 用户可采取的风险缓解措施

· 恶意行为主体信息（如已知）

· 信息敏感性及特殊情况说明

目的：从"发现问题"进一步说明"问题是什么、影响多大、已经怎么处理"。

需要留意的是，ENISA目前的SRP字段明确体现：部分字段在24小时阶段可以是可选项，但到了72小时或最终报告阶段会变为必填，因此企业应持续补充和更新信息。

③ 最终报告｜完成事件闭环

最终报告根据事件类型分别计算时限：

· AEV（被利用漏洞）：在纠正措施或缓解措施可用后，最迟14天内提交最终报告。

· 严重事件（SI）：在72小时通知后，1个月内提交最终报告。

最终报告进一步完善：

· 漏洞/事件完整描述

· 实际及潜在影响

· 严重程度

· 攻击方式及攻击主体（如已知）

· 威胁类型或可能根因

· 已实施及持续实施的缓解措施

· 最终纠正措施/安全更新

目的：形成从发现、研判、处置到修复的完整闭环。

一个容易被忽视的操作要点：提交前一定要确认

≠

≠

（DPP）

CRA SRP支持将24小时、72小时和最终报告保存为Draft（草稿），草稿状态下仅自己可见，可以继续完善后再提交。

❗草稿≠ 正式提交

保存草稿：
✔可以继续修改
✔尚未进入正式通知流程
✔仅自己可见

点击Submit正式提交：
⚠️通知将进入CRA SRP正式处理流程，并向相应机构发送通知。
⚠️不要把正式提交当成“草稿保存”——提交前应完成内部审核和信息确认。
⚠️已提交通知在最终报告提交前仍可进行更新，但不是简单的“撤销后重新提交”；最终报告提交后，该通知将不可编辑。

特别提醒：24小时窗口很短，但“赶时间”不等于“未经审核直接提交”。企业应提前建立内部研判、审批和上报机制。

企业需要提前建立什么？

CRA上报不是简单填写一张表，而是一套持续性的漏洞与事件响应机制：

漏洞发现

↓

AEV / SI研判

↓

内部风险评估

↓

24h Early Warning

↓

72h Notification

↓

纠正/缓解措施

↓

Final Report

↓

证据留存与持续跟踪

建议企业提前建立：

PSIRT漏洞响应机制｜CVD漏洞披露流程｜安全事件响应流程｜24h/72h上报机制｜漏洞分级机制｜CVE/EUVD管理｜用户安全通知机制｜纠正措施管理｜CRA SRP上报流程

北测信息安全实验室

CRA合规评估｜PSIRT体系建设｜CVD流程建设｜漏洞管理｜安全事件响应｜CRA 24h/72h/最终报告支持

从漏洞发现到最终报告，帮助企业建立CRA产品网络安全全生命周期管理与报告闭环。

CRA报告义务已于2026年9月11日开始适用。企业需要准备的，不只是“会填报告”，更是能否在24小时内完成识别、研判、决策和上报。

点击获取更多欧盟CRA法规资讯：

面向欧盟市场的数字元素产品：CRA第14条报告义务实务指引

重要合规提醒：欧盟 CRA 漏洞报告义务提前落地，距生效仅剩 7 天

欧盟 CRA 正式实施在即，企业出口欧洲必须关注的网络安全新门槛

CRA产品范围全解析：您的产品是否属于欧盟网络弹性法案监管对象？

距离CRA正式生效仅剩3个月！2026年9月11日起企业必须履行漏洞报告义务