助制造商应对2026年9月11日起强制实施的漏洞与事件通报义务
欧盟《网络韧性法案》（Cyber Resilience Act，简称CRA），正式编号为 Regulation (EU) 2024/2847，是欧盟首部涵盖所有含有数字元素产品的横向性网络安全法规。该法案将网络安全要求从自愿性建议提升为强制性法规义务，涵盖硬件产品、软件应用程序及相关远程数据处理服务。CRA 要求制造商在产品设计阶段即融入“安全内置”（security by design）原则，并在整个产品生命周期中承担网络安全责任。
关键实施时程
CRA 已于 2024 年 12 月 10 日正式生效，义务将分阶段实施：
| 日期 | 里程碑 | 紧急程度 |
|---|---|---|
| 2026年9月11日 | 第14条强制通报义务生效 — 制造商必须开始通报被积极利用的漏洞及严重安全事故 |  |
| 2027年12月11日 | CRA 全面实施 — 所有含数字元素的产品必须符合网络安全要求方可投放欧盟市场 | |
值得注意的是，2026年9月的通报义务适用于仍在支援期内的既有产品，包括已在欧盟市场上的 legacy 产品。
第14条：最严峻的合规挑战
CRA 第14条要求制造商在发现以下情况时必须进行通报：
- 被积极利用的漏洞 — 存在实际攻击证据或概念验证（PoC）在流通中
- 严重安全事故 — 如恶意代码注入、大规模数据泄露、设备大规模中断
通报时限极为严苛：
| 时限 | 要求 |
|---|---|
| 24小时内 | 早期预警通报（向国家 CSIRT 及 ENISA） |
| 72小时内 | 详细事故报告（影响、范围、缓解措施） |
| 14天／1个月内 | 最终报告（修复完成或事故结案后） |
对于全球布局的团队而言，时区差异、周末发生的事故，以及多语言通报要求，都构成巨大的营运压力。
不合规的后果
未能符合 CRA 要求将面临严厉处罚：
- 罚款：最高可达全球年营业额的 2.5% 或 1,500 万欧元（以较高者为准）
- 市场执法措施：产品禁令、强制召回、撤出欧盟市场
- 其他后果：没收非法所得、市场准入限制、消费者集体诉讼
CMA Testing：端到端第14条合自动化解决方案
CMA Testing现推出符合法规要求的自动化漏洞通报云端服务，专为应对第14条所带来的营运与技术挑战而设计：
- SBOM 自动化生成与管理：自动生成或导入软件物料清单（SBOM），实时对接全球漏洞数据库，10分钟内完成全面的影响分析
- VEX 智能过滤：整合漏洞可利用性交换（VEX）机制，自动过滤 60% 以上的误报，在维持合规准确性的同时大幅减轻通报工作量
- AI 驱动的通报自动化：内置 AI 合规助理，自动生成符合 ENISA 要求的英文通报报告（早期预警、详细报告、最终报告），一键人工确认后直接提交至 ENISA 平台，确保可靠地满足 24小时／72小时 通报时限
- 端到端可视化与协调披露：实时仪表板显示合规截止日期与通报状态；整合协调漏洞披露（CVD）入口，统一内外部通报渠道
- 审计就绪的合规与 24/7 监控：完整活动日志记录确保监管可追溯性；自动合规记录归档；24/7 监控与警报确保零通报缺口
立即行动
CRA 第14条是一项零过渡期、零豁免的要求。所有已在欧盟市场上的数字产品必须在 2026年9月11日 前建立合规的通报机制。
CMA Testing凭借在合规与认证领域的深厚经验，致力协助制造商以高效、准确、可扩展的方式应对 CRA 合规挑战。
欢迎联系我们：
香港总部：
- 电话：(852) -26988198
- 邮箱：info@cmatesting.org
誉标检测(深圳)有限公司：
- 电话：(86) 0755-88350808
- 邮箱：info.sc@cmatesting.org
联合厂商会检定中心(上海)有限公司：
- 电话：(86) 021-64330500
- 邮箱：info.sh@cmatesting.org
