2026年6月11日，欧盟《网络弹性法案》（Cyber Resilience Act, CRA）迎来了又一个关键里程碑——合格评定机构（CAB）通知框架正式启用。与此同时，距离9月11日第一项具有实质约束力的强制报告义务生效，已不足100天。对于向欧盟市场销售任何"带数字功能"产品的企业来说，一个必须严肃面对的现实是：CRA已经从立法文本走进了执法阶段。
一、CRA介绍
CRA（Regulation EU 2024/2847）的适用范围界定为"具备数字元素的产品"（Products with Digital Elements, PwDE）。这是一个宽泛的概念：从智能灯泡、联网门锁、工业传感器，到PC操作系统、手机App、云端SaaS平台，只要产品依赖数字数据处理且其网络安全性可被验证，均落入CRA管辖。
CRA的核心逻辑可以概括为一句话："安全不是出厂时的检测报告——它是产品终身的承诺。"法案要求制造商在产品设计阶段就嵌入安全考量，并在产品上市后的整个支持周期内持续管理漏洞、推送安全更新、向监管机构报告安全事件。
与现有行业标准（如EN 18031仅覆盖无线设备技术测试）不同，CRA上升到了法律层面，覆盖品类更全、义务链条更长、违规后果也更严重。
二、距离红线还有多远？——2026年关键节点
CRA采用分阶段"梯度生效"模式。理解以下时间轴，是制定合规策略的前提：
生效时间
关键事项
对企业的含义
2024.12.10
CRA正式生效成为法律
纳入法规适用范围的企业需开始关注
2025.11.28
实施条例(EU)2025/2392发布
明确重要/关键产品分类标准
2026.01.15
ETSI发布13项标准草案
浏览器、VPN、防火墙等协调标准出炉
2026.03.03
欧盟发布CRA实施指南草案
对FOSS、支持期限等争议问题作出澄清
2026.06.11
CAB公告机构备案框架启动
第三方认证体系进入实操阶段
2026.09.11
⚠ 漏洞与事件强制报告生效
覆盖在售及存量产品，零缓冲期
2026.Q3
首批协调标准预计发布
技术合规路径最终确定
2026.12.11
首批公告机构（NB）运营
重要/关键产品可启动第三方认证
2027.12.11
全面合规截止日
不合规产品禁止在欧盟市场销售
从时间线可以清晰看出，2026年下半年是CRA从"纸面"到"实操"的转折区间。而其中最重要的日期——9月11日——仅剩不到3个月。
三、9月11日生效的报告义务，具体要求是什么？
这是当前所有制造商最需要关注的条款。从2026年9月11日起，CRA第14条关于"主动利用漏洞与重大安全事件"的报告义务将全面适用，且覆盖产品范围不区分"新产品"和"已上市产品"——任何已在欧盟市场流通的PwDE产品，都在此义务的射程之内。
漏洞报告流程（三阶段）：
步骤
时限
提交内容
Step 1 早期预警
获悉后24小时内
受影响产品清单、涉及成员国、已知缓解措施
Step 2 完整通知
72小时内
漏洞技术描述、CVSS评分、根因分析、用户应对指引
Step 3 最终报告
修复后14天内
修复详情、更新日志、防复发机制说明
安全事件报告流程（三阶段）：
步骤
时限
提交内容
Step 1 早期预警
知悉后24小时内
事件确认、初步影响范围评估
Step 2 事件通知
72小时内
事件性质分类、影响深度分析、已采取应急措施
Step 3 结案报告
通知后1个月内
根因追溯报告、修复方案、预防体系改进说明
所有报告须通过ENISA统一管理的单一报告平台（Single Reporting Platform, SRP）提交。该平台会自动向ENISA及受影响成员国的CSIRT同步信息，实现"一次上报、多方触达"。
需要特别提醒的是：与很多人的认知不同，这项报告义务并不要求等到产品发生真实安全事故才需要行动——它要求制造商已经"具备了24小时内完成报告的能力"。换句话说，企业现在就必须搭建好事件监测、内部研判和快速上报的流程体系。
四、眼下企业最应该做的五件事
基于当前CRA的实施进度，以下五项行动的紧迫性最高：
1. 评估产品是否在CRA射程内
检查所有在售及在研产品，判断其是否属于"具备数字元素的产品"，只要有数据处理能力和网络接口，就很可能被纳入。
2. 搭建24小时报告能力
9月11日生效的不是"发生了再准备"的义务，而是"随时能报告"的持续能力要求。建议设立或指定产品安全事件响应团队，明确内部上报流程和决策链，并在ENISA的SRP平台完成注册。
3. 建立SBOM与漏洞管理体系
SBOM是CRA合规的基础设施。没有SBOM，无法知道产品依赖了哪些组件、存在哪些已知漏洞、漏洞影响范围有多广。建议对标NTIA最小元素标准和CycloneDX/SPDX格式建立自动化SBOM管理流程。
4. 完成产品分类与差距分析
产品分为"默认""重要I类""重要II类""关键"四档。默认类别可自我声明合规，重要及以上需要第三方公告机构介入判断。尽早分类，尽早规划认证路径。
5. 更新供应链合同与采购条款
将CRA合规要求写入供应商合同：要求供应商提供合规声明、SBOM输出、漏洞通知义务承接条款。从源头管控供应链传导风险。
五、文末总结
CRA对于出海企业来说，这既是合规成本的增加，也是竞争壁垒的重塑：率先完成CRA合规的企业，将在2027年后的欧盟市场上获得显著的"合规溢价"。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
欧盟CRA漏洞披露，2026年强制生效
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前