欧盟《网络弹性法案》（CRA，Regulation EU 2024/2847）已于2024年12月11日正式生效。自2027年12月11日起，所有未取得CE标志的含数字元素产品将被禁止进入欧盟市场。
一、差距分析与产品分类
合规工作的起点是确定产品在CRA四级分类体系中的具体位置。决策逻辑如下：首先确认产品是否属于被排除领域；其次对照CRA关键产品清和重要产品清单，判断核心功能是否落入其中。默认类产品（约占90%）可通过内部生产控制进行自我声明；II类重要和关键产品则须由公告机构（Notified Body）强制评估，评估排期通常需要3至6个月，须尽早预约。
确定分类后，应参照CRA进行逐项差距分析，重点涵盖安全设计与默认配置、漏洞管理流程覆盖度、SBOM生成与更新机制、技术文档完备性、供应链审查及欧盟授权代表指派情况六个维度，编制合规差距报告作为后续工作的基线。
二、漏洞通报机制建设
2026年9月11日生效的漏洞通报义务是当前最为紧迫的合规任务。该义务覆盖此前已投放市场的全部存量产品。根据要求，发现漏洞正在被主动利用后，制造商须在24小时内通过ENISA单一报告平台提交早期预警，72小时内提交包含受影响产品清单和缓解措施的详细通报，14天内提交包含根因分析的最终报告。企业须在此之前完成三项核心工作：组建涵盖安全分析、修复工程和合规法务三条线的PSIRT团队；建立标准化三阶段上报SOP；并在2026年8月前完成至少一次端到端模拟演练，确保各环节衔接顺畅。
三、SBOM自动化与开源治理
软件物料清单（SBOM）是CRA的核心技术合规要求之一。企业须以SPDX或CycloneDX机器可读格式编制SBOM，并在每次版本发布时同步更新。建议将Syft或Trivy等工具集成到CI/CD流水线中，实现每次构建的自动化SBOM生成，随后通过Grype与CVE数据库关联扫描，发现已知漏洞时自动阻断发布。
在开源治理方面，制造商须自建针对关键开源组件的应急修复能力。由于开源许可协议通常明确声明"不提供任何形式的保证"，当开源组件出现安全漏洞时，制造商无法向社区追偿，须自行承担全部修复成本和法律后果。
四、供应链合规传导
CRA要求制造商对其产品中集成的所有第三方组件承担最终安全责任。建议通过供应商协议纳入以下条款：SBOM交付义务、48小时内漏洞披露、30天内安全更新承诺、因组件缺陷导致监管处罚的赔偿条款、安全审计权以及版本可追溯性要求。对于无合同相对方的开源软件，制造商须自行承担全部安全责任。
五、持续运营与存量产品管理
合规不是一次性项目交付，而是贯穿产品上市后整个支持周期的持续状态。持续运营体系至少包含：自动化CVE监控（每日扫描）、全产品安全扫描（至少每月）、高危漏洞安全更新（30天内发布）、SBOM同步更新以及年度内部审计。对于2027年12月前的存量产品，虽不强制要求全面合规，但漏洞通报义务自2026年9月起已适用，且一次涉及安全架构的重大修改将触发全部合规义务，建议主动评估。
六、不同类型企业的行动优先级参照
七、结语
CRA合规涉及法务、安全、研发、采购等多个职能的系统性协同。以产品分类和差距分析为起点，以PSIRT和SBOM为核心抓手，以CE标志为最终里程碑，以持续运营保障长期合规——每一阶段的工作都为下一阶段奠定基础。2026年9月的漏洞通报义务是最紧迫的合规门槛，2027年12月的全面实施是最终大限。合规投入本质上是市场准入成本，率先系统性完成准备的企业，将在欧盟市场获得不可逆的先发优势。
更多文章：
实力认证！领世达实验室顺利通过 EN 18031-1 能力验证，软件安全测试技术获国家级认可！
高效开案！PSTI测试开案全流程指南
高效开案！EN 18031测试开案全流程指南
欧盟CRA漏洞披露，2026年强制生效
公司简介
深圳市领世达检测技术有限公司专注第三方检测认证与技术咨询，主营各国的产品网络安全、国际市场准入及产品可靠性测试服务。核心覆盖 EN 18031、PSTI、CRA、CE、FCC、UKCA 、JC-Star、CSA 2024、SB-327、NIST 8259A等认证，提供网络安全测试、无线产品RF测试、以及环境可靠性检测等一站式解决方案。公司依托集团技术实力，遵循 ISO/IEC 17025 体系，为消费电子、物联网、通讯电子等企业提供专业高效的合规入市服务，助力客户突破全球贸易技术壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前