# 欧盟 CRA 漏洞报告义务已经生效：硬件企业的 24 小时流程怎么搭

> 这项义务覆盖已经在欧盟销售的全部范围内产品，不等 2027 年 CRA 全面适用。关键是提前指定负责人、确定判断标准，并演练一次从发现到提交的完整流程。

来源页面: https://assurelane.ai/insights/cra-reporting-2026/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要报告什么

- **被积极利用的漏洞**：有可靠证据表明恶意行为者已在未经授权的情况下利用的漏洞
- **影响产品安全的严重事件**：影响或可能影响产品保护数据或功能可用性、真实性、完整性、保密性的事件，或导致恶意代码进入产品或用户网络的事件

## 报告时限

| 时间点（从知悉起算） | 内容 |
| --- | --- |
| 24 小时内 | **早期预警**：漏洞或事件的基本情况，涉及的成员国 |
| 72 小时内 | **通报**：产品信息、漏洞或事件性质、已采取和建议用户采取的缓解措施 |
| 漏洞修复或缓解措施可用后 14 天内 | **漏洞最终报告**：描述、严重程度、影响、恶意行为者信息（如有）、安全更新细节 |
| 72 小时通报后 1 个月内 | **事件最终报告** |

报告通过 ENISA 运营的**单一报告平台**提交，平台会同时分发给制造商主要设立地所在成员国的 CSIRT 和 ENISA。在欧盟没有设立机构的制造商，按规则确定对应的成员国。

制造商还须及时告知受影响的用户，必要时告知所有用户，并提供缓解措施。

## 搭建 24 小时流程的六个步骤

1. **指定负责人和备份人**，确保 7×24 可联系，包括中国时间的夜间与节假日
2. **明确信息来源**：客户投诉、安全研究者报告、威胁情报、组件漏洞公告、自身监控
3. **定义判断标准**：什么情况算“被积极利用”，谁有权决定提交
4. **准备模板**：早期预警和通报的信息字段提前整理，产品清单、型号、销售国家随时可查
5. **建立漏洞披露渠道**：对外公布安全联系方式，接收研究者报告
6. **演练一次**：用模拟场景走完发现、评估、提交、用户告知的全过程，并记录用时

## 与其他义务的衔接

报告流程依赖 SBOM 和组件漏洞监控：没有组件清单，就很难判断第三方漏洞是否影响你的产品。建议与 [CRA](https://assurelane.ai/frameworks/cyber-resilience-act/) 其他要求和 [RED 网络安全要求](https://assurelane.ai/frameworks/ce-red/) 一起规划。

## 参考来源

- [EUR-Lex — Regulation (EU) 2024/2847 (CRA), Article 14](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- [Jones Day — EU Cyber Resilience Act 24-hour reporting duties (2026)](https://www.jonesday.com/en/insights/2026/07/eu-cyber-resilience-act-24hour-reporting-duties-start-september-11-2026)
- [Goodwin — Preparing for the EU Cyber Resilience Act (2026)](https://www.goodwinlaw.com/en/insights/publications/2026/09/alerts-lifesciences-technology-preparing-for-eu-cyber-resilience-act)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。