要报告什么
- 被积极利用的漏洞：有可靠证据表明恶意行为者已在未经授权的情况下利用的漏洞
- 影响产品安全的严重事件：影响或可能影响产品保护数据或功能可用性、真实性、完整性、保密性的事件，或导致恶意代码进入产品或用户网络的事件
报告时限
| 时间点（从知悉起算） | 内容 |
|---|---|
| 24 小时内 | 早期预警：漏洞或事件的基本情况，涉及的成员国 |
| 72 小时内 | 通报：产品信息、漏洞或事件性质、已采取和建议用户采取的缓解措施 |
| 漏洞修复或缓解措施可用后 14 天内 | 漏洞最终报告：描述、严重程度、影响、恶意行为者信息（如有）、安全更新细节 |
| 72 小时通报后 1 个月内 | 事件最终报告 |
报告通过 ENISA 运营的单一报告平台提交，平台会同时分发给制造商主要设立地所在成员国的 CSIRT 和 ENISA。在欧盟没有设立机构的制造商，按规则确定对应的成员国。
制造商还须及时告知受影响的用户，必要时告知所有用户，并提供缓解措施。
搭建 24 小时流程的六个步骤
- 指定负责人和备份人，确保 7×24 可联系，包括中国时间的夜间与节假日
- 明确信息来源：客户投诉、安全研究者报告、威胁情报、组件漏洞公告、自身监控
- 定义判断标准：什么情况算“被积极利用”，谁有权决定提交
- 准备模板：早期预警和通报的信息字段提前整理，产品清单、型号、销售国家随时可查
- 建立漏洞披露渠道：对外公布安全联系方式，接收研究者报告
- 演练一次：用模拟场景走完发现、评估、提交、用户告知的全过程，并记录用时
与其他义务的衔接
报告流程依赖 SBOM 和组件漏洞监控：没有组件清单，就很难判断第三方漏洞是否影响你的产品。建议与 CRA 其他要求和 RED 网络安全要求 一起规划。