图片名称

倒计时!9月11日CRA漏洞报告强制生效,立讯信息安全实验室提供全程辅导服务

作者:

立讯检测集团

来源:

发布时间:

2026-07-31

一个漏洞被攻击者盯上,你有多长时间反应?


 

24小时。


 

这是欧盟给你的初步预警窗口。


 

72小时。


 

这是你必须补齐全部技术细节的生死线。


 

过了这条线还没报告?罚款最高1500万欧元,或全球年营收2.5%——哪个高罚哪个。


 

2026年9月11日,欧盟《网络弹性法案》(CRA)第14条漏洞与安全事件报告义务正式强制执行。

 

1

CRA是什么?一句话说清

欧盟Regulation (EU) 2024/2847,2024年12月10日正式生效,是欧盟首部覆盖所有含数字元素产品的横向网络安全法规。


 

过去的网络安全要求是"建议你做",CRA把它变成了"你必须做"。从自愿到强制,从推荐到法律义务,分阶段推进。

 

2

9·11之后,什么必须报、怎么报?

触发报告的两个条件——满足任一即触发:


 

① 产品漏洞正在被攻击者实际利用(注意:不是"可能被利用",是"已经在被打")


 

② 发生了影响产品安全的重大事件


 

报告节奏——三段式倒计时:


 

24小时内 → 提交初步预警(先报"出事了")


 

72小时内 → 补充产品信息、漏洞详情、影响范围和处理措施(再报"怎么回事、怎么办")


 

后续 → 提交最终报告,必要时通知受影响用户


 

报告通道:通过欧盟唯一报告平台统一提交。

 

3

哪些产品被CRA"罩"住了?

关键词:带有数字元素的产品——硬件和软件都在射程内。


 

典型品类清单:


 

智能家居、门锁、门铃、摄像头、路由器、网关、可穿戴设备、工业设备、无线产品、App、操作系统、其他商用软件。


 

一个容易被忽略的细节: 产品不一定需要直接连互联网。


 

只要包含数字元素,且能通过Wi-Fi、蓝牙、NFC、USB等任意网络接口或通信方式与其他设备/网络/云服务进行数据交互——就需要做适用性评估。


 

换句话说,一个蓝牙门锁、一个USB接口的工业传感器,都可能落入CRA管辖。

 

4

制造商的五门"必修课"

CRA的底层逻辑不是"上市前测一次就完事",而是要求企业对产品整个生命周期负责。


 

必修课① 产品安全设计


 

建立身份认证、访问控制、通信加密、安全配置和攻击面管理机制

彻底杜绝默认密码、危险接口、不必要的开放服务

安全不是后加的补丁,是设计时就焊死的骨架


 

必修课② 漏洞和软件组件管理


 

建立SBOM软件物料清单

摸清产品用了哪些开源库、SDK、第三方组件

持续追踪相关漏洞动态

你不知道自己用了什么,就没法知道哪里会出问题


 

必修课③ 安全更新和支持


 

明确产品安全支持周期

持续处理漏洞,及时向用户提供安全更新和风险提示

卖出去不是终点,安全兜底才是责任


 

必修课④ 事件报告机制


 

谁负责判断漏洞?谁负责报告?谁负责通知客户?

24小时和72小时报告流程必须提前跑通

等漏洞爆了再临时分工,72小时根本不够用


 

必修课⑤ 合规证据链


 

保存以下全部技术文件:

风险评估报告

安全测试记录

整改记录

SBOM

漏洞处理记录

用户安全说明

相关技术文档

 

5

不合规的代价:罚款只是冰山一角

罚款上限:1500万欧元,或上一财年全球营业额2.5%,取较高者。


 

监管机构还能追加处罚:


 

① 限期整改

② 停止销售

③ 产品下架或撤回

④ 召回已售产品


 

但真正让出口企业夜不能寐的,不是罚单本身。


 

订单中止、客户索赔、产品大规模召回、品牌信誉崩塌——这些连锁反应的杀伤力,远超罚款数字。一个安全事件处理不当,可能丢掉的不只是一批货,而是整个欧盟客户。

 

6

特别提醒

2026年9月11日 → 漏洞和重大安全事件的强制报告义务开始实施


 

2027年12月11日 → CRA其他全部要求全面实施


 

别把9月11日理解为"CRA全面落地",它只是第一个必须过的关卡。

 

7

LCS立讯信息安全实验室:CRA全程辅导方案

CRA真正要求的,不是你的产品永远不出现漏洞——没有人能做到这一点。


 

它要求的是:


 

知道风险在哪里

发现问题有人处理

漏洞能够及时修复

发生事件能够及时报告

每一步都有证据留存


 

LCS立讯检测信息安全实验室,可为客户提供CRA合规全流程辅导服务:


 

① 前期研判


 

CRA适用性判断和产品分类

法规差距分析及整改计划制定


 

② 技术测试


 

产品网络安全测试

固件、通信、身份认证和升级机制评估

SBOM建立及第三方组件漏洞扫描与分析


 

③ 流程建设


 

漏洞披露和事件报告流程搭建

24小时/72小时报告模板及响应预案


 

④ 文档与合规


 

风险评估及技术文档整理

整改复测和符合性评估技术支持

协助企业完成CRA报告义务

法规参考链接:


 

① CRA法案Article 71规定漏洞报告义务(Article 14所要求)强制实施时间2026.9.11:

 https://eur-lex.europa.eu/eli/reg/2024/2847/oj


 

② 欧盟官网对网络弹性法案漏洞报告义务的说明: 

https://digital-strategy.ec.europa.eu/en/policies/cra-reporting