网络安全｜欧盟CRA新规，2026年9月11日起安全漏洞强制上报

欧盟《网络安全弹性法案》（Cyber Resilience Act，Regulation (EU) 2024/2847）2026年9月11日漏洞上报义务强制生效。这是CRA首个落地的核心条款，所有在欧盟销售的数字产品均需遵守。根据Article 14，漏洞报告需通过单一上报平台进行，以确保与欧洲的计算机安全事件响应小组（CSIRTs）及欧盟网络安全局（ENISA）保持协调一致。违规企业最高处以全球年营业额2.5%或1500万欧元（两者取高额罚款）。

CRA Article 14 核心要求

生效日期：2026年9月11日

适用范围：所有向欧盟市场投放带数字元素产品的制造商，含消费电子、工控产品、通信设备、软件/固件、芯片半导体等。

报告对象：对应成员国CSIRT和欧盟ENISA

上报渠道：报告需通过欧盟单一报告平台（SRP）提交

触发条件：制造商在知悉以下两类安全风险时，必须履行法定报告义务

01 已被利用的安全漏洞

若产品安全缺陷已被攻击者实际利用，制造商需在24小时内发布风险预警，72小时内完成详细事件报告的提交，后续在漏洞修复、风险缓解措施落地完成后，及时提交最终处置报告，闭环合规流程。

02 严重的安全事件

若产品存在高危安全隐患、面临严重安全风险，即便暂未出现被攻击利用的实际情况，也需启动快速上报流程，按规范提交结构化风险报告，并根据风险处置进度持续更新报告内容。

华测的服务

☑ 依据prEN 40000-1-3协助客户进行应急响应体系搭建，满足合规要求

☑ CRA法规完整合规咨询及差距分析

☑ 产品合规级的漏洞扫描和SBOM生成

了解更多CRA内容：ht-diesel.com/serverArticle/2455