扫二维码关注摩尔实验室
了解行业最新资讯，为您的产品保驾护航
解答各种产品认证检测问题，为您的产品保驾护航
【摩尔资讯】欧盟 CRA 漏洞披露落地实施进度现状
2026-09-10 11:08:00 栏目：通讯专栏
核心导读
文章脉络/关键词：
欧盟CRA、 漏洞披露、 SRP单一通报平台、 ENISA、 网络弹性法案、 合规准备
内容摘要：
欧盟《网络弹性法案》（CRA）第14条关于主动利用漏洞与严重事件的通报义务已于2026年9月11日正式生效，适用于所有在欧盟市场可得的带数字元素产品。ENISA于2026年8月更新了单一通报平台（SRP）操作指引，欧盟委员会也于2025年12月通过授权法案明确CSIRT延迟通报条件，立法闭环完成。企业现阶段应重点完成指定主备报送代表、创建并核验EU Login账号、确定指定CSIRT协调方三项准备，并区分AR与欧盟授权
AI 深度解读
欧盟CRA第14条通报义务已于2026年9月11日生效，标志着带数字元素产品上市后安全事件响应进入强制监管阶段。该义务覆盖消费IoT、工业IoT、路由器、网关、打印机等硬件品类，要求制造商在知悉主动利用漏洞或严重事件后极短时限内完成通报。支撑落地的关键环节已全部就位：ENISA于2026年8月3日更新SRP操作指引，首次公开指定报送代表（AR）注册与通知提交SOP；欧盟委员会于2025年12月11日通过授权法案，明确CSIRT在正当网络安全理由下可延迟向其他成员国通报的条件。企业现阶段应完成三项准备：设置主备AR、提前创建并核验EU Login账号、按主要机构所在地确定指定CSIRT协调方。需注意AR与欧盟授权代表职责不同，不可互替。ENISA指引表明企业可在确有通报需求时再注册SRP，CSIRT关联验证可与报送并行，不阻塞24小时预警提交，因此当前重点在于人员、账号、协调方与流程演练。
一、法规要点
欧盟《网络弹性法案》（Cyber Resilience Act，CRA，Reg. (EU) 2024/2847） 第 14 条规定的“主动利用漏洞与严重事件的通报义务”，已于2026 年 9 月 11 日正式生效。
该义务适用于所有在欧盟市场“可得”的带数字元素产品，涵盖消费类 IoT、工业 IoT、路由器、网关、打印机等硬件品类。与侧重“设计合规”的要求不同，第 14 条规范的是产品上市后的安全事件响应，要求制造商在知悉相关情形后，于极短时限内向指定机构完成通报。
二、落地实施进展
支撑该义务落地的两个关键环节，近期均已明确：
1.操作平台就位
ENISA（欧盟网络安全局）于2026 年 8 月 3 日更新了 CRA 单一通报平台（Single Reporting Platform，SRP）的操作指引，包括“指定报送代表（Assigned Representative，AR）注册 SOP”与“通知提交 SOP”，首次完整公开注册与报送流程，并附原版界面截图。
2.立法闭环完成
欧盟委员会已于2025 年 12 月 11 日通过授权法案，明确了 CSIRT（计算机安全事件响应小组）在“正当网络安全理由”下可延迟向其他成员国通报的适用条件。至此，第 14 条通报机制的立法闭环正式完成。法律基础、操作平台、延迟机制三个环节目前已全部齐备。
三、企业现阶段应完成的三项准备
| 序号 | 事项 | 说明 |
|---|---|---|
| 1 | 指定主/备报送代表 （AR） |
设置 Primary AR（主）与 Secondary AR（备），规避单人持有账号的风险 |
| 2 | 创建并核验 EU Login 账号 | 拟承担报送职责人员应提前完成，避免时限内临时处理账号问题 |
| 3 | 确定指定 CSIRT 协调方 | 通常按制造商“主要机构所在地”确定；非欧盟制造商结合其欧盟授权代表所在地 判断 |
关于注册时机的说明：按照 ENISA 当前指引，企业在确有具体通报需求时再完成 SRP 注册并启动关联验证即可。同时， CSIRT 对制造商关联的验证可与报送并行开展， 不阻塞 24 小时预警的提交。
因此，现阶段的工作重点在于人员、账号、协调方与流程演练，而非抢先注册。
四、需要区分的两个概念
Assigned Representative（AR，指定报送代表） ：在 SRP 中实际提交通报的操作角色。Authorised Representative（欧盟授权代表） ：产品合规层面的欧盟境内代表。
二者职责不同，不可互相替代。
五、MORLAB 服务能力
摩尔实验室（MORLAB）依托权威 CRA 法规库与 ENISA、欧盟委员会一手信源，面向带数字元素硬件出海企业提供一站式CRA 合规服务：
- CRA 适用性判定——明确产品是否落入适用范围及具体义务；
- SRP / AR 注册辅导——主备报送代表设置、EU Login 准备、CSIRT 协调方确认； 24/72h 通报流程搭建——案件生命周期建模、字段固化、跨部门流水线设计；
- 漏洞事件响应演练——验证从线索接入到最终报告提交的完整链路。
服务覆盖消费 IoT、工业 IoT、路由器 / 网关、打印机等品类，协助企业完成从“理解法规”到“流程可运行”的过渡。如需 CRA 合规咨询或 SRP 接入辅导，欢迎联系 MORLAB 合规团队。
参考来源
ENISA，Single Reporting Platform (SRP) 主页与 AR 用户注册指引（2026-08-03 更新） 欧盟委员会数字战略，CRA Reporting 官方说明
ENISA CRA SRP FAQ（2026-08-03 更新）
Regulation (EU) 2024/2847（CRA 法规正文）及 2025-12-11 授权法案
免责声明：本文基于公开官方信源梳理，仅供合规参考，不构成法律意见。CRA / SRP 具体适用以欧盟官方最新指引及企业产品实际情况为准；建议就个案咨询专业合规与法律意见。
常见问题
Q: 欧盟CRA第14条的通报义务何时生效？适用于哪些产品？
A: 该义务已于2026年9月11日正式生效，适用于所有在欧盟市场“可得”的带数字元素产品，涵盖消费类IoT、工业IoT、路由器、网关、打印机等硬件品类。它规范的是产品上市后的安全事件响应，要求制造商在知悉主动利用漏洞或严重事件后，于极短时限内向指定机构完成通报。
Q: 企业现阶段需要完成哪些准备工作？
A: 企业应完成三项准备：一是指定主报送代表（Primary AR）与备报送代表（Secondary AR），规避单人持有账号的风险；二是提前创建并核验EU Login账号，避免时限内临时处理账号问题；三是确定指定CSIRT协调方，通常按制造商主要机构所在地判断，非欧盟制造商结合其欧盟授权代表所在地判断。同时建议开展流程演练，而非抢先注册SRP。
Q: 指定报送代表（AR）与欧盟授权代表有什么区别？
A: Assigned Representative（AR，指定报送代表）是在SRP中实际提交通报的操作角色；Authorised Representative（欧盟授权代表）是产品合规层面的欧盟境内代表。二者职责不同，不可互相替代。
