9月11日起，欧盟CRA进入首个强制节点：中国智能硬件出海，24小时内要做什么？
假设一款销往欧洲的智能门锁突然被发现存在安全漏洞。过去，企业可能先让研发排查、等补丁完成，再通知渠道和用户；从2026年9月11日起，如果该漏洞已经被恶意利用，留给制造商提交第一份预警的时间，最长只有24小时。
但需要先澄清一个容易被误读的事实：9月11日不是欧盟《网络韧性法案》（Cyber Resilience Act，简称CRA）“全面实施”的日期。
根据欧盟《条例（EU）2024/2847》，CRA于2024年12月生效。第14条规定的报告义务自2026年9月11日起适用；产品网络安全设计、风险评估、漏洞处理、合格评定等主体义务，则主要从2027年12月11日起适用。也就是说，企业当前面对的是第一个强制节点，而不是合规工作的终点。欧盟委员会对CRA实施时间表的说明
谁需要关注：不只是手机和智能家电
CRA针对的是在欧盟市场提供的“带有数字元素的产品”。判断的核心不是产品有没有屏幕，而是其预期用途或可合理预见的使用，是否包含与设备或网络直接或间接的数据连接。
因此，可能受到影响的产品包括联网家电、智能门锁、摄像头、可穿戴设备、路由器、工业物联网终端、应用程序，也包括单独投放市场的芯片、操作系统和软件组件。部分已经受到欧盟其他专门法规覆盖的医疗器械、汽车、航空及船用设备等存在排除或特别衔接规则，不能仅凭产品名称作结论。欧盟委员会CRA实施问答
更容易被忽略的是，2026年9月11日起的报告义务也可能涉及此前已经进入欧盟市场的产品，并非只针对2027年之后发布的新品。
法定义务主要落在以自己的名称或商标将产品投放市场的“制造商”身上。中国企业即使通过欧洲进口商或经销商销售，也不宜把报告责任简单理解为渠道商的事。欧洲进口商、授权代表、渠道伙伴和售后团队可以参与信息传递与执行，但产品识别、技术判断和补救措施往往仍离不开国内总部。
不是所有漏洞都要报：关键是两类事件
CRA第14条要求制造商报告两类情况：
第一类是被主动利用的漏洞，即存在可靠证据表明，恶意行为者已经在未经系统所有者许可的情况下利用该漏洞。单纯发现一个尚无被利用证据的普通缺陷，不应自动与这一概念画等号。
第二类是严重影响产品安全的事件。判断需要结合第14条第5款：例如，事件是否已经或可能严重影响产品保护重要数据或功能的可用性、真实性、完整性或保密性的能力，或者是否已经或可能导致恶意代码进入、运行于产品或用户的网络信息系统。
这里的难点不只是技术检测，而是“何时知悉”“证据是否可靠”“影响是否达到严重程度”的跨部门判断。企业既不能把所有工单都报成重大事件，也不能为了等待完整根因分析而错过24小时期限。
24小时、72小时和最终报告，分别要做什么
一旦制造商知悉应报告事项，时间表便开始运转：
| 时间节点 | 被主动利用的漏洞 | 严重安全事件 |
|---|---|---|
| 24小时内 | 提交早期预警，并在适用时说明产品在哪些成员国提供 | 提交早期预警，并在适用时说明是否怀疑存在违法或恶意行为 |
| 72小时内 | 补充产品、漏洞及利用方式的一般信息，以及已采取或用户可采取的缓解措施 | 补充事件性质、初步严重性和影响评估，以及缓解措施 |
| 最终报告 | 在修复或缓解措施可用后不迟于14天提交 | 在72小时通知提交后1个月内提交 |
法律要求的是“无不当延迟，且最迟不超过”上述时限。24小时预警并不要求企业已经完成全部技术调查；后续信息应在72小时通知和最终报告中继续补充。欧盟委员会：CRA报告义务
Single Reporting Platform：一次提交，不等于只让一个人知道
报告将通过欧洲网络安全局ENISA建立并运营的Single Reporting Platform（SRP，单一报告平台）提交。制造商在平台中选择相应的协调CSIRT；选择通常取决于制造商在欧盟的主要设立地，非欧盟制造商还需结合其授权代表所在地等第14条第7款规则确定。
报告原则上会同时提供给相应CSIRT和ENISA，接收报告的CSIRT再向产品已提供市场所在成员国的相关CSIRT传播，必要时还会涉及市场监管机构。“一次填报”简化了入口，却不代表信息只停留在一个机构内部。ENISA：SRP常见问题
ENISA截至2026年8月31日公布的操作信息还显示，平台账号采用个人EU Login并要求双因素认证，不建议使用共享功能邮箱；一家制造商可设置一名Primary Assigned Representative及最多20名Secondary Representatives。企业应先确定角色、准备EU Login，并按照ENISA届时最新指引完成登记，而不能等事件发生后再讨论“由谁上报”。
中国企业现在应完成的六项准备
一、建立欧盟产品清单。 逐项记录产品型号、软件版本、销售成员国、制造商品牌主体、进口商、授权代表和支持期限，并初步判断CRA适用性。
二、明确24小时响应负责人。 由产品安全、研发、法务合规、欧洲团队、客户支持和管理层共同形成RACI表，写清谁发现、谁分级、谁批准、谁登录SRP。
三、准备最小信息包。 提前建立产品描述、受影响版本、销售国家、漏洞或事件性质、发现时间、利用证据、缓解措施和用户建议等字段模板。
四、打通供应链通知。 对开源组件、芯片、固件和第三方软件建立组件台账，并在供应商及欧洲合作方合同中约定安全事件的通知窗口和联络方式。
五、把用户沟通与修复并入流程。 报告监管信息、发布补丁、通知受影响用户和回答渠道询问应使用同一事实底稿，避免技术、法务和客服版本相互冲突。
六、做一次72小时桌面演练。 模拟欧洲渠道周五晚发现漏洞：4小时内留存证据，12小时内确认产品与涉及市场，20小时内完成预警审批，24小时内提交；随后继续调查并在72小时内更新。只有演练过，企业才知道时差、语言和授权链条会在哪里卡住。
从“知道政策”到“建立欧洲响应网络”
CRA也改变了企业赴欧商务考察的逻辑。对智能硬件、工业物联网和软件企业而言，有效考察不应只是参观科技公司，而应围绕一条合规落地链展开：在布鲁塞尔了解欧盟政策与行业信息，在德国对接检测认证、网络安全和技术服务生态，在法国调研渠道、售后与本地运营，并通过闭门工作坊把产品清单、责任主体和事件响应流程落实到表格中。
追源文旅可围绕“欧洲数字产品合规与市场进入”协助企业开展前期需求梳理、行程设计、专业机构及产业伙伴的会谈申请、翻译与现场执行，并在回国后整理对接纪要和行动清单。监管机构、行业组织和企业拜访均需提前申请，以最终确认结果为准；法律判断、产品认证及技术检测则应由具备相应资质的专业机构完成。
从9月11日起，决定企业反应速度的不是一封临时邮件，而是一套跨越中国总部、欧洲主体、渠道和技术伙伴的工作机制。24小时很短，但真正需要提前建设的，是企业在欧洲长期经营的安全能力。
