欧盟《网络韧性法》通报义务生效：联网硬件进入 24 小时倒计时

9 月 11 日究竟改变了什么？

欧盟委员会指出，制造商现在必须处理两类法定事件。第一类是“主动利用漏洞”，即有可靠证据显示恶意行为者已经在未经系统所有者许可的情况下利用漏洞；第二类是对带数字元素产品的安全造成严重影响的事件。普通程序错误、更新失败或尚未证实的报告，不会自动成为这两类事件，仍需按照 CRA 定义和制造商掌握的事实判断。

制造商一旦知悉事件，第一个期限很短：须在不无故拖延的情况下，最迟 24 小时内发出预警，并在 72 小时内补充一般信息和初步评估。主动利用漏洞的最终报告，最迟在修复或缓解措施可用后 14 天内提交；严重安全事件则须在 72 小时通报后的一个月内提交最终报告。

为什么通报比 CRA 其他规则更早开始？

CRA 多数产品义务，包括完整的网络安全要求和合格评定框架，要到 2027 年 12 月 11 日才适用；事件通报则提前到 2026 年 9 月 11 日。欧盟委员会的法规摘要进一步说明，通报适用于已经在欧盟市场提供的带数字元素产品，包括在 2027 年期限之前就已上市的产品。

这形成了一段特殊过渡期：某款产品尚未进入 2027 年完整设计规则，制造商却可能已经需要通报其主动利用事件。ENISA 建立的单一平台会把通报发送给制造商主要设立地的协调计算机安全事件响应团队；除法规规定的特殊情况外，ENISA 和其他相关主管机构也会取得信息。

• 2026 年 9 月 11 日：制造商强制通报正式开始
• 知悉后 24 小时内：发出事件预警
• 知悉后 72 小时内：补交通报与初步评估
• 最终报告：漏洞与事件适用不同期限
• 2027 年 12 月 11 日：CRA 主要产品义务适用

联网充电产品为什么需要关注？

CRA 覆盖软件和硬件形式的带数字元素产品，其预定用途或可合理预见用途须包含与设备或网络直接、间接连接。普通非联网充电器，不能与 App 控制充电宝、网络管理充电集线器，或依赖固件与远程服务运行的产品一概而论。特定产品是否纳入，仍须根据设计、连接方式与法规排除项目进行法律和技术判断。

ZIMONAI｜智蒙湾科技编辑部认为，24 小时通报期限最先暴露的将是硬件供应链的交接断点：品牌从客服获得异常信息，模块厂知道漏洞落在哪个零件，App 团队掌握日志，却没有任何一方看见全貌。制造商如果无法迅速串联产品型号、固件版本、零件来源、受影响市场和决策责任人，就会在判断是否通报之前先浪费时间。接下来真正值得买家关注的，是联网产品供应商是否公开安全联系窗口、支持期限与更新渠道，而不只是包装上的常见合规标识。