欧盟《网络弹性法案》报告义务生效

　　【预警资讯】

　　2026年9月11日，欧盟《网络弹性法案》（Cyber Resilience Act，以下简称CRA）规定的漏洞及严重安全事件报告义务正式生效。CRA要求制造商通知已被主动利用的漏洞以及对数字元素产品安全产生重大影响的严重事件。制造商需在知情后24小时内提交早期预警，并在72小时内提交完整通知。对于已被积极利用的漏洞，应在补救措施可用后的14天内提交最终报告；对于严重事件，则应在72小时通知后的一个月内提交最终报告。此外，根据CRA第24条第3款，开源软件维护者也负有相应的报告义务。

　　（资讯分类：境外，制造业，信息传输、软件和信息技术服务业，网络安全；资讯来源：欧盟委员会官方网站）

　　【要点提示】

　　建议在欧经营主体关注如下要点：一是把CRA义务嵌进产品合规流程，建立7×24小时漏洞与事件监测及分级研判机制，由安全运营或合规团队在24/72小时法定节点前完成早期预警与完整通知提报，并留存证据链；二是建立产品全生命周期安全机制，覆盖从设计、发布、更新、补丁到停更退出全部阶段，在整个生命周期内提供安全更新与支持；三是将CRA要求写进业务合同与供应商协议，明确漏洞披露、事件上报、补丁交付和跨境监管配合责任。

2026年10月26日第173期