欧盟《网络韧性法》：当前适用的义务与2027年准备指南

先确认产品和自身角色

CRA涵盖在欧盟市场提供的硬件和软件，其预期用途或可合理预见的用途涉及与设备或网络的直接或间接数据连接。单独提供的组件，以及实现产品功能所必需的远程数据处理，也可能在适用范围内。软件开发者也可能是制造商：请确认谁开发产品或委托他人开发，并以自己的名称或商标销售产品。

分配义务前应检查适用例外。在商业活动之外提供的自由及开源软件不在适用范围内；包括医疗器械在内的部分受行业法规约束的产品，另有特定排除规定。进口商、分销商和开源软件管理者的角色各不相同。本清单重点面向制造商。

报告义务已经适用

请分别评估两个触发条件：产品中被主动利用的漏洞，以及影响其安全的严重事件。发现缺陷本身并不能证明漏洞已被主动利用；还需要恶意利用的可靠证据。事件本身也可能独立触发报告义务。请采用第14条第5款的严重性标准。

通过ENISA的单一报告平台，向指定的协调CSIRT和ENISA报告。应在事件发生前安排适当的代表人员并明确报告路径。平台提供注册指南和用户手册。

应及时采取行动，不得无故拖延。报告各阶段的期限不同：

• 获知后24小时内： 提交早期预警。不要等到完成全部调查后再报告。
• 获知后72小时内： 提交漏洞或事件通知，列明已掌握的详细信息和纠正或缓解措施，除非这些信息已经提供。
• 最终报告： 对于被主动利用的漏洞，最迟在纠正或缓解措施可用后14天内提交；对于严重事件，在事件通知后一个月内提交。两种期限的起算点不同。

将现有产品纳入报告义务审查

第69条第3款将报告义务扩展至2027年12月11日之前投放市场的受管产品。评估时应纳入旧版本。制造商还必须向受影响的用户，并在适当情况下向所有用户，告知漏洞或事件以及必要的防护措施。

这并不意味着2027年的所有要求都提前适用。一般而言，此前的产品如果在2027年12月11日起发生实质性修改，就会受到更广泛要求的约束。从该日起投放市场的新个体产品需要单独评估，即使该型号早已上市。开源软件管理者根据第24条第3款承担的报告义务，也从2027年12月11日开始。

为2027年12月做好产品准备

对于受管产品的发布，将CRA要求转化为产品层面的工作计划。先选择一款有代表性的产品，并为每项差距指定负责人。

1. 审查安全风险与设计。 梳理产品、组件及配套远程数据处理。评估网络安全风险，检查附件I中适用的要求，包括安全默认设置、访问控制和安全更新。
2. 准备漏洞处理机制。 记录组件和漏洞，并编制机器可读的软件物料清单，至少涵盖顶层依赖项。建立漏洞披露联系渠道、修复流程及安全更新交付机制。
3. 设定有依据的支持期。 考虑预期使用期限和用户的合理期待。通常最低为五年，而不是自动以五年为上限；预期使用期限较短时，可以设定较短的支持期。记录判断依据并告知支持终止日期。
4. 确认合格评定路径。 结合欧盟第2025/2392号实施条例中的技术描述，确认产品属于默认类别、重要产品还是关键产品。许多产品可以自我评估；其他产品则须依适用条件和例外，由公告机构参与。
5. 汇总发布所需的证据。 汇总风险评估、技术文档、验证结果、用户说明和支持信息。先完成适用的合格评定，再编制欧盟符合性声明并加贴CE标志。

让首次审查形成具体成果

选择一款产品，记录适用范围判断、报告负责人、支持期假设和合格评定路径。演练可信的漏洞报告如何到达负责团队，以及如何跟踪报告期限。将证据与未解决的问题集中保存，为下一次产品发布审查提供清晰的起点。

使用Regunow规划CRA审查

使用Regunow研究CRA的适用范围、报告义务和产品要求，核查原始条文并分析您的文档。将结果汇总成报告，供团队审阅。