非欧盟制造商的网络韧性法案义务

• CRA自2026年9月11日起适用于在欧盟销售的非欧盟制造商
• 第18条：无欧盟实体者须指定欧盟授权代表
• 针对被利用漏洞有24小时报告义务（第14条）
• 合格评定路径视产品类别而定
• 违规罚款最高达1500万欧元或营业额2.5%

已更新 18 October 2026 · 9 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 18 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求（含条款编号）

网络韧性法案（CRA）是欧盟针对含数字元素产品（硬件、软件及组件）制定的新规。无论制造商所在地，只要产品投放欧盟市场即适用。法律于2024年12月10日生效，报告义务自2026年9月11日起执行；全面合规（含CE标志及合格评定）自2027年12月11日起。

• 第18条：非欧盟制造商若无欧盟实体，须为每条产品线指定欧盟授权代表，作为官方联系及市场监管窗口。
• 第14条：制造商必须报告被主动利用的漏洞及严重安全事件。时间要求严格：24小时内预警，72小时内完整通知，缓解或通知后14天内提交最终报告。报告平台由ENISA管理，接收方由代表所在成员国确定。
• 附件I & II：制造商需满足基本网络安全要求，包括漏洞处理、安全设计开发及以用户和监管机构易懂语言提供清晰使用说明。
• 合格评定：依据产品类别不同，流程有所区别。默认产品可自我评估；重要I类须采用协调标准或第三方评估；重要II类及关键产品需通知机构或认证方案评估。
• 支持期：制造商须在声明的支持期内（至少五年）提供安全更新及漏洞处理。
• 豁免：微型及小型企业、开源维护者免于迟报罚款，但仍须履行技术和报告义务。

进口商和分销商若以自有名义投放或实质修改产品，则视为制造商。否则，原制造商承担CRA合规及报告责任。

如何选择CRA代表或合规服务商

为非欧盟制造商选择合适的第18条代表或合规服务商至关重要。市场价格、透明度及服务内容差异较大，选择时应关注：

• 法人实体及所在地：核实服务商的法人身份及欧盟注册地。例如，REP27为捷克布拉格注册的Europe Services, SE。付款前务必确认。
• 授权范围：部分服务商仅提供法律要求的第18条授权委托，另有提供GDPR或NIS2代表服务的组合套餐。确认委托仅限第18(3)条，不涵盖第18(2)条禁止的职责。
• 价格透明度：优选公布首年及续费价格的服务商，警惕初期低价后续费大幅上涨。REP27即明确标示续费价格。
• 验证与支持：确保服务商提供可验证证书、公开验证方式及专人请求处理。了解请求转发流程、支持语言及响应时效。
• 组合服务：若需GDPR第27条或GPSR第16条代表，部分服务商（如REP27）提供优惠组合套餐。

决策矩阵：

投放欧盟市场前务必索要书面授权委托及证书。

价格包含内容对比

价格及包含服务差异显著。第18条授权通常是CRA合规中外部成本最低部分，但多数服务商未公开完整细节。以下为2026年10月各服务商包含、不包含及可能额外收费内容对比：

对多数制造商而言，第18条授权为一页文件加转发请求义务。合格评定、技术测试及SBOM生成为额外费用，非代表费包含。

隐藏成本与排除项

第18条授权虽为法律必需，但仅占CRA合规总成本一小部分。最昂贵部分如合格评定、通知机构费用、技术文档及支持期均不包含在大多数代表套餐内。注意事项：

• 合格评定费用：重要II类及关键产品需通知机构或认证方案，费用数千欧元且耗时数月，需单独预算。
• 技术文档：Reglyze和EmberKat等提供技术档案生成、SBOM导入及文档差距分析，但非标准代表委托范围。
• 续费及按次收费：部分服务商续费价格较高或按请求/报告收费，签约前务必书面确认。
• 通知期限及责任限制：无声续约及不明确取消政策可能导致额外费用，代表通常排除合规失败责任。
• 支持期成本：法律要求至少五年安全更新及漏洞处理，需相应资源和预算支持。

REP27明确排除法律咨询、技术评估及SBOM生成。签约前务必澄清排除项及隐藏成本。

指定流程：逐步指南

指定第18条代表并实现CRA合规包含多步骤，非欧盟制造商可参考：

1. 确认产品范围：识别所有含数字元素（硬件、软件、组件或远程数据处理解决方案）并投放欧盟市场的产品。
2. 产品分类：根据CRA定义判定产品为默认、重要I/II类或关键，决定合格评定路径。
3. 选择代表：选定具可验证欧盟法人实体的第18条代表，书面确认范围、价格及续费条款。
4. 签署委托书：与选定服务商签署书面委托（第18(3)条），获取证书及公开验证方式。
5. 准备文档：整理技术文档（附件VII）、SBOM、欧盟合格声明及所需语言的用户说明。
6. 建立24小时报告渠道：确保有专人处理漏洞及事件，预先准备预警及通知模板。
7. 注册ENISA：在ENISA报告平台注册提交人，建议至少两人，分属不同时区。
8. 预算持续合规：规划支持期成本（至少五年更新）、合格评定及文档维护。
9. 定期审查更新：安排合规状态、文档及报告流程的定期复核。

遵循此清单确保满足CRA法律及实际要求。

违规风险与罚款

CRA对违规行为设有严厉处罚。违反基本网络安全要求或制造商义务，罚款最高可达1500万欧元或全球年营业额2.5%，取较高者。适用于所有在欧盟市场投放产品的制造商，无论是否欧盟内。

• 报告失误：未在24小时内报告漏洞将面临执法。微型、小型企业及开源维护者迟报免罚款，但仍须履行报告义务。
• 采购及市场准入风险：无第18条代表可能导致采购受阻，失去企业销售或公共招标资格。
• 市场监管行动：监管机构可对不合规制造商采取产品下架或召回措施。
• 分销商/进口商风险：未指定代表时，欧盟进口商或分销商可能被视为默认报告渠道，导致合规沟通失控。
• 无声失效：未续签委托或文档未更新可能导致无预警违规，面临执法风险。

有效合规不仅避免罚款，更确保市场准入及客户信任。

服务商常忽略说明

多数服务商强调第18条授权必要性，但往往未完整披露全貌，常见遗漏包括：

• 授权范围：第18条授权仅限请求转发及联系点，不含法律咨询、技术评估或SBOM生成，除非明确说明。
• 合格评定：重要II类及关键产品通知机构费用远高于代表费，且需数月完成，不包含在基础授权内。
• 支持期：至少五年安全更新及漏洞处理为重大运营成本，代表服务不涵盖。
• 续费及通知条款：部分服务商首年低价，续费高昂或需长通知期，务必书面确认续费条款。
• 责任：代表通常排除合规失败责任，制造商承担全部CRA义务。

透明说明排除项与包含内容同等重要，签约前务必索取完整排除清单并明确服务商角色。

实际案例：适用路径解析

• 美国SaaS公司：美国SaaS供应商直接向欧盟客户销售软件，需指定第18条代表，准备技术文档和SBOM，建立24小时报告渠道。默认类产品可自评，重要或关键类需通知机构。简易路径为指定代表（如REP27）、准备文档并注册ENISA。
• 中国亚马逊卖家：中国制造商以自有名义在亚马逊销售物联网设备给欧盟买家，必须指定第18条代表并满足所有CRA要求。若产品由欧盟进口商投放，进口商承担义务；否则原制造商负责报告及文档。
• 英国网店：英国零售商向欧盟客户发货联网设备，需指定第18条代表，准备技术档案并确保24小时漏洞报告流程。若通过以自有名义投放产品的欧盟分销商销售，分销商承担义务；否则英国零售商负责。

所有案例关键在于梳理销售渠道、确认产品投放方并按需指定代表，避免采购延误、确保合规及规避罚款。

合规清单：今日起步指南

1. 梳理欧盟销售渠道，确认所有含数字元素产品。
2. 依据CRA定义分类产品（默认、重要I/II类、关键）。
3. 确定是否需指定第18条代表（非欧盟制造商必需）。
4. 向选定服务商（如REP27、kadano、Euverify）索要书面委托及证书。
5. 准备技术文档：附件VII文件、SBOM、欧盟合格声明及欧盟语言用户说明。
6. 建立专人24小时漏洞报告渠道，预写预警及通知模板。
7. 在ENISA报告平台注册至少两名提交人（建议不同时区）。
8. 若产品为重要II类或关键，预算通知机构或认证方案费用。
9. 声明并资源支持期，至少五年安全更新及漏洞处理。
10. 安排定期合规审查及文档更新。

遵循此步骤确保满足2026-2027年CRA执行期限，避免合规漏洞带来高额成本。