非欧盟制造商24小时漏洞报告费用（CRA 2026）

• 2026年9月11日起，所有在欧盟销售数字产品的制造商必须遵守
• REP27提供490欧元/年服务，续费440欧元，价格公开透明
• Kadano报价999欧元/年，Euverify报价590英镑/年（约690欧元），价格公开
• 服务仅涵盖报告传送，不包含测试或技术评估
• 未遵守规定最高罚款1500万欧元或全球营业额2.5%
• 不适用于进口商、分销商或仅在欧盟外销售者

已更新 22 October 2026 · 7 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 22 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求：CRA第14条

根据网络韧性法（EU法规2024/2847）第14条，所有在欧盟销售数字产品的制造商，无论所在地，都必须严格遵守漏洞报告义务。自2026年9月11日起，制造商需在知悉被积极利用的漏洞或严重安全事件后24小时内报告。报告通过ENISA管理的统一平台提交，发送至相关欧盟成员国的CSIRT协调机构。

• 报告分三个阶段：早期预警（24小时内）、详细通知（72小时内）、最终报告（14天内）。
• 非欧盟制造商若直接或通过市场向欧盟客户销售产品，亦须遵守报告义务。
• 授权代表无需进行安全测试或技术评估，其职责仅为传递报告和作为联系点。
• 义务涵盖影响产品安全的事件，不仅限于已被利用的漏洞。

未按时报告或延迟可能导致最高1500万欧元罚款或全球年营业额2.5%的罚款（取较高者）。此规定适用于所有在欧盟市场投放数字产品的实体，包括软件、硬件、物联网设备、SaaS等。

来源：NIS2.gov.ie，Licentium

如何选择服务商：实用标准与对比

选择符合CRA漏洞报告要求的服务商时，除了价格，还应关注以下实用标准：

• 价格公开透明：优先选择明确公布年费和续费价格的服务商，避免隐藏费用。
• 地理覆盖：确保服务商能覆盖您产品销售的所有欧盟国家。
• 认证与验证：签署的授权书应可电子签名并公开验证，体现服务商的正规性。
• 全天候报告通道：服务需全年无休24小时运行，包括周末和节假日。
• 明确排除项：无论哪个服务商，基础价格均不包含安全测试、SBOM或技术支持，授权仅限于报告传递。

详细对比：

实用建议：签约前务必确认包含内容、单次报告是否收费及续费细节。优先选择提供公开可验证证书、明确法律实体及地理覆盖的服务商。

价格具体包含内容

服务商公布的价格仅涵盖根据CRA第18条的授权代表职责，包括：

• 接收并通过官方平台向CSIRT/ENISA转发漏洞或安全事件报告。
• 作为欧盟监管机构的联系点，响应询问和澄清。
• 提供签署并认证的授权书，通常含二维码以供公开验证。
• 保证24/7全天候报告通道（至少REP27官方宣称如此）。

价格不包含：

• 安全测试或漏洞评估
• 软件物料清单（SBOM）生成
• 报告编写的技术、法律或运营支持
• 危机管理或用户通知（仅限报告转发）

例如，REP27明确表示“合规评估由认证机构负责，测试由安全公司执行，SBOM由您的构建流程生成，报告由您的安全团队处理”。授权仅涵盖报告传递和接收，无单次报告额外费用，无隐形推销。

建议：确保内部具备准备报告和应对监管询问的能力。

隐藏成本、服务限制及实际风险

授权代表费用仅为遵守网络韧性法预算的一部分，常被忽视的成本和限制包括：

• 内部准备：信息收集、报告撰写及与代表沟通均由制造商承担。
• 审计与评估：监管要求时，可能需额外承担外部审计或技术评估费用，授权不涵盖。
• 技术与法律支持：代表仅负责报告传递，不提供技术或法律咨询，相关服务需另行购买。
• 责任限制：服务商不对客户提供内容的错误或遗漏承担责任。
• 续费与更换：务必确认续费条件及更换代表的可能费用，REP27公开相关价格，其他服务商未必。

实际风险：

• 内部流程不完善易导致未按时报告。
• 未报告或延迟报告可能导致高额罚款及欧盟销售禁令。

建议：将授权视为“流程保障”，合规关键在于内部组织。

授权流程：步骤与清单

CRA授权代表的指定流程清晰，具体步骤及清单如下：

1. 确认是否在欧盟销售数字产品：若是，确认您为制造商（非仅进口商/分销商）。
2. 选择服务商：比较价格、服务内容及合同透明度。
3. 在线申请服务：填写申请表，获取CRA第18条授权书。
4. 签署并保存授权书：双方签字并妥善保存备查。
5. 更新企业文件：将代表信息纳入运行手册、内部政策及合规文档。
6. 制定内部报告流程：明确漏洞申报人、证据收集及报告模板（早期预警、通知、最终报告）。
7. 指定至少两名提交人：确保至少两人可访问ENISA平台，防止因人员缺席导致阻断。
8. 记录所有操作：详细跟踪报告人、时间及方式，便于审计。

操作清单：

1. 确认身份（制造商、进口商、分销商）
2. 选择并指定代表
3. 准备内部报告流程
4. 指定提交人并更新文档
5. 预填报告模板
6. 记录所有报告与沟通

建议：流程清晰是授权服务的核心价值。

决策矩阵：谁需要该服务？

并非所有企业都需指定漏洞报告授权代表。以下基于实际案例的决策矩阵：

建议：仅作为分销商或进口商且不以自己名义投放市场者无须指定代表。非欧盟制造商必须指定以避免处罚。

服务商未明说的事项（但您应知）

许多服务商未公开的关键细节可能影响您的合规及实际成本：

• 排除项：无服务商基础价格含安全测试、SBOM或技术评估，授权仅限报告传递。
• 责任归属：报告内容的准确性和及时性责任始终由制造商承担，代表不修改或审核报告。
• 续费与更换：部分服务商未公开续费价格或更换条件，REP27公开透明。
• 语言与时间：确认服务商确实24/7在线，能处理多语言请求（如需）。
• 服务限制：代表不负责用户通知、危机管理或法律咨询。

建议：签约前务必索取书面排除项及责任限制清单。

实际案例：三种典型情境及简化路径

• 美国SaaS向欧盟销售：需指定CRA代表，建立报告流程，将代表信息纳入官方文件。漏洞发生时，向代表报告，由其转发至ENISA/CSIRT。简化路径是选择24/7活跃且授权可验证的服务商。
• 中国卖家在Amazon：若为数字产品制造商，须报告并指定代表；若仅为分销商，则无需。简化路径是明确合同角色，必要时选择具电商经验的服务商。
• 英国在线商店：若向欧盟客户销售数字产品，需指定代表并遵守报告流程；仅在英国销售则无此义务。简化路径是评估欧盟销售比例是否值得合规投入。

无论哪种情况，内部准备和流程清晰是遵守截止日期、降低处罚风险的关键。