Cyber Resilience Act（CRA）漏洞报告服务供应商比较

• CRA漏洞报告自2026年9月11日起强制执行
• 仅部分供应商公开价格及包含内容
• 代表资格仅涵盖报告传递，不含技术评估
• 比较排除项、续约及验证流程
• 未报告违规罚款最高可达1500万欧元或营业额2.5%
• 代表授权不包含评估、SBOM或技术支持

已更新 21 October 2026 · 12 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 21 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求：义务、条款与截止日期

Cyber Resilience Act（CRA），欧盟条例（EU）2024/2847，对在欧盟市场投放含数字元素（硬件或软件）产品的企业施加严格义务，无论其注册地。主要义务包括：

• 指定授权代表（第18条）： 非欧盟制造商须书面指定欧盟代表，负责向主管机构（CSIRT、ENISA）传递漏洞及重大事件报告。
• 漏洞报告（第14条）： 自2026年9月11日起，制造商须在获知被积极利用的漏洞或重大安全事件后24小时内报告，报告通过ENISA平台提交给CSIRT协调员。
• 完整通知与最终报告： 初始报告后72小时内提供详细通知及初步修正措施，14至30天内提交漏洞详情及解决方案的最终报告。
• 适用于所有数字产品： 义务涵盖新旧产品全生命周期，包括更新与支持。
• 处罚措施： 违规最高罚款达1500万欧元或全球营业额的2.5%，以较高者为准。

需区分CRA漏洞报告（产品安全）与GDPR（个人数据泄露）及NIS2（服务事件）等其他义务，三者针对对象、截止时间及平台均不同。

如何选择供应商：实用标准与风险

选择CRA漏洞报告供应商应基于实用且透明的标准，关键考量包括：

• 公开透明的价格： 优先选择明确公布价格及续约费用的供应商，避免隐藏续约或“入门”价格。
• 服务内容： 确认服务仅涵盖代表授权及报告转发，还是包含技术支持、文档、SBOM或高级工作流。多数供应商仅提供法律代表服务。
• 可验证证书： 含二维码及公开验证页面的证书可降低审计或事件争议风险。
• 7×24小时服务台： 报告渠道需全年无休，含夜间、周末及节假日，务必确认服务时段。
• 语言及响应时间： 确保供应商支持英语及必要的欧盟语言，响应时间不超过24小时以保障合规。
• 排除项与限制： 代表不涵盖合规评估、安全测试、SBOM生成或工程支持，相关责任仍由制造商或专业供应商承担。

务必确认排除项，未明确说明的供应商可能未界定服务范围。

价格包含内容：对比表与分析

多数供应商提供代表授权及报告转发，少数提供技术服务。对比如下：

传统供应商（REP27、kadano、Euverify）仅满足法律最低要求，扩展服务供应商（Attestra AI、Seentrix、Illicium）提供安全工作流、自动SBOM及渗透测试。仅为第18及14条合规，代表授权及及时报告足矣。

注意：公布价格仅含明确声明内容，技术服务通常另计且价格较高。

隐藏费用、排除项及供应商未明示内容

许多供应商未公开续约价格，或对非工作时间请求、额外证书及非英语支持收取额外费用。注意事项：

• 续约费用： 签约前务必确认续约价格，REP27明确公布（€440），其他多按需提供。
• 排除项： 无供应商涵盖合规评估、安全测试、SBOM生成及工程支持，此类服务独立且通常价格高于代表授权。
• 责任限制： 供应商不对技术错误、客户未报告或漏洞管理承担责任。
• 通知期限： 部分供应商要求服务终止或代表变更提前通知，务必核查合同条款。
• 按请求收费： 若无公开信息，询问是否对额外请求、证书或紧急支持收费。

决策表：

总之，明确排除项与隐藏费用是避免意外及确保合规的关键。

代表授权流程：步骤与实用清单

CRA代表授权包含关键步骤，详见指南：

1. 确认义务： 你是否为非欧盟数字产品制造商且在欧盟销售？若是，需遵守义务。
2. 选择供应商： 比较价格、包含内容、排除项及验证流程，优选7×24小时服务台及公开证书供应商。
3. 签署授权书： 授权书须书面形式，由供应商法人签署（如REP27为Europe Services, SE），且仅限第18条义务，避免涵盖第13条。
4. 获取证书： 供应商应提供含二维码及在线验证页面的授权证书。
5. 准备内部运行手册： 记录代表信息、升级流程及报告联系方式。
6. 配置报告渠道： 建立内部漏洞及事件报告渠道，至少指定两名ENISA平台提交者。
7. 培训团队： 确保员工知晓报告内容与时机，并进行模拟测试。

实用清单：

1. 已识别产品类别及其欧盟销售目的地？
2. 已映射所有销售与分销渠道？
3. 已选定具7×24小时服务台及透明续约价格的供应商？
4. 已制定升级与报告流程？
5. 已指定至少两名ENISA提交者？
6. 已通过模拟演练测试报告流程？

遵循步骤可最大限度降低不合规及处罚风险。

风险、罚款及实际案例：可能发生什么

未在24小时内报告漏洞，可能面临最高1500万欧元或全球营业额2.5%的罚款，及声誉损害和欧盟销售禁令。以下三个真实场景说明义务应用：

• 美国SaaS公司： 向欧盟客户提供服务，须指定CRA代表，建立7×24小时报告渠道，报告所有被利用漏洞。代表通过ENISA转发报告并响应主管机构。
• 中国亚马逊卖家： 若为数字产品制造商，须指定CRA代表并遵守报告期限。仅为转售商则义务由制造商承担。报告渠道须于2026年9月11日前准备就绪。
• 英国在线商店： 销售带固件设备给欧盟客户，须指定CRA代表。仅提供非数字服务则无此义务。事件发生时，须在24小时内报告，即使总部不在欧盟。

无论何种情况，缺乏运行手册、未测试报告渠道或代表不可验证，都会延误响应并加重法律及经济后果。