如何在《网络韧性法案》规定的24小时内报告漏洞

• CRA第14条：被利用漏洞/严重事件24小时内报告。
• 通过ENISA平台向协调CSIRT报告。
• 非欧盟制造商必须指定授权代表。
• REP27 — Europe Services, SE：€490/年授权费用（价格已验证）。
• 隐藏成本：内部工程、支持周期、合格评定。
• 服务商在公布价格、服务内容及透明度上存在差异。

已更新 19 October 2026 · 12 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 19 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

《网络韧性法案》要求（含条文编号）

《网络韧性法案》（CRA）是一项涵盖所有含数字元素产品的广泛法规，无论是硬件还是软件，只要在欧盟市场投放（第1条，来源）。其核心目标是确保产品在设计、开发和维护生命周期中将网络安全作为核心组成部分。法律于2024年12月10日生效（第71(1)条），但大部分义务（包括报告）自2026年9月11日起对第14条生效，且自2027年12月11日起全面生效（第71(2)条）。

第14条是事件响应的核心：制造商必须在知晓任何被主动利用的漏洞或严重安全事件后24小时内报告。报告必须通过ENISA平台提交给协调CSIRT。时间从知晓时刻开始计算，而非调查或确认后。完整通知须在72小时内提交，最终报告须在14天内完成。报告期限包括周末和节假日，不得延长或暂停。

第18条要求非欧盟制造商指定设在欧盟的授权代表。该代表作为官方报告渠道和监管联系点。若无授权代表，进口商或分销商将默认承担责任，带来商业和合规风险。

2027年12月11日前投放市场的产品仅在该日期后发生重大修改时适用CRA（第69(2)条）。不合规可能导致最高1500万欧元或全球年营业额2.5%的罚款（来源）。

• 第14条：被利用漏洞/严重事件24小时内报告
• 第18条：非欧盟制造商指定授权代表
• 第69(2)条：遗留产品规则

如何选择CRA授权代表

为非欧盟制造商选择合适的CRA授权代表至关重要。代表是您在欧盟的官方漏洞报告和监管联系渠道。主要考虑因素包括：

• 价格透明度：只有少数服务商公布了验证价格。REP27 — Europe Services, SE提供明确的€490/年授权费用（续费€440），kadano公布€999/年，Euverify公布£590/年。其他需询价。
• 服务范围：确认费用包含内容。第18条授权是最低要求，但部分服务商提供额外服务，如监控、证据保存或自我评估文档（见CRAguard、ProvenVEX、SECURiMENT）。
• 排除项：上述服务商均不包含合格评定、安全测试或SBOM生成，这些为额外工程或通知机构费用。
• 证书与验证：优选提供可验证证书的服务商（REP27提供二维码及公开验证页面）。
• 续费条款：确保续费价格在首次付款前书面确认。市场上常见续费条款不透明问题。
• 响应流程：询问处理监管请求的流程、语言及时间。24/7值守的服务台是满足24小时报告期限的关键。

以下为基于公开信息的服务内容对比：

务必索取书面合同，明确所有包含、排除及续费条款。

价格实际包含内容

了解公布价格包含和不包含的内容对预算和合规规划至关重要。第18条授权费用通常仅涵盖法律授权及欧盟报告台运营。具体包括：

• 授权及报告台：代表作为官方漏洞报告联系人。REP27提供24/7值守服务台、CSIRT/ENISA通道管理及带二维码的可验证证书。kadano和Euverify提供类似授权，但公开页面未详述额外功能。
• 打包服务：部分服务商（CRAguard、ProvenVEX、SECURiMENT）提供依赖监控、证据保存或事件响应流程等额外服务，价格不公开，可能产生较高额外费用。
• 不包含内容：无服务商包含合格评定、安全测试或SBOM生成，这些为通知机构或内部工程团队承担的额外成本。
• 续费价格：仅REP27公布续费价（€440/年），低于首年费用。kadano和Euverify未公开续费条款。

比较服务商时，务必索取详细价格构成及额外费用说明。部分服务商还提供GDPR第27条或NIS2代表打包服务（REP27：CRA+GDPR €690/年，CRA+GDPR+NIS2 €990/年）。

总结表：

隐藏成本与排除项

授权代表费用通常是CRA合规中最小的费用项，但隐藏成本和排除项可能很大：

• 内部工程时间：自我评估、文档编制及SBOM准备为强制要求，但不包含在授权费用内，需专门技术资源。
• 支持周期：CRA要求大多数产品至少提供五年安全更新，预算应按产品线持续维护，而非一次性项目。
• 合格评定：重要的II类或关键产品需通知机构评估，费用数千欧元且耗时数月，授权代表不承担此费用。
• 事件检测：代表不负责漏洞检测，安全团队负责初步发现和分类。
• 按事件或请求收费：REP27声明无额外请求费用，其他服务商可能对额外服务或事件管理收费，务必书面确认。
• 责任限制：服务商通常将责任限制在授权范围内，不对因内部失误导致的漏报负责。
• 通知期与续费条款：不透明的续费条款可能导致意外费用或服务中断。REP27公布续费价格和条款，其他服务商未必。

服务商通常不公开：

• 授权不包含漏洞检测、补丁发布或用户通知，这些仍由您负责。
• 若运行手册不完整或团队准备不足，监管文档请求可能延迟。
• 若授权范围不明确限制于第18(3)条，切换服务商可能复杂。

签约前务必索取排除项清单并书面确认所有条款。

授权流程：分步详解

指定CRA授权代表是一个结构化流程，具体步骤和建议如下：

1. 确认身份：您是否为含数字元素产品的制造商，且产品投放欧盟市场？若是，继续。若仅为进口商或分销商，确认是否以自己名义投放产品。
2. 检查法人实体：若无欧盟法人，必须指定授权代表。若有欧盟子公司作为制造商，则直接报告。
3. 选择服务商：基于公布价格、服务范围及透明度比较服务商。REP27、kadano和Euverify公布价格，其他需询价。
4. 签署书面授权：服务商（如REP27）出具签署的授权书，通常带eIDAS电子签名及可验证证书。确认授权仅限第18(3)条职责。
5. 更新合规文档：将代表信息加入技术档案、运行手册及CRA要求的产品文档。
6. 建立报告流程：指定至少两名提交者，具备ENISA报告平台访问权限。提前准备预警和通知模板。
7. 定义触发条件及内部流程：明确何时视为知晓被利用漏洞或严重事件，谁有权声明，需哪些证据（如观察到利用、可信客户报告）。
8. 记录保存：保存知晓、提交及更新时间戳，作为合规证明。
9. 持续准备：培训团队，测试报告流程，定期审查运行手册。

该流程确保您能满足24小时报告要求，避免合规漏洞。

风险与罚款

CRA不合规风险重大，涵盖财务及运营方面：

• 罚款：不合规最高可罚1500万欧元或全球年营业额2.5%，以较高者为准。罚款适用于错过报告期限、未指定代表或响应不充分（来源）。
• 运营风险：报告延迟可能引发监管调查、产品召回或市场准入禁令。无有效欧盟代表可能导致采购和分销受阻。
• 声誉损害：未及时通知用户或监管机构，可能引发负面舆论和客户信任流失。
• 内部混乱：无明确报告流程，事件响应初期浪费宝贵时间，增加风险和成本。

常见问题示例：

• 事件初期花费数小时寻找正确CSIRT或报告渠道，浪费时间。
• 文档请求发送至不同时区办公室，响应延迟。
• 分销商默认作为报告渠道，导致事件处理失控。
• 授权续费条款不明导致授权中断。

通过指定透明、响应迅速的代表并保持健全内部流程可降低风险。

决策矩阵：是否需要CRA代表？

根据您的业务模式和所在地，使用下表判断是否需要CRA授权代表：

指定代表前务必核实身份和义务。

合规24小时报告步骤清单

1. 确认产品是否受CRA覆盖（含数字元素，欧盟市场）。
2. 确认您是否制造商（非仅进口商/分销商）。
3. 若在欧盟外，指定CRA授权代表并签署授权书。
4. 在技术档案和合规记录中记录代表信息。
5. 建立24/7漏洞报告受理渠道（内部或通过代表）。
6. 指定至少两名ENISA平台提交者。
7. 预先编写预警和通知模板。
8. 培训员工了解报告触发条件及24小时响应流程。
9. 定义并记录“知晓”漏洞或事件的证据要求。
10. 保存所有相关时间戳以备合规审计。
11. 定期审查和更新运行手册及报告流程。

遵循此清单可避免常见合规失败。

实际场景：适用义务示例

• 向欧盟销售的美国SaaS公司：作为非欧盟制造商，必须指定CRA授权代表（如REP27）作为报告渠道。建立24/7受理渠道，至少两名员工可通过ENISA平台提交报告。准备预警模板，明确何时视为漏洞被主动利用。
• 中国亚马逊自有品牌卖家：若制造并销售自有品牌数字产品给欧盟买家，需指定CRA代表。仅转售第三方品牌则不需。指定代表，更新合规文件，准备24小时报告。
• 英国在线商店自有物联网设备：若直接向欧盟消费者销售，您是制造商，需指定CRA代表。仅在英国销售则不适用CRA。若通过欧盟分销商以其名义投放，分销商承担责任。

所有情况下，最简单合规路径是指定透明、固定价格的代表，记录报告流程，并在法规生效前培训团队。