Cyber Resilience Act 24小时漏洞报告：服务商与价格（2026）

• CRA第14条要求对被利用漏洞进行24小时内报告给ENISA。
• 非欧盟制造商必须指定欧盟境内的授权代表负责报告。
• REP27 — Europe Services, SE的第18条授权费用为490欧元/年。
• 竞争对手价格：kadano（999欧元/年）、Euverify（590英镑/年），其他价格需询价。
• REP27不包含法律咨询、SBOM生成及合格评定服务。
• 进口商、分销商或2026年9月11日前投放的旧产品不需此报告。

已更新 17 October 2026 · 8 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 17 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求：CRA第14条与第18条

Cyber Resilience Act（CRA）为在欧盟市场投放含数字元素产品的制造商设立了严格的监管制度。第1条定义了范围：包括硬件和软件的数字元素，如联网设备、固件和应用程序。第10条规定了产品生命周期内的网络安全基本要求，第11条详述制造商义务，如风险评估、漏洞处理和合格评定。

第14条为核心：要求制造商在获知被主动利用的漏洞或影响产品安全的严重事件后24小时内，通过单一报告平台向ENISA报告。此义务由有可信证据的漏洞利用或重大安全事件触发，仅发现漏洞本身不触发报告。24小时计算为日历小时，包括夜间、周末和节假日。

对于欧盟以外的制造商，第18条要求指定一名设立于欧盟的授权代表，负责24小时报告流程，并作为欧盟监管机构的官方联系人。进口商和分销商有第12条的义务，但主要报告责任由制造商或其授权代表承担。

2026年9月11日前投放的产品免于24小时报告要求，但须遵守CRA其他规定。未合规可能面临最高1500万欧元或全球年营业额2.5%的罚款（以较高者为准）。法律明确：非欧盟制造商自该日期起在欧盟销售数字产品，必须有授权代表能在24小时内响应任何符合条件的事件。

如何选择CRA授权代表

选择合适的授权代表对合规和运营效率至关重要。首先验证服务商的法人实体、欧盟注册地及业绩。例如，REP27 — Europe Services, SE成立于捷克布拉格，自2018年起活跃，已为24个国家的公司签署授权。

关键选择标准包括：

• 透明定价：寻找明确公布的价格及续订条款。REP27公布首年及续订价格。kadano和Euverify也公布价格，其他需询价。
• 授权范围：确保授权仅限于第18条职责。过宽授权可能涉及第13条义务，后者第18条第2款禁止。REP27明确限制于第18条报告。
• 可用性：报告台应全天候值守，包括周末和节假日。REP27保证连续覆盖，其他供应商需确认。
• 证书验证：可验证证书（如REP27的二维码及公开验证）提供委任证明，监管机构或客户可查验。
• 排除项：明确不包含内容，如法律咨询、SBOM生成或技术测试。REP27清晰列出排除项，许多竞争者未明示。

若缺乏内部资源，技术扫描、SBOM生成等打包服务可能有用，但务必核实隐藏费用、续订价格及服务描述。要求书面流程说明，包括请求处理方式、使用语言及服务时间。

最后，确保授权书可验证，且转发监管请求的流程迅速且有记录。这不仅是合规要求，延误或沟通不畅可能带来法律和商业风险。

价格包含内容：服务商对比

了解公布价格包含内容，避免意外。以下为各服务商基于现有数据的详细对比：

REP27价格（490欧元/年，续订440欧元）仅涵盖第18条授权，排除项明确。kadano和Euverify公布价格但未公开包含与排除。ResilienceWP和Seentrix提供技术服务（SBOM、扫描、文档），价格及范围需询价。

签约前务必索取详细服务说明及续订价格确认。最大错误是误以为包含技术合规或法律咨询。

隐藏费用与服务商常见未明示事项

除了标价，隐藏费用和排除项对合规预算和运营风险影响重大。服务商常未提前披露的内容包括：

• 排除项：REP27明确不含法律咨询、DPO服务、技术合规评估、SBOM生成及测试。多数竞争者未公开排除项，务必询问。技术合规（SBOM、合格评定、工程）不包含在仅授权代表服务内，需单独预算。
• 续订价格：部分服务商首年价格低廉但不公布续订费。REP27同时公布首年及续订。务必书面确认续订条款，避免意外涨价。
• 按次收费：部分代表可能对监管机构或数据主体请求、紧急申报额外收费。REP27未说明此类费用，但其他供应商情况不一。签约前需明确。
• 终止与通知：解除授权或更换服务商的流程及通知期及费用通常未详细说明。需询问清楚。
• 责任限制：多数代表对错过截止或错误申报限制责任，且不一定公开披露。
• 打包服务：提供技术服务（SBOM、扫描）的供应商可能收取高额额外费或要求长期合同。务必书面确认范围与价格。

总之，合规真实成本不仅是代表费用，还包括内部工程、技术合规及维持24/7事件响应的成本。签约前务必索取完整费用明细及书面确认。

授权流程：逐步指南

指定CRA授权代表需精心规划和文档管理。以下为基于最佳实践和法律要求的实用步骤：

1. 确认适用性：确认产品为数字元素（硬件/软件），且2026年9月11日后投放欧盟市场。若是，适用CRA 24小时报告要求。
2. 选择服务商：根据公布价格、授权范围、排除项及声誉比较服务商。索取书面条款及续订价格。
3. 签署授权书：与选定代表签署书面授权。REP27在签约24小时内出具签署的第18条授权书及可验证证书。确保法人实体设在欧盟并登记在商业注册。
4. 更新文档：在合规手册中记录代表信息。准备清晰报告流程，明确谁可申报事件及证据记录方式。
5. 内部准备：指定至少两名员工为ENISA平台提交人，最好跨时区。预写预警模板，分配72小时通知及用户沟通责任。
6. 事件响应：发现符合条件漏洞或事件立即通知代表。代表在24小时内向ENISA/CSIRT提交预警，随后进行72小时通知及最终报告。
7. 记录保存：详细记录知晓时间、提交时间及沟通内容。如合规遭质疑，此记录至关重要。
8. 持续审查：定期审查流程，更新联系方式、模板及责任分配。

此流程确保满足CRA严格时限，避免处罚。关键在于准备：定义触发条件、分配职责并演练流程。

风险、罚款及合规截止日期

Cyber Resilience Act带来重大法律和财务风险。第15条列明执行程序及处罚。最直接风险是错过针对被利用漏洞或严重事件的24小时报告截止。时间从知晓时起算，而非调查完成。延误可导致最高1500万欧元或全球营业额2.5%的罚款（取高者）。

其他风险包括：

• 市场准入延迟：未指定代表或无可验证证书可能延迟产品上市，尤其影响企业采购周期。
• 执法行动：监管机构可能启动调查、要求文件或实施纠正措施。
• 声誉损害：公开报告失败损害品牌及客户信任。
• 多重报告义务：单一事件可能触发CRA、NIS2、GDPR及GPSR多重报告，时限和监管机构各异。例如勒索软件攻击可能需三次报告。

合规截止严格：24小时报告自2026年9月11日起适用于新产品。旧产品免于24小时报告但须遵守其他CRA规定。安全更新支持期至少五年，是需作为产品线计划的隐性成本，而非一次性项目。

综上，违规风险巨大，未准备的代价远高于指定合格代表的费用。

决策矩阵：是否需要CRA授权代表？

使用下表判断是否需要CRA授权代表：

该矩阵涵盖大部分情形。如有疑问，请咨询法律顾问或联系服务商确认。请记住，报告义务由制造商或其授权代表承担，进口商或分销商仅在以自己名义投放产品时承担。

合规清单：CRA 24小时报告步骤

1. 产品梳理：列出所有含数字元素的欧盟销售产品及上市日期。
2. 评估内部流程：审查漏洞检测、升级及记录流程。
3. 选择代表：比较供应商，索取所有费用、续订价格及服务范围的书面确认。
4. 签署授权：获得签署的第18条授权书及可验证证书。
5. 更新文档：将代表信息加入合规手册，准备预警及通知模板。
6. 指定报告人：至少指定两名ENISA平台提交人，最好跨时区。
7. 演练流程：模拟被利用漏洞事件，确保职责和时限明确。
8. 员工培训：教育员工了解24小时报告触发条件及事件升级流程。
9. 关注法规更新：保持对CRA要求及报告平台变更的关注，尤其在2026年9月前。
10. 定期复审：每年或重大事件后更新流程和文档。

遵循此清单有助确保满足CRA严格报告义务，避免高额罚款。

实际场景：适用路径示例

• 美国SaaS公司向欧盟企业销售：该公司为非欧盟制造商，在欧盟市场投放数字产品。必须指定第18条授权代表（如REP27、kadano、Euverify）。内部安全团队检测漏洞并通知代表，代表24小时内完成ENISA/CSIRT申报。无进口商或分销商介入，责任直接。
• 中国亚马逊卖家向欧盟消费者发货物联网设备：若卖家为制造商且设立于欧盟外，须指定授权代表。如亚马逊为正式进口商，报告责任可能转移至亚马逊。卖家应与平台确认，并在需要时指定代表，更新产品文档。
• 英国网店在欧盟销售自有品牌路由器：作为非欧盟制造商，须指定授权代表负责24小时报告。代表信息需纳入合规文件，内部流程应快速升级事件。若网店以自己名义为进口商或分销商，可能有额外义务。

这些示例说明供应链梳理和角色明确的重要性。最简合规路径是指定代表，记录流程，确保团队培训并准备快速响应。