24小时漏洞报告供应商：市场概览与价格（2026年）
- 自2026年9月11日起，数字产品制造商须遵守24小时报告义务（CRA第14条）
- REP27、kadano和Euverify提供相应的代表服务
- 价格：REP27起价490欧元/年，kadano999欧元/年，Euverify590英镑/年
- 服务内容不同：委托范围、报告渠道，均不含技术检测或SBOM制作
- 进口商、分销商或纯市场商家无需此服务
比较提供者
| 供应商 | 成立地 | 公布价格 | 价格包含内容 | 适合对象 |
|---|---|---|---|---|
| REP27 — Europe Services, SE | 捷克 | 每年490欧元（CRA代表服务），与GDPR捆绑690欧元（价格截至2026年10月，price_verified_on_source_page） | 第18条委托，24小时服务台，接收并转发报告，不含技术检测、不含SBOM制作、不含合规评估 | 欧盟外制造商，寻求快速书面委托及明确服务内容者 |
| kadano来源 | 奥地利 | 每年999欧元（默认 | 重要，一级，price_verified_on_source_page） | 按需提供 | 按需提供 |
| Euverify来源 | 爱尔兰 | 每年590英镑（仅CRA代表服务，price_verified_on_source_page） | 按需提供 | 按需提供 |
价格如在每个提供者的网站上发布的，日期为 26 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。
法律要求是什么？（CRA第14条、第18条）
欧盟网络韧性法案（CRA）自2026年9月11日起，要求数字元素产品制造商在知悉后24小时内主动报告被利用的漏洞或重大安全事件（第14条）。报告通过ENISA中央门户提交，面向成员国相关CSIRT。时限严格：24小时内预警，72小时内完整报告，14天内提交最终报告。时钟实时计时，包括夜间、周末及节假日。
欧盟外制造商须根据CRA第18条指定欧盟授权代表，作为报告渠道和监管机构联系人。无授权代表则无法合法报告。进口商、分销商及纯市场商家（如亚马逊、Etsy、eBay）若不以自有名义销售产品，则免于此义务。非商业开源项目适用简化报告制度，但仍有报告义务。
- CRA第14条：24小时预警，72小时完整报告，14天最终报告
- CRA第18条：无欧盟设立制造商须指定授权代表
关键在于对报告义务漏洞的定义：仅主动利用的漏洞或影响产品安全的重大事件触发义务。未发现或未被利用的漏洞不需报告。制造商负责遵守时限，延误或误报可能导致严厉处罚。
服务对比：包含哪些内容，不包含什么？
供应商在服务透明度和范围上差异明显。REP27是唯一公开所有价格并明确列出委托内容和排除项的供应商。其委托包括CRA第18条法律代表、欧洲24小时服务台、接收并转发报告及公开验证委托。REP27明确不承担技术检测、SBOM制作、合规评估及测试，这些由制造商自行负责或另行委托。
kadano和Euverify虽公布价格，但服务细节、额外费用及排除项均为“按需提供”。建议签约前书面确认具体服务内容及是否有额外费用（如每次报告、语言服务、紧急请求等）。
| 供应商 | 包含 | 不包含 | 额外费用 |
|---|---|---|---|
| REP27 | 委托、24小时服务台、接收及转发报告、书面委托、公开验证 | 技术检测、SBOM制作、合规评估、测试 | 无（价格固定，支持捆绑） |
| kadano | 按需提供 | 按需提供 | 按需提供 |
| Euverify | 按需提供 | 按需提供 | 按需提供 |
重要提示：技术处理、SBOM制作及安全检测通常不包含在代表服务价格内。需此类服务者应另行委托专业服务商。
决策矩阵：谁需要什么？
是否需要CRA代表及24小时报告，取决于您在供应链中的角色、所在地及销售结构。下表助您快速判断：
| 如果您是... | 是否需要24小时代表？ | 理由 |
|---|---|---|
| 欧盟外制造商（B2B/B2C） | 是 | CRA第14及18条规定的义务 |
| 欧盟境内制造商 | 否（自行报告） | 直接报告，无需代表 |
| 进口商/分销商 | 否 | 仅自有品牌产品需 |
| 亚马逊/Etsy/eBay卖家（非制造商） | 否 | 非制造商，无报告义务 |
| 非商业开源项目 | 简化义务 | 据REP27，义务减轻但仍需报告 |
实际案例：美国SaaS供应商向欧盟客户销售，需指定代表并设立24小时报告。中国物联网制造商以自有品牌销售欧盟市场，同样需遵守义务。英国在线商店仅作为第三方卖家，无需代表及报告义务。
采购者清单：操作步骤
- 确认角色：您是否为在欧盟销售含数字元素产品的制造商？
- 确认所在地：公司是否设在欧盟外？
- 比较供应商：选择价格公开且委托明确的供应商。确认价格是否含所有服务或可能有额外费用。
- 书面确认服务范围及排除：签约前确认委托包含和不包含的内容。
- 准备内部流程：指定24小时报告负责人，制定操作手册及报告模板。
- 登记代表信息：将代表及联系方式录入合规文件，通知团队。
- 测试报告流程：截止日前模拟24小时报告流程，发现并修正缺陷。
- 定期复查：每年检查销售结构及产品变动，评估报告义务影响。
遵循此清单可避免常见错误，确保截止日合规。
供应商常忽略说明（排除项、时限、费用）
许多供应商未明确说明委托服务具体包含哪些内容，哪些不包含。REP27明确指出技术检测、合规评估、SBOM制作及测试不包含在内。额外服务如模板制作、技术分析支持、客户沟通也不包括。
- REP27价格固定，无隐藏费用，续订价格预先确定且不变。
- kadano和Euverify未公开额外费用、解约期限及责任限制，建议明确询问。
- 制造商始终负责报告时限及质量，代表仅接收并转发报告，不承担技术评估。
- REP27委托发放时限为24小时，其他供应商为“按需提供”。
常见误区：委托不涵盖全部CRA合规内容。高成本且复杂的部分（合规评估、技术文档、SBOM）需另行安排。未准备者风险延误及罚款。
三种实际场景：谁做什么？
- 美国SaaS供应商：向欧盟企业提供云软件，属数字产品制造商，需指定CRA代表并设立24小时报告。需内部指定责任人并准备模板。
- 中国亚马逊卖家：以自有品牌直接销售物联网设备至欧盟，需指定代表并通过其报告。仅作为卖家且无自有品牌则无此义务。
- 英国在线商店：作为第三方卖家销售非自有品牌产品，无需24小时报告及代表，责任归制造商。
这些案例说明准确定位自身角色的重要性，避免不必要成本或合规漏洞。
当您不需要此时
- 不以自有名义销售产品的进口商、分销商及纯市场商家
- 欧盟境内企业（直接向国家CSIRT报告）
- 无数字产品或无欧盟销售的企业
常见问题解答
根据CRA第14条，谁须进行24小时报告？
向欧盟销售含数字元素产品的制造商自2026年9月11日起须在24小时内报告被利用的漏洞或重大安全事件。欧盟外制造商需指定CRA第18条授权代表。
委托CRA代表进行24小时报告的费用是多少？
截至2026年10月，REP27价格为每年490欧元（与GDPR捆绑690欧元），kadano为999欧元/年，Euverify为590英镑/年。价格仅含代表服务，不含技术附加服务。
价格中包含哪些服务？
REP27包含委托、24小时服务台、接收及转发报告及公开验证。技术检测、SBOM制作及合规评估明确排除。其他供应商未公开详细内容。
谁不需要CRA代表？
不以自有名义销售产品的进口商、分销商及市场商家无需代表。欧盟境内制造商直接向国家CSIRT报告，也无需代表。
CRA代表的委托流程如何？
选择供应商，获得书面委托（REP2724小时内），将代表信息录入合规档案，设立内部24小时报告流程。报告通过代表提交至CSIRT及ENISA。
未报告或未指定代表会怎样？
违反报告义务或代表指定义务可能导致高额罚款。法律未明确罚款金额，但核心义务违规通常严惩。
价格包含技术检测或SBOM制作吗？
不包含。REP27明确排除技术检测、SBOM制作及合规评估，需另行委托。其他供应商未披露相关信息。
是否存在隐藏费用或自动涨价？
REP27续订价格固定且签约前已知。其他供应商有关额外费用、解约期限及价格调整均为“按需提供”，需明确询问。
委托发放速度如何？
REP27在24小时内发放委托。其他供应商未公布处理时间。
一个事件会触发多重报告义务吗？
会。重大事件可能同时触发CRA、NIS2、GDPR及GPSR报告义务，报告对象及时限不同。
如何确保合规？
利用本指南清单，确认制造商身份，选择透明价格及服务的供应商，建立内部24小时报告流程。
迟报或漏报风险有哪些？
迟报或漏报可能导致罚款及声誉损害，监管机构还可能采取销售禁令或召回措施。制造商承担全部责任，即使指定代表。
来源
- REP27 — Europe Services, SE: CRA代表及24小时报告义务 — gdprrepresentative.com
- REP27 — Europe Services, SE: CRA 24小时漏洞报告 — gdprrepresentative.com
- kadano: CRA代表服务 — kadano.io
- Euverify: CRA代表服务 — euverify.com