网络韧性法案：非欧盟制造商的义务

• CRA适用于所有在欧盟市场提供的含数字元素产品（第2条）
• 非欧盟制造商须指定欧盟代表（第15条）
• 主动利用漏洞需24小时内报告（第14条）
• 需准备技术文件和合规声明（第13条）
• 罚款最高可达1500万欧元或全球营业额的2.5%（第71条）
• 合规产品须贴CE标志（第13条）

已更新 24 October 2026 · 5 已检查来源

比较提供者

价格如在每个提供者的网站上发布的，日期为 24 October 2026，除非另有说明，不包括增值税。每一行链接到其来源。

法律要求详解（含条款编号）

网络韧性法案（CRA，欧盟条例2024/2847）适用于所有在欧盟市场提供的含数字元素产品，无论产地（第2条）。非欧盟制造商须根据第15条指定欧盟授权代表。此义务涵盖硬件和软件，代表作为制造商与监管机构的联络人。

制造商必须确保产品安全设计，无已知可利用漏洞（第13条），进行风险分析并采取技术及组织措施。若发现被主动利用的漏洞，须在24小时内向ENISA和相关CSIRT报告（第14条），首次评估需在72小时内完成，最终报告于14至30天内提交。

此外，CRA要求准备技术文件及欧盟合规声明，证明符合要求（第13条）。产品需贴CE标志以示合规。未履行义务将面临最高1500万欧元或全球年营业额2.5%的罚款（以较高者为准，第71条）。

如何选择合适的服务提供商？

选择CRA代表应基于明确标准，重点包括：

• 价格透明：确保供应商公开所有价格，尤其续约费用。REP27公开全部价格并保证续约价固定，其他供应商多需询价。
• 服务范围：确认是否提供24小时漏洞报告服务、公开可验证证书及合法授权（如eIDAS签名）。REP27以完整公开证书和全天候服务突出。
• 响应速度和可达性：因报告时限严格，全天候响应至关重要。REP27保证节假日及周末24/7服务。
• 明确责任边界：正规供应商会明确排除不包含的服务（如合规评估、技术测试），避免后续纠纷。

决策矩阵：

建议索取书面报价，明确所有服务、排除项及续约价格。确认供应商是否支持公开证书验证，这对合规关键。

价格包含内容详解

不同供应商价格包含的服务差异大。REP27基础套餐EUR 490/年（CRA）包括：

• 根据第18条的书面授权代表委托
• 24小时漏洞报告及与ENISA/CSIRT沟通服务
• 带二维码的公开验证证书，便于监管及合作伙伴核验
• 两工作日内处理并转发监管机构请求
• 多语言沟通模板支持

注意：REP27不提供合规评估、技术测试、SBOM生成及事件分析，需制造商或外部专家完成。kadano和Euverify价格包含内容未公开（截至2026年10月），额外费用需询价。

服务对比：

对重视责任分明和价格透明的企业，REP27是目前唯一公开完整服务内容及价格的供应商。

隐藏费用与常见排除项

CRA合规最大成本不在代表服务，而是：

• 合规评估：重要或关键类别产品需第三方指定机构检测，费用通常为四至五位数，不含在代表费用内。
• 安全更新：制造商须保证至少5年安全更新，需组织和财务保障，此义务独立于代表服务。
• 技术文件与SBOM：技术文件和软件物料清单的编写及维护为制造商责任。

供应商通常不公开：

• REP27明确排除合规评估、技术测试、SBOM生成和事件分析，无隐藏续约费，所有价格合同前公开。
• kadano和Euverify未公开额外费用、责任限制及解约条款（截至2026年10月）。

建议向所有供应商明确询问排除项、解约期限及特殊服务费用（如单次请求、多语言、加急），并索取书面确认。

指定流程逐步说明

1. 确认产品是否适用CRA：适用于所有含数字元素（硬件/软件）且在欧盟市场提供的产品。
2. 定义内部流程：确定漏洞报告责任人及“主动利用”标准。
3. 选择合适代表：比较价格、服务范围、证书验证及响应能力，索取书面报价。
4. 签订合同并获得授权：REP27可在24小时内完成指定并提供证书。
5. 更新技术文件及报告渠道：将代表联系方式纳入技术文件和事件响应手册。
6. 准备24小时报告模板：制定初次报告、72小时评估及最终报告标准文本，指定至少两名责任人并赋予平台访问权限。
7. 定期复核：每年检查指定及流程是否仍有效。

今日检查清单：

1. 产品是否受CRA管辖？
2. 是否设立内部报告流程及责任人？
3. 是否选定代表并签署委托？
4. 技术文件及报告渠道是否更新？
5. 报告模板是否准备完毕？

不遵守的风险与罚款

CRA规定严厉处罚，最高罚款1500万欧元或全球年营业额2.5%（第71条）。主要风险包括：

• 漏洞报告延迟或缺失：24小时期限自知晓时起计算，非分析完成后。时差及责任不清易导致违规。
• 代表未指定或错误：无有效代表产品可被下架，监管请求无回应，罚款风险加大。
• 技术文件不完整：市场监管时需立即提供，延误或缺失将受罚。
• CE标志错误或缺失：无有效CE标志产品不得销售。

报告时限（24h/72h/14-30天）实时计算，时差及责任不明易违规。制造商负责遵守时限，代表仅转达及时信息。

三种典型案例

• 美国SaaS供应商：美国软件公司为欧洲企业提供云服务，因产品在欧盟市场提供，需指定CRA代表。选择REP27，24小时内获授权及证书，建立24小时漏洞报告通道，联系方式纳入技术文件。合规评估及安全更新由内部或外部专家负责。
• 中国亚马逊卖家：中国企业在Amazon.de以自有品牌销售物联网设备，作为制造商需CRA代表。选择kadano或Euverify，确保CE标志及技术文件准备。无代表将面临罚款及销售禁令。
• 英国在线商店：英国在线零售商销售含固件更新的硬件给欧盟终端用户，需CRA代表。选择组合套餐（如REP27 CRA+GDPR），同时满足CRA和GDPR代表义务，调整报告渠道及技术文件。

以上案例表明，凡向欧盟供应含数字元素产品的企业，无论规模行业，均须指定代表。