9 月 11 日生效!欧盟 CRA 强制上报,最高罚全球营收2.5%
点击量:9
发布时间:2026-08-26 11:24:11
图片


距离欧盟《网络弹性法案》(Cyber Resilience Act,简称 CRA)的强制漏洞与安全事件上报义务正式落地,已经进入最后冲刺阶段。根据欧盟官方最新安排,2026 年 9 月 11 日起,所有进入欧盟市场的带数字元素产品,其制造商必须履行法定上报义务。这一要求比 CRA 全面实施(2027 年 12 月 11 日)提前了 15 个月,且覆盖所有已上市的存量产品,意味着哪怕是数年前就进入欧盟的老产品,也必须遵守新规。



https://digital-strategy.ec.europa.eu/en/policies/cra-reporting


一、责任主体与覆盖产品



(一)责任主体:不止是制造商
CRA 上报义务的核心承担者是产品制造商:即开发、生产带数字元素产品,或以自身品牌 / 商标销售该类产品的自然人或法人,无论产品是付费还是免费提供。以下主体也会被视为制造商,承担同等上报责任:以自身品牌销售产品的进口商、分销商;对产品进行实质性修改后投放欧盟市场的主体。此外,开源软件维护者也承担有限的上报义务;非欧盟境内的制造商,需通过欧盟授权代表、进口商或分销商完成上报。

(二)适用范围:新品与存量全覆
上报义务没有新老划断:所有处于欧盟市场流通中的带数字元素产品(包括硬件、软件、嵌入式系统、远程数据处理方案等),无论是否在 CRA 全面生效前上市,均需遵守上报要求。
二、两类强制上报场景



CRA 设置了两条强制上报赛道,并非所有安全问题都需要上报:

(一)主动被利用的漏洞
不是所有漏洞都触发强制上报,必须满足有可靠证据证明恶意主体已在未经授权的情况下利用该漏洞的条件。 普通未被利用的漏洞,企业只需按要求修复、更新安全文档即可,无需触发 CRA 法定上报。

(二)严重安全事件
指对产品的可用性、数据真实性、完整性、机密性造成负面影响,且达到严重级别的事件,主要包括两类:损害产品保护敏感 / 重要数据与功能的能力;导致恶意代码植入产品或用户的网络信息系统。除了强制上报,企业也可以通过官方平台自愿上报普通漏洞、网络威胁、未遂安全事件等信息。
三、时间红线



CRA 采用分级上报模式,从企业知晓事件起开始计时,分三个阶段提交信息:


关键提醒:计时起点怎么算?
不是等调查完全结束才开始计时,只要企业达到合理确定性,确认事件符合上报条件,计时就已启动。
未核实的用户反馈、媒体报道、安全研究员线索不算直接触发,但企业必须立即启动评估,不能拖延。
建议企业完整留存每个时间节点的信息与决策记录,作为合规凭证。
四、统一入口:单一上报平台 SRP



所有 CRA 上报均通过单一上报平台(Single Reporting Platform,简称 SRP)提交,该平台由欧盟网络安全局(ENISA)负责搭建,将于 2026 年 9 月 11 日同步正式上线,上线前会开放测试。

报流转规则
企业通过 SRP 提交后,信息会同步发送至企业欧盟主机构所在地的 CSIRT(计算机安全事件响应小组)与 ENISA;
接收信息的 CSIRT 会立即将通报共享给产品所覆盖的所有成员国 CSIRT;
特殊情况下,CSIRT 可基于合理的网络安全理由,延迟信息的跨成员国扩散。

目前 ENISA 已陆续发布 SRP 的用户注册、通知提交、界面功能等操作指南,企业可提前关注官方更新。
五、避坑指南



(一)别漏了用户通知义务
除了向官方上报,企业还必须及时告知受影响用户漏洞 / 事件详情,以及用户可采取的风险缓解措施。 CRA 没有设定用户通知的固定时限,但如果企业未及时履行通知义务,主管 CSIRT 有权直接向用户披露相关信息。

(二)SRP 不是万能上报入口
SRP 只是 CRA 的统一上报通道,不能替代其他法规的上报义务。同一起安全事件,可能同时触发 GDPR 数据泄露上报、NIS2 指令事件上报、DORA 合规上报等多项要求,企业需要做好多法规并行合规的流程衔接。

(三)处罚力度拉满,属于最高罚则层级
违反 CRA 上报义务属于法案的最高处罚档位:
最高可处1500 万欧元行政罚款,或企业上一财年全球年营收的 2.5%,二者取较高值。
豁免规则:微型、小型企业未遵守 24 小时预警时限的,不适用行政罚款;开源软件维护者的相关违规也不适用罚款。 即便免于罚款,违规记录也会影响企业的市场准入信用与客户信任。
六、企业合规准备清单



距离 9 月 11 日已不足一个月,建议企业优先完成以下准备工作:
梳理产品清单:全面盘点所有进入欧盟市场的带数字元素产品,覆盖在售新品、存量流通产品、不同软硬件版本。
明确责任主体:厘清集团内部、OEM / 白牌、第三方组件场景下的上报责任;非欧盟企业提前确认欧盟境内的对接主体(授权代表 / 进口商)。
搭建内部响应流程:打通安全、产品、法务、合规、客服等部门的协作链路,建立 7×24 小时应急响应机制,确保在 24 或 72 小时窗口期内完成评估与上报。
预制上报模板:对照 ENISA 公布的 SRP 字段要求,提前制作早期预警、完整通报、最终报告的三级模板,分别覆盖漏洞与事件两类场景。
制定用户通知预案:准备不同级别的用户通知话术与发布流程,平衡风险告知与漏洞扩散的安全风险。
跟进官方动态:关注 ENISA 发布的 SRP 注册、测试与培训安排,提前完成账号准备与流程演练。
七、结语



CRA 是全球范围内最具代表性的产品网络安全立法之一,上报义务作为最先落地的核心要求,既是企业必须守住的合规红线,也是搭建全生命周期产品安全体系的重要抓手。若需要进一步了解,欢迎咨询 Wiselink 知汇!
BREAK AWAY
往期推荐


澳洲 TGA 同步欧盟 MDR 过渡期延长!最长延至 2028
欧盟 PPWR 8 月 12 日起正式实施!你的包装合规了吗?



Wiselink拥有包括原澳大利亚药品监督管理局局长Dr. Derrick Beech为首席顾问的国际专业团队,秉承源于澳洲、扎根中国、服务世界的精神,信守专业、真诚、开放的核心价值观,致力于为医疗器械、化妆品、食品、保健品和中药制造商提供全球合规认证和临床试验服务。





Wiselink-全球布局









知汇医疗咨询(深圳)有限公司简称Wiselink CN,隶属于澳大利亚Wiselink Group。Wiselink Group总部位于澳大利亚悉尼,全球布局,目前在西班牙、巴西、美国、日本、英国、印尼、新加坡、泰国、新西兰、越南、韩国、马来西亚、中国和中国香港设有14家全资子公司。

Wiselink拥有包括原澳大利亚药品监督管理局局长Dr.Derrick Beech为首席顾问的国际专业团队,秉承源于澳洲、扎根中国、服务世界的精神,信守专业、真诚、开放的核心价值观,致力于为医疗器械、化妆品、食品、保健品和中药制造商提供全球合规认证和临床试验服务。


中国服务热线:400-1168-120

集团总部

Wiselink Group

Level 25 100 Mount Street,North Sydney,NSW Australia 2060


西班牙子公司
WISELINK MEDICAL SL
C/ ORENSE 10 1º - OFICINA 13, MADRID, MADRID

巴西子公司
WISELINK MEDICAL LTDA
R PEREIRA BUENO, 864 - CENTRO, PIRASSUNUNGA-SP*


美国子公司

Wiselink Medical Inc

666 Old Country Rd, Suite 201, Garden City, NY 11530


英国子公司

Wiselink Medical (UK) Limited

37 CROYDON ROAD BECKENHAM UNITED KINGDOM BR3 4AB


泰国子公司

Wiselink Medical (Thailand) Company Limited

Two Pacific Place 142 Floor 23th, Sukhumvit Rd, Khlong Toei, Bangkok 10110


新西兰子公司

Wiselink Medical (New Zealand) Limited

11 Bussion Glade, West Harbour, Auckland, 0618, NZ


日本子公司

株式会社Wiselink Japan

〒143-0023 東京都大田区山王2丁目1番8号山王アーバンライフ201号室


越南子公司

Wiselink Medical Company Limited

Floor 18th, TNR Building, 180-192 Nguyen Cong Tru, Nguyen Thai Binh, District 1, Ho Chi Minh City, Vietnam


新加坡子公司

Wiselink Medical (Singapore) Pte.Ltd.

(SG) 08-07,175A, Bulington Square,Bencoolen Street 189650 Singapore


印尼子公司

WISELINK MEDICAL INDONESIA

Ruko Mutiara Taman Palem Blok C.2 No.26
Jalan Lingkar Luar Kamal Raya Blok B.2 No.26,
RT000,RW000,CENGKARENG TIMUR,CENGKAR ENG,3173,31,11730


韩国子公司

주식회사 와이즈링크코리아

서울특별시 송파구 송파대로 111, 204동 1202호(운정동, 파크하비오)


马来西亚子公司

WISELINK MEDTECH SDN. BHD.

OFFICE SUITE 762, AVENUE 7, TOWER 7, LEVEL 7 MENARA PERNAS, THE HORIZON, BANGSAR SOUTH 59200 KUALA LUMPUR W.P. KUALA LUMPUR MALAYSIA


中国香港子公司

知匯醫療(香港)有限公司

Wiselink Medical Development (Hong Kong) Limited

香港湾仔轩尼诗道253-261 号依时商业大厦 1002 室

Rm.1002, 10/F, Easey Comm. Bldg., 253-261 Hennessy Road, Wanchai, Hong Kong


中国子公司

知汇医疗咨询(深圳)有限公司

深圳市宝安区新安街道稻兴环球科创中心A座1810-1812室

官网:http://www.wiselinkchina.com




▌作者:WISELINK

▌说明:WISELINK原创发布,转载请注明以上信息

▌本文仅代表作者个人分析总结,仅供参考。需原文链接,请后台私信小编获取

联系我们
填写表单
无论是寻求更多信息还是准备与我们合作,我们都会在这里指导您完成监管流程的每一步。也可订阅我们的资讯信息,获取全球最新法规资讯。