欧盟CRA报告义务9月11日落地：带芯片的产品出海欧洲先补安全课
卖智能手表、联网摄像头、智能玩具、带 App 的家电的卖家，9月有一条新红线：欧盟《网络弹性法案》（Cyber Resilience Act, CRA）的核心报告义务已于2026年9月11日正式生效。这不是一份建议遵守的行业守则，而是带罚则的法律。
义务内容：24小时和72小时
从9月11日起，所有在欧盟销售的带数字功能产品，一旦出现被主动利用的安全漏洞或重大安全事件，制造商必须在24小时内通过 ENISA（欧盟网络安全局）平台提交早期预警，并在72小时内完成详细上报。注意义务主体是”制造商”——对中国供应链来说，品牌方通常就是欧盟语境下的制造商，代工厂不会替你扛这个责任。
罚则有多重
违规企业最高可处以1500万欧元或全球年营业额2.5%的罚款（取高者），相关产品还可能被强制下架或召回。和 GDPR 一样，这是按全球营业额计的百分比，不是欧盟境内收入。
时间线上还有一步：CRA 的全面义务（产品基本网络安全要求与合格评定）从2027年12月11日起整体适用。也就是说，现在到2027年底是缓冲期，但漏洞报告义务已经生效——最难的”出事24小时内决定报不报”的问题，从今年9月就开始考验了。
哪些产品在射程内
几乎所有”带数字元素”并直接或间接联网的产品：手环、耳机、行车记录仪、宠物追踪器、智能家居灯泡、儿童手表、电动滑板车的控制模块。纯机械产品不适用，但只要里面有一颗联网芯片，就算。亚马逊欧洲站已经开始在部分类目要求 CRA 合规声明，属于平台先于监管执行的典型。
中小卖家能做的三件事
第一，建产品安全台账：每个SKU的固件版本、芯片方案、数据采集范围（尤其是否采集儿童数据）登记在册。第二，和供应商约定漏洞响应条款：谁在几小时内提供补丁、谁承担通报成本，写进采购合同。第三，准备 SBOM（软件物料清单）。CRA 要求制造商掌握产品包含的软件组件清单，这恰好也是24小时预警的前提——连自己产品里跑什么软件都不清楚，谈何上报漏洞。
常见问题
我只是贴牌销售，制造商是我吗？
大概率是。CRA 下”以自己名义或品牌将产品投放市场”的主体即制造商，贴牌卖家无法通过”工厂生产”来豁免义务。
漏洞没有被利用也要报吗？
强制报告针对的是”被恶意利用的漏洞”和重大安全事件。但 CRA 同时鼓励主动报告严重漏洞，建立内部漏洞响应流程迟早要做。
0 条评论