CRA 第 14 条：被利用漏洞的 24 小时上报怎么做
发布于 2026-11-11
自 2026 年 9 月 11 日起，向欧盟市场销售联网硬件和软件的制造商，一旦知晓产品漏洞正在被利用或发生严重安全事件，就要按 CRA 第 14 条在限定时间内上报。这个时限从“知晓”那一刻开始算，不看是不是工作日。
三个时限
- 24 小时内：早期预警（early warning）。说明已知晓、涉及哪些欧盟成员国；如怀疑是恶意行为造成，也要写明。
- 72 小时内：通报（notification）。补充产品信息、漏洞和利用方式的性质、制造商已采取和建议用户采取的补救措施，以及信息敏感度。
- 最终报告：被利用漏洞，在补救措施可用后 14 天内；严重安全事件，在通报后 1 个月内。内容包括漏洞描述、严重程度、影响、恶意方信息和安全更新情况。
什么情况需要上报
两类情形：一是制造商知晓产品中有正在被积极利用的漏洞；二是发生影响产品安全的严重事件。仅仅是“存在漏洞”不触发 24 小时上报，关键是有没有被利用的证据，比如 CISA KEV 清单或 ENISA 的 EUVD 收录。
报给谁、怎么报
通过 ENISA 建设的单一上报平台（single reporting platform），同时送达指定的 CSIRT 和 ENISA。具体由哪个成员国的 CSIRT 接收，由第 14 条的规则决定，通常与制造商在欧盟的主要营业所或授权代表所在地有关。提交需要贵司指定的人员用个人 EU Login 登录平台操作，目前没有开放接口，不能由第三方代为提交。
还要通知用户
除了向主管机构上报，制造商还要及时告知受影响的用户，说明风险以及可采取的缓解措施。
不做会怎样
违反第 14 条属于 CRA 第 64 条规定的较高档罚款情形，最高可达 1500 万欧元或全球年营业额的 2.5%，以较高者为准。
中国硬件厂商的实际难点
- 知晓时间难界定：谁在什么时候第一次看到漏洞通报，要留下记录。
- 夜间和节假日：24 小时包含周末和春节，需要负责人加备份人。
- 英文表述：平台要求用英文填写，技术团队往往不熟悉监管措辞。
- 产品对应关系：漏洞通报里的组件，要对得上自家产品的固件和芯片。
哨岗的做法：持续比对被利用漏洞库，命中后启动倒计时、提醒负责人和备份，并按各阶段起草好英文上报稿，供授权人员核对后复制到 ENISA 平台。哨岗不替贵司提交，内容也由贵司自行核对。
FAQ
CRA 的 24 小时从什么时候开始算？
从制造商知晓漏洞正在被利用（或严重事件）那一刻开始，包括周末和节假日。
CRA 上报要报给谁？
通过 ENISA 的单一上报平台，同时送达指定的成员国 CSIRT 和 ENISA。
可以让第三方代为提交吗？
目前平台只能由制造商指定人员用个人 EU Login 登录提交，没有开放接口。
更多指南
本文依据欧盟 CRA（法规 (EU) 2024/2847）公开条文整理，仅供一般参考，不构成法律意见。具体义务请以法规原文及贵司法律顾问意见为准。