CRA 上报前要准备什么：硬件厂商自查清单

发布于 2026-11-11

24 小时很短。多数厂商不是做不到，而是事到临头才发现负责人联系不上、不知道产品用了哪个组件、没有人有 EU Login。下面七件事可以提前做好。

1. 指定负责人和备份

写明两个人，联系方式包含夜间可达的手机和邮箱。24 小时包含周末，只有一个人必然有漏洞。

列出面向欧盟销售的每个产品线，以及对应的固件平台、主芯片、操作系统和关键第三方组件。漏洞通报要靠这些信息对上你的产品。

至少关注 CISA 已知被利用漏洞清单（KEV）和 ENISA 的 EUVD，并明确由谁、多久看一次。

24 小时从知晓开始算。建议规定：第一个看到通报的人立即记录时间和来源，并通知负责人。事后需要能说明这个时间。

早期预警、通报、最终报告各有要求的字段。提前准备好每个阶段的英文表述，实际发生时只需要填具体内容。

提交需要个人 EU Login 账号登录 ENISA 平台。提前注册并确认能登录，不要等到事发当天。

受影响用户需要被告知风险和缓解措施。提前确定通知渠道（邮件、官网公告、App 推送）和责任人。

哨岗可以帮你做第 3、4、5 项：持续比对被利用漏洞库，记录命中时间，并按阶段起草英文上报稿。哨岗不替你提交，内容由贵司核对。也可以先做 3 分钟免费自测：cra.watchpost.cc。

负责人和备份、产品与组件清单、漏洞来源、知晓时间记录规则、英文模板、授权人员的 EU Login 以及用户通知渠道。

至少包括 CISA 已知被利用漏洞清单（KEV）和 ENISA 的 EUVD。

免费 3 分钟自测 → cra.watchpost.cc