一、五月二十八日，布鲁塞尔
2026 年 5 月 28 日，布鲁塞尔。欧委会的官网，那一天发了两次新闻稿。
上午那份——对 Temu 罚款 €200 million。依据是 DSA（Digital Services Act）。罚因是 Temu 没能正确识别、分析、评估其平台上违禁商品带来的 "系统性风险"。婴儿玩具有窒息隐患、化学超标，充电器电气安全测试不合格。
但你注意——欧委会的具体措辞是："a particularly serious infringement"。一个特别严重的违规。
下午那份——对京东收购德国 Ceconomy AG（MediaMarkt + Saturn 母公司）22 亿美元交易，正式启动深度调查。依据不是 DSA，是另一把刀——FSR（Foreign Subsidies Regulation，外国补贴条例）。
怀疑点：中国政府是否给了京东优惠融资、税收优惠、补贴，扭曲了欧盟内部市场。这是 FSR 实施以来对中国公司并购的首例正式深度调查。
两份新闻稿。两个不同的法律工具。两家完全不同业态的中国公司。发布间隔不到一个工作日。
行业的第一反应是把它当"两件事"看。跨境电商的人看 Temu —— "啊产品安全 DSA 又来了"。做并购的看京东 —— "啊补贴审查 FSR 真的动手了"。两群人在两个微信群里讨论，没什么交集。
但你如果把这两份新闻稿叠在一起、把日期对齐、把发布人对齐，你会发现一件不对劲的事。
这两件事不是巧合。它们是同一件事。
而且，如果你再往前翻 100 天——欧委会还发过第三份新闻稿。主角也是中国公司，也是 DSA。
那一份，让 5 月 28 日这天的两个声响有了第三层意义。
二、以为是一巴掌，其实是三巴掌
把日历倒推一百天。
2026 年 2 月 6 日，布鲁塞尔。欧委会对 TikTok 的 "addictive design"（沉迷设计）做出 DSA 初步认定。
罚因不是 Temu 那种 "卖了什么"，也不是京东那种 "钱从哪来"，是 "你怎么留住人"。
具体指控：无限滚动、自动播放、推送、个性化推荐——把用户大脑切到 "自动驾驶模式"。重点是未成年人晚上时间 + 频繁开 app。
这件事当时被讨论成 "未成年人保护"。和 5 月 28 日两件事看上去八竿子打不着。
但你把这三件事按时间排成一行——
——三件事，其实是一件事。
欧盟在做一件大事，它的名字叫 "三层穿透"。
第一层 · 内容/体验层 · 穿透到算法决策权。TikTok 案问的是："你的算法对用户的'自主性'有什么影响？你要为这个影响负什么责？" 穿透对象是产品最里面的黑盒——推荐算法。
第二层 · 商品/运营层 · 穿透到供应链可见度。Temu 案问的是："你卖的货是谁的责？你对自己平台的特征做过具体的风险评估吗？" 穿透对象是供应链上游——从平台一路追到工厂。
第三层 · 资本/股权层 · 穿透到资本来源可追溯。京东案问的是："你的钱是谁的钱？你的并购资本里有没有国家补贴？" 穿透对象是公司股权和融资历史——从交易一路追到资金源头。
三层有个隐藏规律——穿透深度递增、企业可调整空间递减、反应周期递增。
算法可以调，调一次算月度。供应链可以重构，重构一次算季度。股权和资本来源——动一次算年。
现在回看 5 月 28 日那两份新闻稿，为什么是同一天？
因为这是欧盟用同一执法周期里的两个独立 case，对"三层穿透框架"做的一次公开验证。
2 月那把刀已经下过，验证了内容层穿透可行。5 月这两把刀同一天下，要验证的是——运营层穿透 + 资本层穿透，两层同步可执行。
框架已经成型，工具已经上膛。下一个案例，无非换 logo。
所以——
你以为 5 月 28 日是 "欧盟又罚了一个中国公司"。
其实是欧盟向所有想留在欧洲的中国跨境平台宣告：从今天起，你不是一个对手，你是三层不同的责任主体。
第一层，你的算法谁负责。第二层，你的货谁负责。第三层，你的钱谁负责。
每一层都有一把刀。三把刀已经分别下过试探刀。
你以为是一巴掌。其实，是三巴掌。
三、真正死的，不是 Temu，是供应链
接着说一件让人愣神的事。
如果你看 DSA 和 FSR 的法条全文，会发现一件特别耐人寻味的事——
这两套法律的"自动打击半径"只覆盖头部。
DSA：月活 ≥ 4500 万的平台才算 VLOP（Very Large Online Platform）。只有 VLOP 才扛"系统性风险评估"义务，只有 VLOP 才被欧委会直接监管。
FSR：营收 ≥ €500 million 加上外国财务贡献 ≥ €50 million 才触发强制申报。京东 Ceconomy 这种 22 亿美元交易，本来就是为"标志性案例"准备的舞台。
你直觉会觉得——"欧盟只打头部，那中小卖家应该安全"。
完全反了。
这套监管框架真正狠的地方，不在它打到了谁，在它没直接打但传导给了谁。
头部平台（Temu / 京东 / TikTok）：被打击形式是罚款 + 整改 + 治理改造。谈判筹码高——直接和欧委会对话、请世界级律所、做整改、把成本转嫁出去。实际处境是会肉痛，但不会死。
入驻商家（中小卖家）：被打击形式是被传导——品类下架、保证金涨、KYC 加严、算法降权、入驻资格收紧。谈判筹码零——没有任何席位。实际处境是肉疼比头部还重，且无处申诉。
中国上游供应链（工厂、源头）：被打击形式是订单消失、转单、压价、转 OEM。谈判筹码负——没人替他们说话，他们甚至看不到监管文书。实际处境是被穿透的副产品，他们连"在被穿透"都不知道。
这是一条 "显性头部、隐性腰部、隐形上游" 的伤害分布。
回到 Temu €200M。很多人盯着罚款数字，但 Temu 这家公司一年 GMV 几百亿美元，€200M 是损失但不是致命伤。
真正的代价，不是罚款本身。是 Temu 整改完之后做的下一步动作——
提高入驻保证金（中小卖家被收紧）。加严类目准入门槛（部分品类被切掉）。改算法降低高风险品类曝光（白牌工厂订单缩水）。转嫁合规成本进佣金率（上游被压价）。
Temu 自己付的是 €200M 罚款；它会向供应链端转嫁出 €1 billion 以上的合规连锁成本。
头部把"被穿透"打包成"供应链优化"，转身把账单递给腰部和上游。
所以 5 月 28 日真正的伤害分布是这样的——
新闻稿上写的是 "Temu 被罚 €200M"。
但 Temu 不会真死。
真死的，是没有出现在新闻稿里的那一万家中国白牌工厂——它们突然失去了一个高频订单源。
真死的，是没有出现在新闻稿里的那五万家中小卖家——它们突然被加了一道保证金门槛。
真死的，是没有出现在新闻稿里的整条中国制造业出口通道——它们突然多了一道隐形的损耗。
他们连出现在欧委会档案里的资格都没有。他们只在自己的对账单上，看见订单数字往下掉。
所以——
你以为 Temu €200M 是 Temu 的事。
其实它是一万家中国白牌工厂、五万家中小卖家、整条中国制造业出口通道的事。
头部公司有的是律师、有的是资本、有的是话语权。
真正会被这套监管打死的，是话语权为零的那一头。
四、反通行证不是替代，是辅料
但 Temu 自己呢？€200M 到底罚的是什么？
回到上午那份新闻稿——欧委会用了一个分量极重的措辞：
"a particularly serious infringement"
这不是描述罚款数字的形容词。这是一个钉在档案里的法律定性。
意思是——从今天起，Temu 在欧委会的合规档案里有了一个 "前科级别的标签"。之后每一次 DSA 接触，都从这个标签的负起点出发。
€200M 是一次性的钱。这个标签是永久的合规历史包袱。
而且，欧委会罚的不是某个充电器、某个玩具、某个仓库、某个供应商。
罚的是 Temu 这家公司的风险评估机制本身不合格。
这就解释了为什么是 CEO 慌、不是 VP 慌——
DSA Article 75 要求 Temu 在 2026 年 8 月 28 日前提交整改计划。这份计划必须 CEO 签字——CEO 不能授权给合规 VP，因为这等于在欧盟监管面前承认 "我对自己公司的风险识别机制没能力管"。
CEO 慌的不是这次的钱。是这之后所有的 DSA 接触都从一个负起点开始。
致命的细节在哪？看欧委会的具体指控——
Temu 2024 年的风险评估，用了"整个电商行业的一般信息"代替"Temu 自己平台的具体风险"。
看上去是个技术问题。其实是个自我认知问题。
DSA 系统性风险评估义务（Article 34）的核心是：对自己平台特征的具体识别——不是行业层面的，是平台层面的。
用 "行业一般信息" 做评估，等于平台说："我假设我和别人一样"。但 Temu 显然和 Amazon、AliExpress 不一样——直邮模式、廉价品类集中、白牌供应链占比、卖家分布。这些不一样的地方，恰恰是它的风险密集区。
监管的判断是：你用一份谁都能交的"行业模板"作业，等于你压根没识别自己。
所以 CEO 心里还剩最后一根稻草——
"中国监管能不能给我一张牌？产品标准互认这种东西，能不能让我把这一刀躲过去？"
回答这个问题，需要分三层看。
梯度递减的不是技术差距，是政治成本差距。越往下，越靠近主权红线。
所以——三层里唯一能撕开口子的，是运营层的产品标准互认。
但这里有一个致命陷阱。
很多 CEO 会因此产生一种错觉——
"中国监管马上要出反通行证了，我等等再做 DSA 风险评估吧"。
这是死路。
回到 Temu 罚因——欧委会罚的不是 "Temu 卖的某个充电器不合格"（那是产品标准层面），罚的是 "Temu 自己作为平台没有针对自己平台的特征做风险评估"（这是 systemic risk 层面）。
这两个层面是包含关系——
产品标准互认能解决"单个 SKU 是否合规"——这是 input。
它解决不了"平台对自己生态的整体感知能力"——这是 output。
所以即便中国监管明天就拿出一份"对欧出口产品强制额外标准"，Temu 仍然要自己做 DSA 风险评估——只是这份评估里可以引用中方标准作为 input。
反通行证不是替代品，是降低成本的辅料。
等监管出招，等到的是 input 的成本节省。等不到 output 义务的解除。
Article 75 的 8/28 倒计时不会因为中方监管在谈互认就停下来。
落地路径上还有一个选择题——
跨境电商行业真实在等的是后者，不是前者。
但后者的政治成本恰恰最高——它意味着中国监管主动给"欧盟规则当主子"。
所以这个选择题，很可能是个无解题：
行业等的那条路（单边发标）政治成本太高。政治成本可接受的那条路（双边 MRA）行业等不起。
而 8/28 不会等。10/2 不会等。每年都要更新的 DSA 风险评估义务也不会等。
读到这里 CEO 应该接受一个事实——没有外援。
没有反通行证能把这一刀挡掉。即便有，也只是辅料，不是替代。
那 CEO 自己要做什么？
五、你不是要应对这一次，是要决定时代
中国大公司面对新合规，几乎都走一条默认路径——
成立跨部门工作组。CEO 或某副总挂帅。月度会同步进度。整改完成后专项组解散。
这条路的本质是 "专项制"——不动组织、不变汇报线、不切预算结构、不改 KPI 体系。
为什么默认？因为动组织的政治成本太高——动汇报线要重新分权，切预算要重新争抢，改 KPI 要重新博弈。专项制把所有麻烦都"项目化"了，临时调人、临时拨钱、临时定考核，整改完一切恢复原状。
这条路在过去三十年里几乎所向披靡。
但在 DSA 这种持续运营义务面前，专项制有一个隐藏的时间陷阱。
底层冲突很硬——中国公司治理逻辑偏好"项目制" vs 欧美监管框架要求"治理结构常态化"。
两套底层逻辑对不上。专项制就是用一次性的火力，交持续性的答卷。
真正的隐患不在 8/28 交不交得出整改方案。是 28 个月后下一次监管接触时——CEO 换人、合规 VP 换届、专项组解散——届时的能力已经不在了。
但合规档案里那条 "particularly serious infringement" 还在。
新的监管接触，从这个负起点叠加上去。
所以一句话——
专项项目是 DSA 合规的最便宜选项，也是最贵的选项。
绝大多数 CEO 心里都有 "硬扛" 这两个字。
但这两个字在不同人嘴里指的是完全不同的状态——
5/28 这一天证明的恰恰是第二个。
欧盟还在框架成型期，不是收尾期。
框架成型期的特征是——工具试用越来越熟练，案例外延越来越广。FSR 这把刀第一次砍下来，下一刀就有判例可循。
所以 "硬扛" 的实质是心态切换——
从 "还能闪一闪" → 接受永久监管接触。
从 "等中国监管出招" → 接受三层里只有运营层有反通行证可能。
从 "合规是一次性成本" → 合规是结构性运营成本。
这个心态切换才是 5/28 给 CEO 的真信号——不是"教你怎么应对"，是 "先告诉你你在哪个时代了"。
"硬扛" 拆开看，自救动作的代价是递增的——
绝大多数中国跨境平台目前还停在 "试图避开第一道" ——也就是 "等监管出招" 的状态。
5/28 已经告诉所有人：这个赌的前提是错的。
从第一道到第三道，每一道都是商业模式与监管框架的强对赌——赌欧盟监管的边际严苛度会逐渐放缓。
框架成型期不会放缓。只会越扎越熟练。