带联网功能的产品卖到欧盟，漏洞 24 小时不报就违规

佛山做智能小家电的何总，产品带 WiFi、配 App，欧盟占出口的四成。上个月团队复盘合规时发现一件要紧事：欧盟《网络弹性法案》（CRA）的漏洞报告义务，2026 年 9 月 11 日起已经生效——而他们的产品工程师，第一次听说这部法律。何总的第一反应是"那是网络安全公司的法，跟我卖家电的有什么关系"。答案恰恰相反：凡是带数字元素的联网产品——从玩具、门锁、摄像头到仪器设备——都在它的射程之内。欧盟首次把网络安全要求做成 CE 级别的强制门槛，管的不只是 IT 行业。

一、先对照：CRA 的时间表，现在处于哪一格

关键结论：报告义务不等人，2027 年底的产品义务也不遥远。支持期内的存量产品同样要履行报告义务，"我的产品早上市了"不是豁免理由。

二、三种最容易误判的情形

·情形一："我是传统制造，CRA 跟我无关。"判断标准不是行业，是产品——直接或间接联网的硬件、随附的软件、独立的软件与 App，都算"带数字元素的产品"。一台带蓝牙的玩具、一个配手机 App 的温控器，适用规则与防火墙没有本质区别。

·情形二："报告义务生效了，等出漏洞再说。"义务细节比想象的具体：发现被主动利用的漏洞或严重安全事件，24 小时内提交早期预警，72 小时内完成完整通知，整改措施可用后 14 天内（严重事件 1 个月内）提交最终报告——通过欧盟的单一报告平台提交。这套时限，没有临时建流程的可能，只能提前建。

·情形三："等到 2027 年再改造产品。"安全默认配置、更新机制、漏洞管理流程，都要写进产品设计与研发节奏——2027 年 12 月是一次性大考，而备考从现在开始，改硬件的周期最不受你控制。

三、一个完整案例：一家厂商的三步准备

与何总同行的另一家厂商动作更快，他们的做法可以照抄。第一步，产品盘点：把所有 SKU 按"是否联网、是否带软件组件、是否有配套 App"列成清单，标出每款的预计支持期——CRA 要求厂商明确产品的安全支持期限，且原则上不少于 5 年。第二步，对照时间表倒排：报告义务（已生效）要求立刻有响应流程；2027 年底的安全设计要求，倒推出最晚的设计冻结时间点，嵌入下一代产品规划。第三步，把漏洞响应写进研发流程：建立漏洞监控与分级机制，明确 24 小时预警的责任人与路径，安全更新分发机制与版本管理纳入常规发布。三个月做下来，他们发现大部分投入是流程性而不是技术性的——难的不是造出安全的产品，是让"安全"变成研发的固定动作。

四、CRA 三步准备，本月就能启动

·第一步：产品盘点。列出带数字元素的产品与软件组件清单，标注联网方式、数据类型、支持期——这张清单是后面所有工作的底账。

·第二步：对照时间表倒排。报告义务已生效，先补响应流程；主要义务 2027 年 12 月落地，按产品改造周期倒排设计与评估节点。

·第三步：建漏洞响应流程。24 小时预警、72 小时完整报告、14 天最终报告，责任人、升级路径、平台提交入口逐一落实到人。

五、连带提醒

三个关联点别漏：其一，医疗设备、民用航空、机动车辆等产品由其他欧盟法规覆盖，不适用 CRA，但配套 App 可能单独落入射程；其二，进口商与经销商同样有义务，贴牌销售的情况下自有品牌方会被视为制造商——OEM 模式的责任划分要重新审一遍；其三，CRA 与《通用产品安全法规》（GPSR）、AI 相关立法共同构成欧盟产品合规的拼图，做合规规划时放在一起看。

写在最后

欧盟这次的做法很直接：把网络安全从"加分项"变成"出厂资格"——没有 CE 级别的安全合规，2027 年底之后连上架资格都没有。对出海企业，最需要记住的日期是两个：9 月 11 日已经过去，报告义务正在适用；2027 年 12 月 11 日还没到，产品改造的窗口正在关闭。带联网功能的产品清单，值得今天下班前拉出来。

👉 在公众号后台回复「CRA」，获取产品适用性盘点表与漏洞响应流程模板。

CHENXING GLOBAL

全球设立，合规经营｜Build Globally. Operate Compliantly.

免责声明：本文为一般性信息分享，不构成针对任何具体情形的税务、法律或审计意见。各国及地区的政策、申报要求、费用标准与办理时效可能发生调整，实际操作应以当地现行法规、主管部门要求及专业机构核实结果为准。