安世加 · 出海合规专栏
欧洲客户开始在硬件采购合同中明确要求「漏洞24小时通报」「支持周期」及「SBOM（软件物料清单）」，这并非空穴来风，而是《网络韧性法案》（Cyber Resilience Act, CRA）进入实施窗口后的合同传导效应。
基于十年企业安全服务经验，本文将梳理CRA从生效到全面落地的时间轴，并提供采购与供应合同中需重点对齐的条款清单。核心建议采用「1+N控制项映射引擎」策略，即通过一次证据采集，将CRA报告与生命周期证据，与既有的ISO 27001、SOC 2 Type II及CE·RED技术文档整合至同一主证据池，实现多标并行取证。
注：下文时间点均源自欧盟委员会公开信息；产品是否属于Important/Critical类别及符合性评估路径，请以法规原文、实施法规及公告机构意见为准。
一、必须厘清的三条关键时间线
1. 法案生效
日期：2024年12月10日
事件：CRA正式生效（Regulation (EU) 2024/2847）。
2. 部分义务适用
日期：2026年6月11日
事件：成员国指定通报当局及符合性评估机构相关条款开始适用。
日期：2026年9月11日
事件：制造商须对「被积极利用的漏洞」及「严重影响产品安全的严重事件」履行通知义务。
日期：2026年7月27日
事件：欧盟委员会发布非约束性实践指导，涵盖范围界定、实质修改、支持周期、报告与风险评估等。
3. 主义务全面适用
日期：2027年12月11日
事件：附录I必要网络安全要求、符合性评估、市场监督及CE标记等主义务全面生效。
二、报告义务执行流程（已适用部分）
根据欧盟委员会CRA报告专题页说明，报告流程如下：
1. 早期预警（Early Warning）：知悉后24小时内提交。
2. 完整通知（Full Notification）：知悉后72小时内提交。
3. 最终报告（Final Report）：
- 针对积极利用漏洞：纠正措施可用后不超过14天；
- 针对严重事件：自72小时通知起一个月内。
4. 报送通道：通过ENISA的CRA单一报告平台（SRP）一次性报送。通知需同时发送至主要设立地的CSIRT，并同步提供给ENISA（除特别例外情况）。
需注意，开源软件管理者（Steward）的部分报告义务依据Article 71(2)/Article 24(3另有规定，自2027年12月11日起适用。合同中切勿将「制造商」与「Steward」角色的截止日期混淆。
三、采购与供应合同建议新增的六类条款
以下为企业管理清单参考，非标准合同文本：
1. 角色与范围界定：明确产品是否属于「带数字元素的产品（PWDE）」；界定制造商、进口商、分销商角色；确认产品是否可能落入Important或Critical类别（以实施法规技术描述为准）。
2. 漏洞与事件通知机制：设定与CRA节奏（24h/72h/最终报告）对齐的买方通知时限、指定联系人及严重性分级标准。避免使用模糊的「及时通知」表述，应明确具体小时数。
3. 安全更新与支持周期：明确支持周期的确定方式；规定在技术可行时，安全更新应与功能更新分离；约定停止服务后的风险告知义务。
4. SBOM与组件尽职调查：要求提供机器可读的SBOM（至少包含顶层依赖）；规定第三方组件的尽职调查流程及对已知可利用漏洞的上架限制。
5. 默认安全与访问控制：涵盖默认配置、认证/访问控制、数据最小化及用户数据可安全删除等要求，映射至附录I产品属性要求，便于在2027年前预埋合规证据。
6. 证据留存与审计权：明确技术文档、风险评估、更新历史及SRP报送留痕在尽职调查中的可抽样性；规定如何与买方既有的ISO 27001/SOC 2 Type II问卷合并处理，避免建立两套台账。
四、与CE/RED标准的衔接策略
智能硬件团队常需同时应对传统CE、RED下的网络安全要求以及CRA的横向义务。鉴于CRA主义务自2027年12月11日适用并与既有产品立法衔接，建议在合同中采取以下策略：
• 分附件管理：射频/RED测试报告不等同于CRA漏洞处理与报告证据，需分开归档。
• 云端单列：即便设备端合规，云端账号、OTA升级及个人数据跨境仍可能面临客户基于ISO/SOC 2 Type II的问询，需单独应对。
• 采用1+N模式：将设备安全设计、OTA/漏洞流程、云IAM/日志纳入同一主证据池，实现一次采集，分别映射至技术文档、客户问卷及SRP流程演练记录。
五、安全与法务团队自检五问
1. 在欧销售的联网硬件/软件，是否已完成PWDE范围判断及角色确认？
2. 知悉「积极利用漏洞」后，内部流程能否在24小时内完成升级并提交至SRP？
3. 合同中的「及时通知」条款是否已转化为可执行的小时级SLA？
4. 支持周期与安全更新策略是否已写入对客承诺并具备留痕能力？
5. SBOM、风险评估及更新历史是否已纳入主证据池管理，而非散落在研发聊天记录中？
在服务中国出海企业的过程中，常见的问题并非「不知晓CRA」，而是报告时钟已经启动，但合同与证据体系仍停留在2024年的CE口径。采用1+N策略提前齐备生命周期安全证据，比临近2027年再补救更为稳妥。
参考资料
欧盟委员会：Cyber Resilience Act 政策页 https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
欧盟委员会：CRA Reporting obligations https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
欧盟委员会：Commission guidance publication（2026-07-27）https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
EUR-Lex 摘要页（适用日期）https://eur-lex.europa.eu/EN/legal-content/summary/horizontal-cybersecurity-requirements-for-products-with-digital-elements-cyber-resilience-act.html
现在，是开始布局的最好时机
认证不是终点，而是出海征途的起跑线。越早获证，越早建立竞争优势，赢得海外市场信任。
安世加为出海企业提供SOC 2、ISO体系、PCI DSS认证咨询服务。基于您的业务模型，我们可提供针对性的路径建议。
关于我们
https://www.anshijia.net.cn
联系我们
手机：19121509707
邮箱：esther.zhao@anshijia.net.cn
— 安世加 · 出海合规专栏