欧盟《网络韧性法案》漏洞报告义务正式生效，24小时内须完成上报

AMZ123获悉，欧盟《网络韧性法案》（CRA）关于漏洞与入侵事件的报告义务已于9月11日正式生效。该法案覆盖范围广泛，智能摄像头、路由器、智能手表、操作系统、防火墙及嵌入式系统等含数字元素的产品均在监管范围之内，非欧盟厂商及进口商同样须遵守相关规定。

根据法案要求，已知漏洞一旦被利用或发生严重安全事件，企业须在24小时内向CSIRT及ENISA提交早期预警，72小时内补充详细评估报告，并于1个月内提交最终报告。开源软件本身在特定条件下享有豁免，但经商业化封装后同样须承担相应责任。

在处罚层面，违规企业最高面临1000万欧元或上一年度全球营收2.5%的罚款，监管机构还有权要求企业整改、下架产品或实施禁售措施。

对于出海硬件及SaaS企业而言，原有的"发现漏洞内部修复后再对外披露"做法已不符合合规要求。全天候安全监控、基于SBOM的组件追踪、采用ENISA标准模板，以及在事件响应计划中嵌入24小时预警机制，已成为进入欧盟市场的基本合规门槛。未能满足上述要求，产品将面临被驱逐出欧盟市场的风险。