24 小时：智能产品卖家的新倒计时

如果你卖的是带 WiFi、蓝牙、能联网的产品——智能家居、安防摄像头、手表手环、路由器、IoT 传感器，这条跟你有关。

9 月 11 日已经生效的，是报告义务

欧盟《网络弹性法案》（CRA）自 2026 年 9 月 11 日起，制造商的漏洞和安全事件报告义务开始执行：

注意一点，这条对已经在市场上销售的产品同样适用，不只是新品。你去年卖出去的设备今年被爆出漏洞，一样要报。

主要义务（包括 CE 标记）在 2027 年 12 月 11 日全面适用，罚则最高可到全球年营业额的 2.5%。

为什么这条比看起来更麻烦

因为 24 小时这个时限，考验的不是你的合规文件，是你的流程。你得先有漏洞监控机制，才谈得上在 24 小时内知道；先有内部上报路径，才谈得上在 72 小时内报出去。这两样东西现在没有，到期也变不出来。

一个很多人不知道的窗口

2026 年 6 月 11 日起，CRA 关于公告机构资质的条款生效。关键点在于：现有的 RED 公告机构不会自动转换成 CRA 资质，需要重新取得。

这意味着什么？你现在合作的检测认证机构，可能到 2027 年做不了 CRA 相关的验证。现在不确认这件事，到时候临时换机构，排队时间你控制不了。

顺带说，EN 18031 的网络安全测试也已经是必选项了。所有集成 WiFi、蓝牙等射频模块、能连局域网或云服务器的无线设备，都要完成测试。纯短距离本地通信、没有云上传功能的（比如基础无线键鼠、非联网蓝牙耳机、简单射频遥控器）可以豁免。

还有一层，是叠加的

GPSR 今年进入全面严格执法阶段，三项硬义务：指定欧盟境内的责任人并把名称地址标在产品本体或外包装上；监管要求时 48 小时内提供从上游供应商到终端消费者的全链路记录；技术文档要随关键零部件变更动态更新。

德国那边现在重点查智能家居的本土语言说明书和安全警示完整性，法国在查能效标签的真实性。查实技术文档和实物不符，最高罚全球年营业额 4%，外加下架和召回。

如果你在做这类产品，按顺序做三件事

1. 先确认产品是否落在 CRA 范围内，含射频模块且能联网的，基本都在

2. 问清楚你现在合作的检测机构有没有 CRA 资质布局，没有的话尽早找备选

3. 把内部的事件识别和上报流程建起来，别等 2027 年 12 月