CRA 網絡韌性法案：漏洞報告

報告觸發條件

第 14 條要求製造商在知悉應報告的產品安全事件後提交報告。產品類別、CVSS 分數或發現漏洞本身，均不能單獨決定是否必須報告。

其他漏洞、網絡威脅、未遂事件和影響較小的事件，仍可能需要按漏洞處理流程處置，或通過自願渠道報告，但不一定觸發第 14 條的強制報告義務。

正在被積極利用的漏洞

“正在被積極利用的漏洞”是指有可靠證據表明惡意行為者已在未經系統所有者許可的情況下在系統中利用過的漏洞；

英文原文：
‘actively exploited vulnerability’ means a vulnerability for which there is reliable evidence that a malicious actor has exploited it in a system without permission of the system owner;

歐盟條例 (EU) 2024/2847, 第 3 條第 42 項（中文為非官方譯文；英文為原文）

這個定義包含三個要素：存在漏洞；有可靠證據證明漏洞被利用；利用行為是惡意且未獲系統所有者許可。理論利用路徑或掃描器結果本身通常不夠。

零日漏洞可能觸發報告，但只有在製造商擁有可靠證據，證明惡意主體已經利用該漏洞時才觸發。善意漏洞賞金報告或實驗室發現，如果沒有此前惡意利用證據，不屬於強制第 14 條觸發條件。

製造商可通過以下渠道獲得可靠的利用證據：

• 客户或合作方報告入侵，並提供產品漏洞被利用的證據；
• 政府機構、安全研究人員或威脅情報報告指出產品中存在被利用情況；
• 製造商自身遙測、監控或調查發現利用證據。

漏洞還必須存在於該產品中。集成組件的漏洞若無法在該產品中被利用，即使同一組件在其他產品中已遭利用，也不會僅因此觸發該產品的強制報告。

影響產品安全的嚴重事件

判斷嚴重事件也要看產品是否受到影響。一般企業 IT 事件不會僅憑其發生就觸發報告義務；事件必須影響含數字要素產品的安全。

第 14 條規定，事件滿足以下任一條件時屬於嚴重事件：

• 已經或可能負面影響產品保護敏感或重要數據、功能的可用性、真實性、完整性或保密性的能力；
• 已經或可能導致惡意代碼被引入或執行於產品，或用戶的網絡與信息系統。

24 小時、72 小時和最終報告

第 14 條使用分階段報告。第一階段是早期預警，不要求完整技術卷宗。後續階段隨着調查和緩解推進，補充可獲得的信息。

1. 早期預警：製造商知悉後應無不當延遲地提交，最遲不超過 24 小時。
2. 正式通知：知悉後應無不當延遲地提交，最遲不超過 72 小時；已提供相關信息的除外。
3. 正在被積極利用的漏洞的最終報告：糾正或緩解措施可用後最遲 14 天內。
4. 嚴重事件的最終報告：72 小時事件通知後 1 個月內。

24 小時和 72 小時的期限從製造商知悉應報告事件時起算。這些階段不是等待期：通知必須無不當延遲地提交。最終報告的起算點不同：漏洞以糾正或緩解措施可用時起算，嚴重事件以事件通知提交時起算。

單一報告平台

為提交第 14 條第 1 款和第 3 款以及第 15 條第 1 款和第 2 款所述的通知，並簡化製造商的報告義務，ENISA 應建立一個統一報告平台。該平台的日常運行由 ENISA 管理和維護。統一報告平台的架構應允許成員國和 ENISA 建立各自的電子通知端點。

英文原文：
For the purposes of the notifications referred to in Article 14(1) and (3) and Article 15(1) and (2) and in order to simplify the reporting obligations of manufacturers, a single reporting platform shall be established by ENISA. The day-to-day operations of that single reporting platform shall be managed and maintained by ENISA. The architecture of the single reporting platform shall allow Member States and ENISA to put in place their own electronic notification end-points.

歐盟條例 (EU) 2024/2847, 第 16 條第 1 款（中文為非官方譯文；英文為原文）

第 14 條通知通過單一報告平台提交。ENISA 已於 2026 年 9 月 11 日上線平台的初始運行能力，製造商可通過該平台提交強制報告。

報告準備

按時提交報告，需要確定 SRP 報告渠道和協調 CSIRT，掌握產品在各成員國的供應情況，並能及時調取內部產品數據。報告準備頁解釋這些安排。

觸發規則清楚後，可繼續閲讀 第 14 條報告準備 。

邊界情況