CRA 网络弹性法案：漏洞报告

报告触发条件

第 14 条要求制造商在知悉应报告的产品安全事件后提交报告。产品类别、CVSS 分数或发现漏洞本身，均不能单独决定是否必须报告。

其他漏洞、网络威胁、未遂事件和影响较小的事件，仍可能需要按漏洞处理流程处置，或通过自愿渠道报告，但不一定触发第 14 条的强制报告义务。

正在被积极利用的漏洞

“正在被积极利用的漏洞”是指有可靠证据表明恶意行为者已在未经系统所有者许可的情况下在系统中利用过的漏洞；

英文原文：
‘actively exploited vulnerability’ means a vulnerability for which there is reliable evidence that a malicious actor has exploited it in a system without permission of the system owner;

欧盟条例 (EU) 2024/2847, 第 3 条第 42 项（中文为非官方译文；英文为原文）

这个定义包含三个要素：存在漏洞；有可靠证据证明漏洞被利用；利用行为是恶意且未获系统所有者许可。理论利用路径或扫描器结果本身通常不够。

零日漏洞可能触发报告，但只有在制造商拥有可靠证据，证明恶意主体已经利用该漏洞时才触发。善意漏洞赏金报告或实验室发现，如果没有此前恶意利用证据，不属于强制第 14 条触发条件。

制造商可通过以下渠道获得可靠的利用证据：

• 客户或合作方报告入侵，并提供产品漏洞被利用的证据；
• 政府机构、安全研究人员或威胁情报报告指出产品中存在被利用情况；
• 制造商自身遥测、监控或调查发现利用证据。

漏洞还必须存在于该产品中。集成组件的漏洞若无法在该产品中被利用，即使同一组件在其他产品中已遭利用，也不会仅因此触发该产品的强制报告。

影响产品安全的严重事件

判断严重事件也要看产品是否受到影响。一般企业 IT 事件不会仅凭其发生就触发报告义务；事件必须影响含数字要素产品的安全。

第 14 条规定，事件满足以下任一条件时属于严重事件：

• 已经或可能负面影响产品保护敏感或重要数据、功能的可用性、真实性、完整性或保密性的能力；
• 已经或可能导致恶意代码被引入或执行于产品，或用户的网络与信息系统。

24 小时、72 小时和最终报告

第 14 条使用分阶段报告。第一阶段是早期预警，不要求完整技术卷宗。后续阶段随着调查和缓解推进，补充可获得的信息。

1. 早期预警：制造商知悉后应无不当延迟地提交，最迟不超过 24 小时。
2. 正式通知：知悉后应无不当延迟地提交，最迟不超过 72 小时；已提供相关信息的除外。
3. 正在被积极利用的漏洞的最终报告：纠正或缓解措施可用后最迟 14 天内。
4. 严重事件的最终报告：72 小时事件通知后 1 个月内。

24 小时和 72 小时的期限从制造商知悉应报告事件时起算。这些阶段不是等待期：通知必须无不当延迟地提交。最终报告的起算点不同：漏洞以纠正或缓解措施可用时起算，严重事件以事件通知提交时起算。

单一报告平台

为提交第 14 条第 1 款和第 3 款以及第 15 条第 1 款和第 2 款所述的通知，并简化制造商的报告义务，ENISA 应建立一个统一报告平台。该平台的日常运行由 ENISA 管理和维护。统一报告平台的架构应允许成员国和 ENISA 建立各自的电子通知端点。

英文原文：
For the purposes of the notifications referred to in Article 14(1) and (3) and Article 15(1) and (2) and in order to simplify the reporting obligations of manufacturers, a single reporting platform shall be established by ENISA. The day-to-day operations of that single reporting platform shall be managed and maintained by ENISA. The architecture of the single reporting platform shall allow Member States and ENISA to put in place their own electronic notification end-points.

欧盟条例 (EU) 2024/2847, 第 16 条第 1 款（中文为非官方译文；英文为原文）

第 14 条通知通过单一报告平台提交。ENISA 已于 2026 年 9 月 11 日上线平台的初始运行能力，制造商可通过该平台提交强制报告。

报告准备

按时提交报告，需要确定 SRP 报告渠道和协调 CSIRT，掌握产品在各成员国的供应情况，并能及时调取内部产品数据。报告准备页解释这些安排。

触发规则清楚后，可继续阅读 第 14 条报告准备 。

边界情况