欧盟CRA漏洞通报义务9月11日生效：24小时内须向CSIRT和ENISA提交警报

欧盟《网络韧性法案》（CRA）核心风险漏洞与入侵事件报告义务于9月11日正式生效，要求制造商在知悉已被利用漏洞或严重安全事件后24小时内向国家CSIRT和ENISA提交初步警报，72小时内提交详细通报，1个月内提交最终报告。该义务覆盖智能家居、工业控制系统、路由器、智能摄像头、操作系统、防火墙、应用软件等带有数字元素的产品，涉及欧盟本地制造商、向欧盟出口数字产品的非欧盟企业、进口商及授权代表。开源软件本身若非用于商业活动在特定条件下可豁免，但商业化包装或集成开源组件的企业仍需承担合规责任。未能按时履行通报义务或提供虚假信息的企业，最高面临1000万欧元或上一年度全球总营业额2.5%的罚款（以较高者为准），监管机构有权要求产品限期整改、下架甚至全面禁止在欧盟市场销售。企业需建立7×24小时漏洞监控机制、升级事件响应预案、强化SBOM管理，并协调欧盟CRA与美国CISA等不同法域的通报时限。