CRA 报告义务：时限、负责人和准备清单

哪些情况需要通报

该义务适用于《网络韧性法案》（CRA）范围内含数字要素产品的制造商，涉及正被利用的漏洞，以及影响产品安全的严重事件。仅仅运营企业网站，并不意味着运营者自动成为承担这些义务的制造商。

先确认产品、企业所扮演的角色和具体事件。扫描器发现问题，并不能证明该漏洞正在被利用。内部决策时，应区分观察结果、已确认事实和待解决问题。 [1] [2]

期限从知悉时开始计算

24 小时和 72 小时期限有同一个起算点。记录该时刻、时区及判断依据。后续发现应附上各自的时间戳，归入同一事件记录。 [1] [5]

为通报流程安排责任人与替补

通报通过 ENISA 的单一报告平台（SRP）提交至协调 CSIRT，原则上也同步提供给 ENISA。指定代表需要使用启用了多因素认证的个人 EU Login 账户。

在企业内部指定主要负责人和替补，准备 EU Login 及访问安排。ENISA 目前建议，只有在确实需要通报时，才启动制造商在 SRP 的注册与验证。使用前应查看最新官方操作说明。 [3] [4]

建立统一事件记录

我们的实际建议是：将产品和受影响版本、知悉时间、技术证据、影响、已采取措施以及待解决问题集中记录。为下一步每项行动指定责任人和期限。

这样，替补人员可以区分已确认事实与仍在调查的事项。还应保存实际提交的通报及提交时间。后续补充才有据可查，也不会将最初判断误写成当时已经确定的事实。

当前平台提示：单独核对倒计时

ENISA 于 2026 年 10 月 3 日更新的常见问题说明：当前 SRP 的 72 小时计时器，将早期预警提交后 48 小时显示为截止时间。因此，在距离知悉事件尚不足 72 小时时，平台就可能显示通报逾期。

企业应同时在内部跟踪实际适用的期限。平台显示不能替代对法定期限的判断。ENISA 已计划修改计算方式，处理实际事件时应核查当时的平台说明。 [4]

用一次简短演练找出缺口

在内部走查一个虚构案例，不向主管机关提交真实通报：谁接收线索，谁评估受影响产品，谁作出决定，非工作时间由谁接手？同时检查替补人员能否找到事件记录。

演练结果应是一份简短、具体的改进清单，例如缺少访问权限、替补职责不明确、产品清单过时或决定没有记录。下一次真实事件发生前，逐项解决这些问题。

下载 CRA 报告准备清单

将此表用于内部准备：为每个未完成事项指定负责人、记录证据并确定复核日期。它记录准备情况，不是提交给 ENISA 的正式报告，也不是全部法律义务的完整清单。

使用虚构的案例编号演练交接，明确替岗人员在哪里查看最新的内部记录。证据应保存在受访问控制的位置，表格中仅记录引用。不要填写密码、访问凭据或未经处理的个人数据。

左右滑动可查看完整表格。

下载 CRA 准备清单