漏洞被利用，24 小时内要通报：欧盟网络韧性法案上路，委托开发 App 与联网产品前先问清楚四件事
如果你的 App、联网设备或桌面软件有卖到欧洲，2026 年 9 月 11 日是一个应该记下来的日子。从这一天起，欧盟 网络韧性法案（Cyber Resilience Act，简称 CRA）的通报义务正式生效：产品一旦出现“被实际利用”的漏洞，制造商要在 24 小时内提交初步通报。欧盟网络安全局 ENISA 也在同一天启用了统一通报平台。这不是遥远的法规新闻，而是会直接影响你怎么委托开发、怎么签合同的事。
网络韧性法案管的是谁：不只硬件，App 也在里面
CRA 规范的对象叫做“具有数字元素的产品”，简单说就是会直接或间接连上网络的硬件与软件。爱尔兰国家网络安全中心列出的例子包括笔记本电脑、智能设备、操作系统、手机 App 与工业物联网设备。
有三点最容易被误解：
- 不是只有欧洲公司要管：判断标准是产品有没有在欧盟市场销售，而不是公司设在哪里。品牌只要把产品卖进欧洲，就要把这件事纳入评估。
- 旧产品也要通报：2027 年 12 月之前上市的产品，可以不受新的设计规范约束；但只要还在欧盟市场上销售，通报义务照样适用。
- 纯云端服务要个别判断：一般的在线服务多由其他法规处理，但如果云端后台是某个 App 或设备运行所必需的部分，就可能被一并纳入。这需要逐案评估，最好请法务或顾问确认。
CRA 完整的安全设计要求要到 2027 年 12 月 11 日才全面适用，但“出事要通报”这一部分，已经开始了。
24 小时、72 小时、14 天：通报时钟怎么走
根据爱尔兰国家网络安全中心整理的流程，通报分为三个阶段：
- 初步预警（24 小时内）：得知漏洞正被利用，或发生影响产品安全的严重事件后，24 小时内先提交基本通报，不必等技术分析完成。
- 详细通报（72 小时内）：补充初步严重程度、可能原因与临时缓解措施。
- 最终报告：被利用的漏洞，要在修补或替代方案推出后 14 天内提交；严重事件则在详细通报后一个月内。
所有通报都通过 ENISA 的统一通报平台提交，平台会转给负责协调的国家网络安全应急中心。电子邮件只有在平台正式宣布离线时才能作为备选。
真正的难题不在填表，而在“24 小时”本身。要在一天之内知道哪个产品、哪个版本、影响多少用户，前提是你平时就掌握这些信息。很多品牌的 App 外包给供应商开发，上线之后就不再过问，出事时连用了哪些第三方组件都要重新问一轮，这样的时间根本不够。
委托开发前，先问清楚这四件事
如果你正打算开发一个会在欧洲上架的 App 或联网产品，报价和工期之外，请把下面四个问题放进需求讨论：
1. 有没有一份“组件清单”？
现代软件大量使用开源软件包与第三方组件。CRA 也规定，如果是第三方组件出问题，最终产品的制造商在确认自己受影响之后，就要负责通报。所以你需要一份清晰的组件清单（业界常称为 SBOM），记录每个版本用了哪些组件，出事时才能在几小时内判断“我们有没有中招”。
2. 漏洞报告的入口在哪里？
外部研究人员或用户发现问题时，要能找到你。网站上有没有固定的安全联系渠道？收到之后由谁判断严重程度？这条路要在上线前就设计好。
3. 更新能不能快速送到用户手上？
补丁做好了，还要能推送出去。App 的强制更新机制、设备的远程固件更新，都应该写进第一版的需求规格，而不是等出事才补。
4. 半夜出事，谁接电话？
24 小时的时钟不看上班时间。开发供应商在运维期间的响应时间、联系窗口与交接方式，都要事先讲好。
这些问题与一般的代码安全检查是互补的；如果你还没看过，可以搭配阅读〈能跑，不代表安全：委托定制开发前，该问的四个 AI 代码安全问题〉。
品牌与开发供应商之间：责任要写进合同
在 CRA 的框架里，负责通报的是“制造商”，也就是以自己名义把产品推向市场的一方。对大多数品牌来说，即使代码是外包写的，责任仍然落在品牌身上。
因此合同里至少要写清楚：
- 运维期间的安全响应时间：例如发现被利用的漏洞后，供应商要在几小时内提供影响范围与初步分析。
- 组件清单的交付与更新：每次发版都要同步更新，并交给品牌保存。
- 支持期限：产品在市场上卖多久，安全更新就要支持多久。CRA 本身也很重视让用户知道产品的支持期限。
- 通报分工：谁负责在平台提交、谁提供技术资料、谁对外说明。
AI 让写代码越来越快，但“出事时谁负责、多快能响应”这类事，没有工具可以替人事先想清楚。
结语：把通报能力当成产品的一部分
网络韧性法案传递的信息很明确：软件不是交付就结束，而是要在整个销售期间持续被照顾。对品牌来说，这反而是一个机会：把组件管理、更新机制和响应流程从一开始就设计进去，产品在欧洲市场才走得稳，也更容易获得渠道与企业客户的信任。
TitApeX 在规划定制系统与 App 时，会把这些运维需求和界面设计一起放进蓝图。如果你的产品正准备进入欧洲市场，欢迎和我们聊聊，或先看看我们的服务内容。
评论