欧盟《网络韧性法案》启动 24 小时漏洞通报制度

制造商如今在欧盟销售数字化产品时，必须向网络安全主管部门报告正在被积极利用的漏洞——这是《网络韧性法案》（CRA）强制通报规则的要求。

CRA 第 14 条规定的通报义务于今日正式生效。除该法规规定的豁免情形外，凡在欧盟市场提供含数字化元素产品的制造商，无论其总部位于何处，均适用这些义务。

制造商必须在知悉某一正在被积极利用的漏洞后 24 小时内提交预警，随后在 72 小时内提交更详细的通报。

同样的时限也适用于影响含数字元素产品安全的严重事件。

唯一的时间差异在于最终报告。制造商必须在提供纠正或缓解措施后 14 天内，就正在被积极利用的漏洞提交最终报告。对于严重事件，最终报告须在首次报告后一个月内提交。

Netscout 安全首席技术官 Darren Anstee 表示，这些通报时限为推进全球网络韧性带来了亟需的紧迫感。

“必须在 24 小时内报告预警，这创造了一种紧迫感，随后的各个时限则确保额外信息的收集和发布能够及时进行，”他说。

“更好、更快速地共享信息，能帮助各组织在知晓风险升高时，及时部署防御和缓解控制措施。”

欧盟及非欧盟制造商都必须通过 ENISA 的单一报告平台（SRP）提交这些报告。

通报对象为根据 CRA 确定的协调计算机安全事件响应小组（CSIRT）。对于欧盟制造商，通常为其主要营业机构所在成员国的 CSIRT；对于总部位于欧盟以外的制造商，另有规则确定协调方。

在适当情况下，制造商还必须就正在被积极利用的漏洞或严重事件告知受影响的用户。CRA 规定，必须毫不拖延地将可用的更正或缓解措施告知用户。

一般而言，违反 CRA 的行为将视情节处以不同层级的罚款，最严重者可处以 1500 万欧元（1740 万美元）或违法者年营业额的 2.5%，以较高者为准。

今日生效的通报义务在该法案中被归类为核心责任，这意味着未能遵守可能招致最高额罚款。

它们是欧盟计划逐步收紧对在欧盟运营企业安全监管的最新一步。

CRA 剩余的大部分条款将于 2027 年 12 月 11 日生效，届时制造商还将被要求在产品中内嵌“设计即安全”和“默认即安全”。这意味着不得使用默认密码，安全更新也不再是可选项。

受 CRA 涵盖的产品在投放欧盟市场并加贴 CE 标志之前，还必须通过适用的合规评估。

不只关乎一个截止日期

CRA 的新规不仅意在加快制造商对安全缺陷的响应速度，也意在让企业更好地了解自己的软件供应链。

由于通报时钟在制造商知悉问题的那一刻就开始计时，他们不能等到漏洞或事件出现后才着手梳理受影响产品。要满足这些时限，他们需要全面掌握受影响产品以及任何可能共享同一缺陷的相关产品的情况。

此外，这些要求还要求制造商在每个产品的整个生命周期内都保持这种掌握。

在产品发布时创建软件物料清单（SBOM）是一回事；而该 SBOM 将在明年 CRA 剩余大部分条款生效时成为强制要求。

不过，长期维护这一安全快照，意在帮助减少整个欧盟范围内严重网络攻击的数量和影响。

“这一切对制造商意味着，安全开发、有效的漏洞处理和贯穿软件供应链的可追溯性，都应被提升到其优先事项列表的最顶端，”Checkmarx 产品营销副总裁 Eran Kinsbruner 说。

“现代应用程序由复杂的组件生态组装而成，专有代码、开源软件包、第三方组件的组合，以及日益增多的 AI 模型和服务，全都相互连接，”他补充说。“组织需要理解这些组件、它们的依赖关系以及它们引入的风险。”

假以时日，CRA 看来有望全面提升网络韧性。不过，律师们警告说，制造商——尤其是那些不属于重度监管行业的制造商——如今必须应对日益增多的相互重叠的规则。

“CRA 到来之际，各组织已经在应对不断增多的《数字十年》立法，包括 NIS2、DORA、《数据法案》和《人工智能法案》，”DLA Piper 数据、隐私与网络安全合伙人 Heidi Waem 说。

“我们看到，对许多企业而言，合规挑战正在从孤立地理解单项法规，演变为判断多个框架如何相互作用、哪些要求相互重叠，以及如何跨框架协调合规计划。”

同一律所的合伙人、数据、隐私与网络安全全球联席主席 John Magee 补充说：“即便现在，我们仍看到该法规触及范围之广让各组织措手不及。

“许多人仍主要把 CRA 与消费级物联网设备联系在一起，但实际上它适用于范围广得多的含数字元素产品。对于已经在忙于管理多项《数字十年》举措的合规团队来说，存在一种风险：这第一波 CRA 义务比他们预期来得更早、影响也更广。”