直接答案：欧盟《网络韧性法案》（Cyber Resilience Act，CRA，Regulation (EU) 2024/2847）已经在 2024-12-10 生效；2026-09-11 起，制造商的“被利用漏洞/严重事件”报告义务已生效；2027-12-11 起全面适用（主要产品义务、CE 标志、合格评定等）；2026-06-11 起先适用第四章“合格评定机构通知”。对在欧盟销售含数字元素产品（软件、硬件、IoT、嵌入式系统等）的中国制造商/出口商来说，现在要做的不是“等 2027”，而是：盘点产品与角色 → 做网络安全风险评估 → 建立漏洞处理与支持期 → 准备技术文档/CE → 打通 24h/72h 报告流程。本文按欧盟委员会官方摘要与报告义务页整理，不构成法律意见。
本文面向在欧盟市场销售软件、硬件、IoT、嵌入式系统和含数字元素产品的制造商、出口商、进口商、分销商与合规团队。资料截止 2026-11-07；依据为欧盟委员会 CRA 政策页、CRA 立法摘要页、CRA 报告义务页（访问 2026-11-07）。本文把“官方事实”“编辑解读”和“待确认项”分开写。
CRA 2024-12-10 生效；2026-09-11 报告义务生效；2027-12-11 全面适用；2026-06-11 先适用合格评定机构通知。制造商要：风险评估、Annex I 基本要求、漏洞处理、支持期结束日期、技术文档、合格评定、EU 符合性声明、CE 标志；被利用漏洞 24h 预警、72h 完整通知、纠正措施后 14 天内最终报告；严重事件 72h 后 1 个月内最终报告。进口商/分销商要核 CE/声明/文档/支持期；处罚由成员国定，微型/小型企业 24h 罚款可豁免。
时间表：2026 报告、2027 全面
CRA 于 2024-12-10 生效；2026-06-11 起适用第四章“合格评定机构通知”；2026-09-11 起适用第 14 条报告义务（制造商报告被积极利用的漏洞和严重事件），ENISA 的 CRA Single Reporting Platform（SRP）同日投运；2027-12-11 起全面适用（主要产品义务、CE 标志、合格评定、市场监管等）。欧盟委员会在 2026-07-27 发布了面向制造商/开发者/企业的实务指南。CRA 的义务适用于所有在欧盟市场提供的含数字元素产品，包括在 2027-12-11 前已投放市场的产品（按委员会摘要的表述），因此“旧产品”也不能完全置身事外。
| 日期 | 事项 | 对企业的含义 |
|---|---|---|
| 2024-12-10 | CRA 生效 | 法规已生效，进入准备期 |
| 2026-06-11 | 第四章适用 | 合格评定机构通知机制启动 |
| 2026-09-11 | 第 14 条报告义务适用 | 被利用漏洞/严重事件须报告；SRP 投运 |
| 2027-12-11 | 全面适用 | 产品义务/CE/合格评定/市场监管全面执行 |
| 2026-07-27 | 委员会实务指南 | 官方实施指导（非法律文本） |
来源：欧盟委员会 CRA 政策页、CRA 立法摘要页、CRA 报告义务页（访问 2026-11-07）。日期以官方页面为准；具体适用/过渡细节以 Regulation (EU) 2024/2847 原文、实施/委托法案和委员会指南为准。
谁在范围内：产品与角色
CRA 覆盖“含数字元素的产品”（products with digital elements），包括软件、硬件、IoT、嵌入式系统及其远程数据处理；适用于在欧盟市场投放/提供的产品，无论收费还是免费、无论制造地。角色包括：制造商（以自己的名义/商标投放市场）、授权代表（欧盟境内、书面授权）、进口商（在欧盟投放带境外制造商名称/商标的产品）、分销商（供应链中不改变产品属性、使产品可获取的一方）、开源软件管理者（open-source software steward，负有部分义务、报告义务从 2027-12-11 起）。制造商是主要义务承担者；进口商/分销商有核查与配合义务。
| 角色 | 核心义务 | 先核对 |
|---|---|---|
| 制造商 | 风险评估、Annex I 基本要求、漏洞处理、技术文档、合格评定、EU 声明、CE、支持期、报告 | 产品分类/合格评定路径 |
| 授权代表 | 欧盟境内代表制造商，保存/提供文档，配合监管 | 授权范围/期限 |
| 进口商 | 核查 CE/声明/技术文档/联系信息/支持期；不合规/漏洞时行动 | 制造商合规证据 |
| 分销商 | 核查 CE/声明/联系信息/支持期；发现不合规时行动 | 产品标识/文档 |
| 开源软件管理者 | 部分义务；报告义务 2027-12-11 起；不受 CRA 罚款 | 是否属于 steward |
来源：欧盟委员会 CRA 立法摘要页（访问 2026-11-07）。表中为编辑整理；角色认定、开源 steward 定义、进口商/分销商的具体义务以 Regulation (EU) 2024/2847 原文和委员会指南为准。
制造商义务：风险、设计、漏洞、文档、CE
制造商在投放市场前要做网络安全风险评估，并在规划、设计、开发、生产、交付、维护各阶段落实 Annex I 的“基本网络安全要求”；若集成第三方组件，要尽调其不会破坏产品安全。技术文档要包含风险评估、采用的标准/技术措施、合规证据，并保留供市场监管机构调取。投放前要完成合格评定（多数产品可自我评估；部分“重要/关键”产品需公告机构），签署 EU 符合性声明、加贴 CE 标志。还要确定支持期，并在购买时以清晰方式给出支持期结束日期（含月/年）。漏洞处理要贯穿支持期：识别、修复、披露、更新。
| 义务 | 要点 | 证据/交付 |
|---|---|---|
| 风险评估 | 覆盖规划到维护；第三方组件尽调 | 风险评估记录、技术文档 |
| 基本要求 | Annex I：安全设计/默认安全/访问控制/加密/完整性等 | 设计文档、测试/标准映射 |
| 漏洞处理 | 支持期内识别/修复/披露/更新 | PSIRT/漏洞流程、SBOM、更新记录 |
| 技术文档 | 风险评估、标准/措施、合规证据 | 可向监管提供的文档包 |
| 合格评定 | 自我评估或公告机构（视分类） | 评定记录、测试报告 |
| CE/声明 | EU 符合性声明、CE 标志、联系信息 | 标签/包装/说明书 |
| 支持期 | 购买时给出结束日期（月/年） | 说明书/合同/产品页 |
来源：欧盟委员会 CRA 立法摘要页（访问 2026-11-07）。表中为编辑整理；Annex I 的具体要求、合格评定路径、技术文档内容以 Regulation (EU) 2024/2847 原文、协调标准和委员会指南为准。
报告义务：24h、72h、14 天、1 个月
自 2026-09-11 起，制造商须通过 ENISA 的 CRA Single Reporting Platform（SRP）报告被积极利用的漏洞和影响产品安全的严重事件：24 小时内提交早期预警；72 小时内提交完整通知；对被积极利用的漏洞，在纠正/缓解措施可用后不超过 14 天提交最终报告；对严重事件，在 72 小时通知后1 个月内提交最终报告。报告发给制造商主要营业地的成员国 CSIRT，并（除特殊例外）发给 ENISA；只需通过 SRP 报一次。开源软件管理者的报告义务从 2027-12-11 起。微型/小型制造商未满足 24h 期限可免罚款；开源 steward 不受 CRA 罚款。
| 节点 | 期限 | 内容 |
|---|---|---|
| 早期预警 | 知晓后 24 小时 | 初步信息/是否疑似被利用 |
| 完整通知 | 72 小时 | 漏洞/事件详情、影响、措施 |
| 最终报告（被利用漏洞） | 纠正/缓解措施可用后 ≤14 天 | 根因、修复、影响 |
| 最终报告（严重事件） | 72h 通知后 1 个月内 | 事件、影响、纠正 |
来源：欧盟委员会 CRA 报告义务页、CRA 立法摘要页（访问 2026-11-07）。报告范围/格式、SRP 操作细节、CSIRT/ENISA 分工以官方页面和 SRP 文档为准；本文不构成法律意见。
重要/关键产品与合格评定路径
多数产品（如家用电器、电脑游戏、移动应用等）可按自我评估路径；被列为“重要”或“关键”的产品（Annex III/IV）可能需要公告机构第三方评定。重要/关键类别由欧盟通过委托/实施法案细化；CRA 授权委员会更新清单。制造商要先判定产品是否属于默认、重要、关键，再选合格评定路径；用协调标准（harmonised standards）可获得合规推定，但标准仍在制定/更新中。进口商/分销商要核查 CE、EU 声明、技术文档、联系信息和支持期；发现不合规或被利用漏洞时要采取行动。
| 产品类别 | 合格评定 | 先核对 |
|---|---|---|
| 默认（多数产品） | 自我评估 | Annex I/技术文档 |
| 重要（Annex III） | 视类别自我评估/公告机构 | 委托/实施法案清单 |
| 关键（Annex IV） | 通常需公告机构 | 清单/标准/认证 |
| 开源 steward | 部分义务/报告从 2027-12-11 | steward 定义 |
来源：欧盟委员会 CRA 政策页/立法摘要页（访问 2026-11-07）。类别清单、合格评定路径、协调标准状态以 Regulation (EU) 2024/2847、委托/实施法案和委员会指南为准；本文不做法律定性。
合规落地清单
建议按“产品盘点 → 角色/分类 → 风险评估 → 设计与漏洞处理 → 文档/CE → 报告/演练 → 合同/供应链”推进。先做产品清单（型号、软件版本、是否含数字元素、是否远程数据处理），判定制造商/进口商/分销商/授权代表；再按 Annex I 做差距评估，建立 PSIRT/漏洞处理/SBOM/更新机制，确定支持期与结束日期；准备技术文档、EU 声明、CE 标签；把 24h/72h/14 天/1 个月报告流程接到 SRP，并做一次演练；最后把 CRA 要求写进供应商/客户合同与变更管理。
| 步骤 | 动作 | 产出 |
|---|---|---|
| 1 盘点 | 产品/型号/软件版本/远程数据处理 | 产品清单、适用范围 |
| 2 角色 | 制造商/进口商/分销商/授权代表/steward | 角色矩阵、责任人 |
| 3 分类 | 默认/重要/关键；合格评定路径 | 分类结论、评定计划 |
| 4 风险 | Annex I 差距评估、第三方组件尽调 | 风险评估、整改清单 |
| 5 漏洞 | PSIRT、SBOM、披露、更新、支持期 | 漏洞流程、支持期声明 |
| 6 文档/CE | 技术文档、EU 声明、CE、联系信息 | 合规文档包、标签 |
| 7 报告 | SRP 账号、24h/72h/14 天/1 个月流程、演练 | 报告 SOP、演练记录 |
| 8 合同 | 供应商/客户/进口商条款、变更管理 | 合同条款、审计权 |
来源：欧盟委员会 CRA 政策页/摘要页/报告页（访问 2026-11-07）。表中为编辑整理的实施建议，不是官方合规模板；具体文档/测试/评定要求以法规、协调标准和公告机构意见为准。
常见问题
CRA 现在生效了吗？
2024-12-10 生效；2026-09-11 报告义务已生效；2027-12-11 全面适用；2026-06-11 先适用合格评定机构通知。
报告义务现在就要做吗？
是。2026-09-11 起，制造商须通过 ENISA SRP 报告被积极利用的漏洞和严重事件：24h 预警、72h 完整通知、纠正措施后 14 天内最终报告（严重事件 72h 后 1 个月内）。
哪些产品在范围内？
含数字元素的产品：软件、硬件、IoT、嵌入式系统及远程数据处理；在欧盟市场提供即适用，不论收费/免费、制造地。旧产品也可能适用，不能只按“2027 后新品”理解。
多数产品要公告机构吗？
多数可按自我评估；重要/关键类别（Annex III/IV）可能需要公告机构。先判定分类，再看委托/实施法案和协调标准。
支持期要写多长？
CRA 要求制造商确定支持期，并在购买时清晰给出结束日期（含月/年）；支持期内要有效处理漏洞。具体年限由制造商按产品/风险/合同确定，法规未给统一数字。
进口商/分销商要做什么？
核查 CE、EU 符合性声明、技术文档、制造商/进口商联系信息、支持期；发现不合规或被利用漏洞时采取行动并配合监管。
罚款多少？
CRA 的处罚由成员国在国内法设定；委员会摘要提到微型/小型制造商未满足 24h 报告期限可免罚款，开源 steward 不受 CRA 罚款。具体金额/程序看各国立法。
开源软件怎么办？
CRA 对开源有特殊安排：开源软件管理者（steward）承担部分义务，报告义务从 2027-12-11 起，且不受 CRA 罚款；商业集成开源的企业仍要尽调第三方组件。
研究方法与局限
本文把“官方事实”和“编辑解读”分开：CRA 生效/适用日期、报告义务 24h/72h/14 天/1 个月、SRP、支持期、CE/合格评定、进口商/分销商义务、微小型企业/开源 steward 的罚款安排来自欧盟委员会 CRA 政策页、CRA 立法摘要页、CRA 报告义务页（访问 2026-11-07）。合规清单是编辑整理的实施建议，不是官方模板。
局限有八个：① 本文不是法律意见，具体适用要结合 Regulation (EU) 2024/2847 原文、委托/实施法案、协调标准和各国国内法；② 重要/关键产品清单、合格评定路径、协调标准状态仍在演进；③ 国家处罚金额/程序未统一，本文未列具体数额；④ 开源 steward 定义/边界需按官方指南确认；⑤ 支持期长度由制造商确定，本文未给统一年限；⑥ 报告范围/格式/SRP 操作细节以 ENISA/CSIRT 文档为准；⑦ 未覆盖 NIS2/DORA/无线电设备等其他欧盟法规的交叉；⑧ 政策/指南可能更新，发布前应复核官方页面。本文不构成法律意见。
数据来源与口径
- European Commission, Cyber Resilience Act 政策页：digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act。CRA 2024-12-10 生效；2027-12-11 全面适用；2026-09-11 报告义务；CE/公告机构/市场监管；2026-07-27 实务指南。访问 2026-11-07。
- European Commission, CRA 立法摘要：digital-strategy.ec.europa.eu/en/policies/cra-summary。制造商/进口商/分销商/授权代表/开源 steward 义务；风险评估/Annex I/技术文档/CE/支持期；处罚由成员国定；微小型/开源 steward 罚款安排。访问 2026-11-07。
- European Commission, CRA 报告义务：digital-strategy.ec.europa.eu/en/policies/cra-reporting。2026-09-11 起报告；24h/72h/14 天/1 个月；ENISA SRP；开源 steward 从 2027-12-11。访问 2026-11-07。
资料截止 2026-11-07；本文依据官方页面整理，不构成法律意见；具体合规以法规原文、实施/委托法案、协调标准和各国国内法为准。