2026 年 9 月 11 日欧盟《网络弹性法案》CRA第 14 条漏洞报告义务正式生效ENISA 统一报告平台SRP同日上线。从这一天起凡是有数字元素产品的制造商一旦得知自家产品中的漏洞正在被主动利用就必须在 24 小时内发出早期预警——这不是 2027 年才需要操心的事而是此刻已经在跑的时钟。对大多数企业来说难点不在于不想报而在于 24 小时内根本答不上监管要求的三个问题受影响的是哪些产品漏洞是否真实可达修复状态如何取证这三个问题的答案都指向同一套基础设施SBOM软件物料清单加 SCA软件成分分析。本文拆解 CRA 第 14 条的具体要求并给出一条可落地的技术路线。一、CRA 第 14 条到底要求什么根据欧盟委员会官方说明制造商必须向 ENISA 和所在国 CSIRT 通报正在被主动利用的漏洞以及严重影响产品安全的 incidents全部通过 ENISA 的统一报告平台portal.cra-srp.enisa.europa.eu一次性提交。通报分三个阶段阶段期限内容早期预警得知后 24 小时内说明发生了被主动利用的漏洞或严重事件完整通报得知后 72 小时内漏洞与利用方式的总体描述、初步影响评估、已采取和用户可采取的缓解措施最终报告漏洞修复措施可用后 14 天内严重事件72 小时通报后 1 个月内完整描述、严重程度、影响与补救情况有三个容易误判的点值得逐条说清“主动利用不等于漏洞已公开”。它要求有可靠证据表明恶意行为者已在未经授权的系统上实际利用了该漏洞。公开披露、PoC 或研究人员的演示本身不会触发时钟。存量产品也在覆盖范围内。不少企业以为 2027 年 12 月全面实施前卖出的产品不受管——错了。委员会实施 FAQ 第 5.3 节明确报告义务适用于所有在售产品包括 2022 年出货、仍跑在客户现场的设备。24 小时按日历小时计。周五晚上发现漏洞被利用不会等到周一才开始计时。处罚上限为 1500 万欧元或全球年营业额的 2.5%。二、24 小时内你必须回答的三个问题把 24/72/14 的时钟拆开看每一段都在考同一件事你对自己的软件成分掌握到什么程度。第一个问题受影响的是哪些产品一个 CVE 编号出来如果你的产品用了某个开源库的某个版本你必须在数小时内定位到受影响的产品型号和批次。没有产品级 SBOM这件事只能靠开发团队人肉翻代码仓库——在一个有数十款产品的企业里这通常需要几天。第二个问题漏洞真的可达吗不是所有依赖里带漏洞的组件都会被实际调用。如果能在 24 小时内证明漏洞函数在当前代码路径中不可达你既能避免误报引发的恐慌性升级也能在 72 小时通报里给出准确的影响评估而不是含糊地写正在调查。第三个问题证据链在哪里72 小时的完整通报和最终报告都需要书面材料漏洞描述、严重程度评估、缓解措施、修复计划。监管场景下这些内容必须能从工具里直接导出而不是临时写文档。三、用 Mend.io 搭建 24 小时响应流程Mend.io原 WhiteSource在软件成分分析领域积累了十多年其平台能力恰好对应上面三个问题。结合它在 2026 年的几次关键更新可以搭出一条完整的响应流水线。第一步全量生成标准格式 SBOMCRA 虽然要到 2027 年 12 月才强制要求 SBOM但没有它第 14 条的时钟就是空转。Mend 平台支持以 SPDX 2.2/2.3 和 CycloneDX 1.4/1.5/1.6 两种标准导出 SBOM覆盖 JSON、XML 等多种格式可在组织、应用、项目三个粒度生成。2026 年 7 月的版本更新后SBOM 还支持到文件级粒度——包括未被包管理器管理的源代码文件也会被纳入匹配这对大量自研代码的企业尤其有用。值得注意的细节CycloneDX 格式的 SBOM 报告内嵌了 VEX漏洞可利用性交换数据。这意味着这个漏洞我们评估为不可达不再是一句口头结论而是结构化、可机读、可随 SBOM 一起交付的正式声明——这正好是监管沟通需要的证据形态。第二步接入权威漏洞情报要判断是否被主动利用情报源的质量决定判断速度。2026 年 9 月 6 日发布的 Mend SCA 26.8.2 版本把欧盟漏洞数据库EUVD接入了平台作为主要安全数据源——这是 ENISA 直接运营的欧洲官方漏洞库自带独立的 CVSS 评分和可利用性信息。对面向欧盟市场、需要应对 CRA 通报的企业来说监管机构用的数据源和你的平台用的是同一套通报口径上的分歧会小很多。配合平台内置的 Zero-Day Catalog零日漏洞目录独立于本地扫描资产实时更新和依赖分析表中直接可排序的 EPSS 利用概率评分安全团队可以在几分钟内完成这个 CVE 与我们相关吗、有多紧急的初判。第三步可达性分析做精准分诊Mend 的可达性分析Reachability会追踪从应用代码到漏洞函数的调用路径判断漏洞是否真实可达而不是停留在依赖树里有这个库的层面。结合 CVSS 4.0 严重性评级和 EPSS 利用概率团队可以把告警噪声降下来把 24 小时窗口内的人力集中到真正可利用的漏洞上。第四步自动修复与取证分诊之后是修复。Mend 能自动创建升级依赖版本的 Pull Request开发者审核合并即可26.8.2 版本还统一了跨平台的修复建议逻辑新增 Top Fix 列直接标注最优先的修复方案减少在多个修复选项之间反复权衡的时间。修复完成、补丁可用后14 天最终报告的倒计时才开始——而这个时间点本身也需要平台记录留痕。第五步导出合规材料72 小时完整通报和最终报告所需的内容——漏洞清单、严重程度、可达性结论、修复状态——都可以从 Mend 平台的报表体系依赖清单报告、发现报告、SBOM 报告按组织级导出支持 Excel、CSV 等格式直接作为通报附件或内部存档。CRA 要求与平台能力对照CRA 第 14 条要求对应能力24 小时内确定受影响产品产品级 SBOMCycloneDX/SPDX 标准格式72 小时内给出影响评估可达性分析 EPSS/CVSS 4.0 评分 VEX 声明判断是否被主动利用EUVD 官方情报源 Zero-Day Catalog 实时目录14 天内完成修复并报告自动升级 PR Top Fix 优先级建议通报材料可追溯组织级报表导出修复过程留痕四、固件与嵌入式产品怎么办CRA 的适用对象是有数字元素的产品大量硬件设备的攻击面在固件层——应用层 SCA 扫不到二进制固件里的组件。这也是常见方案里 ONEKEY 这类固件分析平台的补位之处通过对固件镜像的二进制逆向分析生成固件层 SBOMCycloneDX 格式再导入 Mend 平台做统一聚合最终形成覆盖固件、应用、容器的产品级统一视图。零日漏洞爆发时一个平台查完所有产品的影响范围而不是登录三套工具分别排查。对同时做硬件和软件的厂商这条固件 SBOM 导入 应用层 SCA的组合路线是目前对 CRA 场景覆盖最完整的方式之一。五、落地清单距离 CRA 全面实施2027 年 12 月 11 日还有约 15 个月但报告义务的时钟已经在走。建议按这个顺序补齐能力为每款在售产品生成并维护 SBOM统一到 CycloneDX 或 SPDX 标准格式部署 SCA 平台并接入可达性分析把漏洞告警从有这个依赖精确到漏洞可达确认漏洞情报源覆盖欧盟官方渠道EUVD与监管口径对齐在 SBOM 的 VEX 字段中沉淀不可达判定让不修也有正式依据起草内部 24/72 小时应急预案谁值班、谁有权对外通报、通报信息从哪个工具导出——委员会 2026 年 7 月 27 日发布的官方实施指南含 67 个实操案例可以直接作为参照硬件产品线单独评估固件层 SBOM 方案与应用层视图打通。QA**QCRA 漏洞报告义务从什么时候开始**A2026 年 9 月 11 日起制造商须通报被主动利用的漏洞和严重事件ENISA 统一报告平台同日上线。开放源代码管理者steward的报告义务自 2027 年 12 月 11 日起适用。**Q2027 年 12 月之前卖出的产品需要报告吗**A需要。报告义务适用于全部在售产品存量产品同样覆盖这与 CE 标识等上市要求不同后者只适用于全面实施后投放市场的产品。**QSBOM 现在是强制的吗**ASBOM 相关的产品要求自 2027 年 12 月 11 日起适用但要在 24 小时内回答哪些产品受影响SBOM 是事实上的前置条件建议立即开始建设。**Q错过 24 小时早期预警有什么后果**ACRA 规定的处罚上限为 1500 万欧元或全球年营业额的 2.5%以较高者为准。相比罚款反复错报对欧盟市场准入信誉的影响更值得关注。**Q开源项目也要报告吗**A非商业开源不在范围内但有商业化支持的开源项目可能落入开源软件管理者身份承担较轻但非空白的义务书面安全政策、配合监管、2027 年 12 月起报告义务。**QSCA 工具应该具备哪些能力才能支撑 CRA 报告**A四项核心能力标准格式SPDX/CycloneDX含 VEXSBOM 输出、欧盟官方漏洞数据源、可达性分析、以及组织级报表导出。选型时建议按这四项对照验证。