CRA大限将至,你的漏洞管理还停留在Excel表?

先说一个可能被很多出海车企和零部件厂商忽略的时间点：

2026年9月11日，距今只剩不到70天。

这一天，欧盟《网络弹性法案》（Cyber Resilience Act，简称CRA）的强制漏洞与事件报告义务正式生效。很多企业以为CRA的合规大限是2027年12月才到期，还有一年半的缓冲期——这个认知是危险的。真正第一个硬性节点，恰恰是2026年9月11日。

CRA全称《网络弹性法案》，2024年12月10日正式生效，是欧盟第一部横向覆盖所有"具有数字元素的产品"（products with digital elements）的网络安全强制法规——软件、物联网设备、工业控制系统、嵌入式系统，几乎无一幸免。对汽车行业来说，这个定义几乎精准覆盖了ECU、TBOX、智能座舱主机等所有联网部件。

法规分两条时间线走：

• 2026年9月11日：漏洞与事件强制报告义务生效。一旦发现产品存在正被在野利用的漏洞或严重安全事件，制造商必须在24小时内提交早期预警，72小时内提交完整通报，并在纠正措施就绪后14天内（漏洞）或1个月内（事件）提交最终报告。所有报告统一通过ENISA建设的CRA单一报告平台（SRP）提交。

• 2027年12月11日：CRA全面合规截止，涉及CE标志、技术文档、设计安全等更全面的要求。

整个报告链路可以概括成一个"时钟"：

最容易被忽视的两个细节：

1. 报告义务不区分产品新旧——哪怕是几年前就已经量产上市的老产品，只要还在欧盟市场流通，一样要纳入监控和报告范围。

2. 违规成本不低——最高可处以1500万欧元或全球年营业额2.5%的罚款，两者取其高。

对于有欧盟出口业务的中国车企和Tier1、Tier2供应商来说，这不是"选择性关注"的话题，而是一张硬性市场准入门票。

24小时内报告一个漏洞，说起来简单，做起来才知道难在哪：

• 你得先知道自己的产品里到底用了哪些组件——没有完整的资产清单（尤其是软件物料清单SBOM），你根本不知道某个新爆出的CVE是否命中自己的产品；

• 你得有持续的漏洞监控和情报获取能力——被动等客户投诉或媒体曝光，24小时的时钟早就跑完了；

• 你得有明确的分级、归因、上报流程——一个漏洞算不算"正被在野利用"、该报给哪个成员国的CSIRT，这些判断不能等到事发才现想。

翻译成一句大白话：没有一个常态化运行的漏洞管理体系，CRA合规就是一句空话。

回到我们此前讲过的"1+3+N"安全产品体系——漏洞管理平台属于"工具"支柱下的产品，定位很明确：为运营阶段提供漏洞生命周期管理，直接对接CRA这类法规的合规诉求。它主要提供三块能力：

• 资产管理：把车端、云端涉及的软硬件组件都纳管起来，这是后续一切漏洞判定的前提；

• 漏洞情报推送：持续对接漏洞情报源，第一时间知道"新爆出的CVE跟我有没有关系"，而不是靠人工刷新闻；

• 资漏匹配与威胁预警：把资产清单和漏洞情报自动比对，命中即预警，把"发现漏洞"到"启动报告流程"之间的响应时间尽量压缩到CRA要求的24小时窗口以内。

这三块能力串起来，就是一个从"发现"到"预警"的闭环：

说得再直白一点：CRA要求的是流程和时效，漏洞管理平台提供的正是把这套流程从"人工Excel台账"升级成"系统自动化"的能力——这也是为什么这款产品即便推广优先级不是最高的一款，也值得现在就拿出来讲：监管节点摆在那，晚做不如早做。

如果现在盘点一下，你的团队能不能在24小时内说清楚"我们的哪些在售产品用了哪个第三方组件、这个组件是否存在正被利用的已知漏洞"——如果答案是"需要好几天才能查清楚"，那么现在到9月中旬这段时间，就是最后的窗口期。

安达天下致力于为汽车产业链提供全方位安全与质量合规服务：

• ASPICE 汽车软件过程改进及能力

• ISO 26262 道路车辆–功能安全

• IEC 61508 安全相关系统功能安全咨询

• ISO 13849 机械安全–安全相关控制系统功能安全

• 工业安全合规咨询与体系建设

• 欧盟CE合规认证咨询

• ISO/SAE 21434:2021 道路车辆–网络安全工程

• GB 44495-2024 汽车整车信息安全技术要求

• CRA 网络安全风险评估

• MCU网络安全组件开发

• ISO 21448:2022 道路车辆–预期功能安全

• ISO/PAS 8800:2024 道路车辆–安全和人工智能

• ISO 42001 人工智能管理体系认证

• 宝马RPAS 审核咨询服务

• 汽车供应商质量认证与提升

• 汽车数据安全与隐私合规

• 研发工具代理与落地服务

• 标准融合

• 密码安全：HSM软硬件密码模块、TLS通信协议栈、密钥/证书管理、生产密钥灌装

• 数据安全：智能数据分类分级、车端实时脱敏

• 安全工具：TARA/DPIA分析、密码仿真验证、全生命周期漏洞管理

• 全球认证生态合作：DEKRA、LRQA、TÜV、DQS、BV等国际顶级机构

• 全球工具生态合作：PARASOFT、PingCode、IBM、POLARION等头部厂商

• 全场景项目覆盖：整车厂、Tier1供应商、半导体科技企业

END