CRA大限将至,你的漏洞管理还停留在Excel表?
- 2026-11-13 10:18:36
CRA大限将至，你的漏洞管理还停留在Excel表？
引言
先说一个可能被很多出海车企和零部件厂商忽略的时间点：
2026年9月11日，距今只剩不到70天。
这一天，欧盟《网络弹性法案》（Cyber Resilience Act，简称CRA）的强制漏洞与事件报告义务正式生效。很多企业以为CRA的合规大限是2027年12月才到期，还有一年半的缓冲期——这个认知是危险的。真正第一个硬性节点，恰恰是2026年9月11日。
01
CRA到底要求什么，为什么现在必须重视
CRA全称《网络弹性法案》，2024年12月10日正式生效，是欧盟第一部横向覆盖所有"具有数字元素的产品"（products with digital elements）的网络安全强制法规——软件、物联网设备、工业控制系统、嵌入式系统，几乎无一幸免。对汽车行业来说，这个定义几乎精准覆盖了ECU、TBOX、智能座舱主机等所有联网部件。
法规分两条时间线走：
2026年9月11日：漏洞与事件强制报告义务生效。一旦发现产品存在正被在野利用的漏洞或严重安全事件，制造商必须在24小时内提交早期预警，72小时内提交完整通报，并在纠正措施就绪后14天内（漏洞）或1个月内（事件）提交最终报告。所有报告统一通过ENISA建设的CRA单一报告平台（SRP）提交。
2027年12月11日：CRA全面合规截止，涉及CE标志、技术文档、设计安全等更全面的要求。
整个报告链路可以概括成一个"时钟"：
最容易被忽视的两个细节：
报告义务不区分产品新旧——哪怕是几年前就已经量产上市的老产品，只要还在欧盟市场流通，一样要纳入监控和报告范围。
违规成本不低——最高可处以1500万欧元或全球年营业额2.5%的罚款，两者取其高。
对于有欧盟出口业务的中国车企和Tier1、Tier2供应商来说，这不是"选择性关注"的话题，而是一张硬性市场准入门票。
02
报告义务背后，真正的门槛是什么
24小时内报告一个漏洞，说起来简单，做起来才知道难在哪：
你得先知道自己的产品里到底用了哪些组件——没有完整的资产清单（尤其是软件物料清单SBOM），你根本不知道某个新爆出的CVE是否命中自己的产品；
你得有持续的漏洞监控和情报获取能力——被动等客户投诉或媒体曝光，24小时的时钟早就跑完了；
你得有明确的分级、归因、上报流程——一个漏洞算不算"正被在野利用"、该报给哪个成员国的CSIRT，这些判断不能等到事发才现想。
翻译成一句大白话：没有一个常态化运行的漏洞管理体系，CRA合规就是一句空话。
03
这正是“1+3+N”体系里漏洞管理平台要解决的问题
回到我们此前讲过的"1+3+N"安全产品体系——漏洞管理平台属于"工具"支柱下的产品，定位很明确：为运营阶段提供漏洞生命周期管理，直接对接CRA这类法规的合规诉求。它主要提供三块能力：
资产管理：把车端、云端涉及的软硬件组件都纳管起来，这是后续一切漏洞判定的前提；
漏洞情报推送：持续对接漏洞情报源，第一时间知道"新爆出的CVE跟我有没有关系"，而不是靠人工刷新闻；
资漏匹配与威胁预警：把资产清单和漏洞情报自动比对，命中即预警，把"发现漏洞"到"启动报告流程"之间的响应时间尽量压缩到CRA要求的24小时窗口以内。
这三块能力串起来，就是一个从"发现"到"预警"的闭环：
说得再直白一点：CRA要求的是流程和时效，漏洞管理平台提供的正是把这套流程从"人工Excel台账"升级成"系统自动化"的能力——这也是为什么这款产品即便推广优先级不是最高的一款，也值得现在就拿出来讲：监管节点摆在那，晚做不如早做。
04
距离9月11日，你的团队准备好了吗
如果现在盘点一下，你的团队能不能在24小时内说清楚"我们的哪些在售产品用了哪个第三方组件、这个组件是否存在正被利用的已知漏洞"——如果答案是"需要好几天才能查清楚"，那么现在到9月中旬这段时间，就是最后的窗口期。
安达天下致力于为汽车产业链提供全方位安全与质量合规服务：
• ASPICE 汽车软件过程改进及能力
• ISO 26262 道路车辆–功能安全
• IEC 61508 安全相关系统功能安全咨询
• ISO 13849 机械安全–安全相关控制系统功能安全
• 工业安全合规咨询与体系建设
• 欧盟CE合规认证咨询
• ISO/SAE 21434:2021 道路车辆–网络安全工程
• GB 44495-2024 汽车整车信息安全技术要求
• CRA 网络安全风险评估
• MCU网络安全组件开发
• ISO 21448:2022 道路车辆–预期功能安全
• ISO/PAS 8800:2024 道路车辆–安全和人工智能
• ISO 42001 人工智能管理体系认证
• 宝马RPAS 审核咨询服务
• 汽车供应商质量认证与提升
• 汽车数据安全与隐私合规
• 研发工具代理与落地服务
• 标准融合
• 密码安全：HSM软硬件密码模块、TLS通信协议栈、密钥/证书管理、生产密钥灌装
• 数据安全：智能数据分类分级、车端实时脱敏
• 安全工具：TARA/DPIA分析、密码仿真验证、全生命周期漏洞管理
• 全球认证生态合作：DEKRA、LRQA、TÜV、DQS、BV等国际顶级机构
• 全球工具生态合作：PARASOFT、PingCode、IBM、POLARION等头部厂商
• 全场景项目覆盖：整车厂、Tier1供应商、半导体科技企业
关于安达
安达天下是国内领先的独立第三方汽车安全与研发质量合规服务机构，深耕汽车电子领域国际标准的转化、落地与实践，以专业技术护航产品安全，以体系升级赋能研发质量。
无论是功能安全、网络安全、预期功能安全、ASPICE软件过程改进，还是机械安全、数据安全、AI合规与供应链质量提升，安达天下为客户提供培训、咨询、评估、工程开发、测试全栈式一体化解决方案；同时构建“1+3+N”安全产品体系，深耕密码安全、数据安全、安全工具三大赛道，覆盖智能座舱、自动驾驶、V2X、OTA升级等关键场景。
安达天下与DEKRA、LRQA、TÜV、DQS、BV等国际顶级认证机构，及PARASOFT、IBM等全球头部工具厂商深度战略合作。依托平均从业年限超15年的资深专家团队，已服务数百家整车厂、Tier1供应商与半导体科技企业，覆盖整车多域与车规芯片全场景，助力客户在汽车产业智能化变革中筑牢安全与质量核心竞争力。
安达天下，安行致远，质驭未来。
ANDA
END
