第二篇：CRA漏洞报告全流程——24小时、72小时、14天，三步详解

什么情况需要报告？

根据CRA第14条，当制造商获悉以下两种情况时，必须向欧盟相关机构报告：

情况一：已被积极利用的漏洞（Actively Exploited Vulnerability） ——有可靠证据表明漏洞已被非授权行为者在真实环境中利用。

情况二：严重安全事件（Severe Security Incident） ——对产品保护敏感数据的能力产生负面影响，或导致恶意代码被引入的事件。

报告三阶段流程

报告需通过ENISA（欧盟网络与信息安全局）开发的单一报告平台（SRP） 统一提交。

针对“已被积极利用的漏洞”

针对“严重安全事件”

为何SBOM至关重要？

法规限定的通报时效极短——制造商若缺乏清晰的产品组件清单，将难以在24小时内精准判定哪些产品受特定漏洞影响。

这正是软件物料清单（SBOM） 成为合规核心的原因。CRA附件一明文规定，制造商必须“建立并维护机器可读的软件物料清单（SBOM）” 。SBOM需涵盖产品的所有直接依赖项，并采用行业标准格式（如SPDX或CycloneDX）。

行动建议：立即为所有出口欧盟的产品建立完整的SBOM，这是满足24小时报告时限的前提条件。

如需了解更详细的合规技术文件的支持，欢迎联系KMO科美欧实验室团队 -》 电话：+86 755-83642690 或 kmo@kmolab.com！