报漏洞只有一天，欧盟这条已经生效

一、九月十一日，这条已经开始了

不少公司把 2027 年 12 月记在日历上，那是欧盟网络韧性法案全面适用的日子。但其中的上报义务，2026 年 9 月 11 日就开始了，比大限早了一年多。

同一天，欧盟的单一上报平台上线。

几天之后，一家做联网门锁的厂商才反应过来：卖给欧洲经销商的那批货，出了问题要按这条报，而交报告的账号还没人去注册。

这条义务不挑产品新旧。已经在市场上卖了几年的，也算。

二、它管的是谁的产品

法案全称网络韧性法案，编号 Regulation (EU) 2024/2847，2024 年 12 月 10 日生效。

它管的是所有带数字元素的产品。软件、固件、联网设备、带 App 的家电，都在范围内。要满足一个条件：投放到欧盟市场。

所以判断只有两问：产品里有没有软件或联网能力，有没有卖到欧盟。两个都是的，这一条就落在你身上。

三、老产品为什么也在里面

有人以为新法只管新上市的东西。这条不是。

法案的写法是「投放市场」，指的是产品在欧盟流通。已经在卖的产品照样在范围内，包括几年前卖出去的。

原因不难理解。漏洞出在老设备上，用户一样受害，监管一样要有人负责。

如果产品还在支持期，报告义务没有例外。已经停更的产品，建议先问清楚当地律师，别自己下结论说不管。

四、二十四小时，从哪一刻起算

时间不是从漏洞公布那天算，也不是从补丁做完那天算，是从你知情那一刻算。

知情的标准不低。公司里有职责的人知道了，就算。供应商发来一封邮件，客户在工单里提了一句，安全团队在公告里看到，都可能算。

这就是最紧的地方。漏洞公开之后，攻击者会尽快动手。

五、三个时间点，各要交什么

知情后 24 小时内，交早期预警。写清楚出的是哪类问题，有没有被人利用，影响范围大概多大。这一步允许不完整，先报上去，后面补。

72 小时内，交完整通报。要写清楚产品、版本、漏洞编号、已经采取的措施，以及有没有波及其他产品。

最后是最终报告。被利用的漏洞，在修复或缓解措施可用后的 14 天内交；严重事件，在 72 小时通知后的一个月内交。

三个时间点里，第一个最容易失守。层层审批走完，24 小时就过去了。

六、什么算正在被利用的漏洞

不是所有漏洞都要报。判定看两点：产品里有这个漏洞，并且已经有人在真实环境里用它。

概念验证、实验室复现、漏洞库里标了高危，这些只说明有风险，不等于被利用。

判断依据通常来自三处：漏洞库的利用标记、厂商的安全公告、自己的日志和客户反馈。

拿不准的时候，先报。早期预警允许信息不全，晚报或者不报是实打实的违规。

七、什么算严重事件

严重事件指影响产品安全的网络安全事件，已经或者可能对用户造成实质影响。

比如设备被远程控制，更新通道被劫持，固件被换成带后门的版本。

它和普通故障不一样。服务宕机是可用性问题，按你的运维流程处理；被入侵是安全问题，要按这条报。

两件事同时发生的时候，按严重的那条走，别只发一份故障通告就完了。

八、想按时报，先得知道出了事

24 小时这个窗口，默认你已经在盯着。现实里很多公司没有。

要落地，至少要有三件事。

一是有人全天候接得住消息。客户、经销商、漏洞平台、监管，任一渠道进来，都有人当班。

二是有人能在两小时内判断：这是不是本产品的问题，是不是被利用了，要不要报。

三是有人能签字递交。这个人休假的时候，要有替班。

九、证据从哪里来，一份组件清单

报告里最花时间的一栏是影响范围。哪些产品，哪些版本，卖给了谁。

要在几小时内答出来，靠的是一份机器可读的组件清单，业界叫 SBOM，也就是软件物料清单。

清单上要有每个组件的名称、版本、来源。发一次版更新一次。

没有这份清单，出事时只能靠人回忆，回忆出来的范围没人拿得出手。

十、报完不算完，补丁要送得到用户手里

上报只是前半段。监管真正要看的是问题有没有被解决。

法案要求安全更新能够单独发布，不必等下一个功能版本。这条对很多团队是新要求。

现实里的阻碍常常不是写补丁，而是推送。老设备没人升级，客户不愿意停机，经销商不愿意再走一次流程。

所以支持期要提前写清楚：支持几年，多久出一个安全补丁，停止支持前多久通知客户。

十一、买来的组件出了问题，谁来报

你买的是组件，卖出去的是产品。对外负责的是你。

上游发现了漏洞，第一时间告诉你，你才有机会在 24 小时内报上去。上游不告诉你，责任还是落在你身上。

所以采购时要把三件事写进合同：上游发现影响交付产品的漏洞，要在 24 小时内书面告知；要提供组件清单并随版本更新；支持期和安全补丁的节奏要写明白。

这三句不改价格，但出事时能省掉最贵的那几个小时。

十二、明年底那道大限，还要补什么

2027 年 12 月 11 日，法案全面适用。上报义务只是其中一条。

到那天之前要补齐的，主要是四件：产品按安全要求设计，风险在出厂前评估过；技术文档和符合性声明齐备；组件清单和漏洞处理流程成为常规；产品加贴 CE 标志。

进口商和经销商也有义务。他们发现产品不合规，要停售并通知上游。

不在欧盟注册的公司，还要指定一名欧盟境内的授权代表。

十三、罚多少，按哪一档算

违反这条义务，最高罚 1500 万欧元，或者全球年营业额的 2.5%，取金额高的那一个。

对小公司来说，1500 万欧元这一档基本用不上，按营业额算更现实。

比罚款更早到的，是客户。欧洲的经销商和大客户会把这条写进供应商审核，通不过就换人。

十四、合同和采购里，现在能加哪几句

如果现在就要动手，合同里可以先加三句。

供应商发现影响我方交付产品的漏洞，须在知悉后 24 小时内书面告知，并配合我方完成上报。

供应商须提供机器可读的组件清单，并在每次发布时更新版本信息。

安全更新的支持期不少于几年，期间的响应时间不超过几天，停止支持前提前几个月通知。

这三句不涉及价格，但决定了出事那天你有没有时间。

十五、今天能做的四件事

第一，把卖到欧盟的产品和版本列出来。包括已经卖出去的。

第二，查一遍主要组件最近的公开漏洞，看有没有标记为正在被利用的。

第三，定三个人：接消息的、做判断的、签字递交的。把欧盟上报平台的账号注册好。

第四，把上面那三句加进采购合同，下一份就加。

上报这条线，早一年开始，比晚一年补要便宜得多。