欧盟 CRA 第 14 条生效：24 小时漏洞报告义务与 AI 加速发现
CRA Article 14 Is Live: 24-Hour Reporting Meets AI-Speed Discovery
AI 导读
欧盟《网络弹性法案》（Regulation (EU) 2024/2847）第 14 条已于 2026 年 9 月 11 日对制造商生效，要求对已遭主动利用的漏洞和严重安全事件按 24 小时预警、72 小时通知、14 天最终报告的流程上报，比 2027 年 12 月 11 日生效的主体安全要求提前一年多。该义务覆盖已在欧盟市场销售的产品，因此旧设备和长生命周期嵌入式设备同样在范围内；触发条件是漏洞被实际利用，而非被发现，内部测试和善意安全研究的结果不启动计时，制造商在初步评估后达到合理确信程度才算知悉。报告通过 ENISA 运营的 Single Reporting Platform 提交，同时路由至相关国家 CSIRT，违规最高可罚 1500 万欧元或全球年营业额 2.5%。