自今日起，制造商必须依照欧盟欧盟《网络弹性法案》(CRA)的要求，做好报告特定网络安全漏洞与事件的准备。
新的报告义务凸显出网络安全领域的更广泛转变：网络安全不再是可选项，而必须贯穿整个产品生命周期加以管理。
对客户而言，这引发了关于漏洞处理、供应商沟通以及事件响应准备情况的重要问题。
客户真正关心的问题
多年来，产品安全讨论一直聚焦于安全启动、硬件信任根、加密引擎、安全区域和防篡改等安全功能。
这些功能依然重要，但已不再是全部。
客户日益希望了解供应商在产品部署后如何管理安全。他们开始提出不同的问题：
- 出现漏洞时，你们如何处理？
- 潜在受影响的客户将在何时、以何种方式获知？
- 你们能提供哪些信息，帮助我们评估影响？
- 若漏洞影响已部署到现场的产品，会发生什么？
这些问题无法仅凭硅片作答。它们需要明确的流程、治理机制、清晰的职责划分、协调一致的沟通以及有效的漏洞管理。
随着各组织为符合CRA合规要求做准备，这些运营能力正日益成为供应商评估和安全审查的重要组成部分。漏洞处理、安全联系人、事件协调、软件组件和支持预期，如今频繁出现在相关讨论中。
明确的指导对于满足行业法规至关重要。进一步了解恩智浦如何帮助制造商简化CRA合规流程并实现长期弹性。
CRA报告自今日启动
2026年9月11日，是欧盟《网络弹性法案》(CRA)实施过程中的一个重要里程碑，也标志着整个供应链网络安全问责进入新阶段。
自该日起，CRA的漏洞与事件报告义务正式生效。含数字元素产品的制造商现在必须准备就绪，在严格的时间期限内向主管机构上报正在被利用的漏洞以及严重影响产品安全的重大事件。
乍一看，这似乎只是又一个监管里程碑。但实际上，它引入了新的运营要求，涉及组织如何评估、报告和沟通网络安全问题。
今日开始生效的义务使漏洞报告成为一项运营要求。制造商需要调整对(潜在)漏洞的评估方式，以及在满足报告标准的情况下如何上报和沟通——即便技术调查仍在进行中。
在许多情况下，初步报告和评估决策可能需要在技术分析、影响评估和根本原因调查仍在推进时作出。
CRA报告要点一览
- 2026年9月11日：针对正在被利用的漏洞和严重安全事件，向主管机构和客户报告的义务开始生效
- 24小时内：制造商在获悉需报告事件后必须提交早期预警
- 72小时内：制造商必须提交更详尽的漏洞或事件通知
- 最终报告： 须针对以下情况提交：i)对于已被利用的漏洞，在纠正或缓解措施可用后14天内；ii)对于严重事件，在首次报告后的一个月内
- 客户信息：在获悉影响产品安全的正在被利用的漏洞或严重事件后，制造商还需通知受影响的客户，并在适当情况下通知所有用户，包括在必要时提供相关缓解或纠正措施
制造商通过CRA单一报告平台(SRP)进行报告。该通知发送给被指定为协调方的协调计算机安全事件响应小组(CSIRT)，且除特别例外情形外，同时提供给ENISA。
除上述报告义务外，更广泛的CRA框架将继续分阶段实施。主要CRA义务，包括合规评定和CE标志要求，将自2027年12月11日起生效。
为何24小时倒计时改变了规则
今日生效的报告义务为需报告漏洞和事件设定了严格的时间要求。一旦确定存在需报告的事件，法定时限即已开始计时，即便调查仍在进行中。
挑战不仅在于满足报告截止日期。组织需要具备相应的人员、流程和信息，以快速做出有依据的决策，并协调安全、工程、法律和传播团队之间的行动。
这反映了现代产品安全的一个基本事实：漏洞可能在产品生命周期的任何时点被发现。关键在于能否接收报告、评估其有效性和重要性、理解其影响，并与利益相关方进行有效沟通。
产品安全事件响应小组(PSIRT)正是在这一环节发挥重要作用。CRA报告要求基于恩智浦现有的产品安全事件响应流程(PSIRP)构建。
CRA并非另建一套单独的漏洞处理流程，而是在既有的PSIRT活动(如漏洞接收与受理、分类、评估、缓解、披露及客户沟通)基础上，增加了额外的监管报告义务。
客户可从恩智浦PSIRT获得哪些支持
恩智浦产品安全事件响应小组(PSIRT)是报告可能影响恩智浦产品的潜在漏洞的公共入口。
PSIRT与相关技术、产品和安全团队协同，对报告的问题进行评估，并支持采取适当的应对措施。
从客户角度来看，这一流程涵盖五个关键方面：
1.公共报告渠道
涉及恩智浦产品的潜在漏洞，可通过恩智浦的公共PSIRT报告渠道进行上报。
这为客户、合作伙伴和安全研究人员提供了一条明确的途径，使其能够将产品安全问题提请恩智浦关注。
2. 评估与分类
所报告的问题将依据恩智浦既有的漏洞处理流程予以评估。
评估内容可能包括验证所报告的问题、判定其严重程度，以及识别可能受影响的产品和版本。
相关技术和产品团队将酌情参与此项分析。
恩智浦遵循负责任的披露实践，在及时沟通与验证发现、评估影响、支持有效缓解活动之间取得平衡。
3. 响应规划
问题一经确认，恩智浦即评估可用的补救方案。
视问题及产品的具体情况，这些方案可能包括缓解指导、临时解决方案、软件更新或其他旨在降低相关风险的纠正措施。
4. 客户沟通
视问题情况及适用的披露条件，相关信息可能通过适当的沟通渠道提供，以帮助可能受影响的客户了解潜在影响及可采取的措施。
具体内容取决于多个因素，例如受影响的产品、该阶段可获得的信息、纠正或缓解措施、保密考量以及负责任披露要求等。
在涉及已被利用的漏洞的情形下，可能受影响的客户可能需要及时获取信息，以了解潜在影响和可用的缓解措施。
视具体情况、可用缓解措施、负责任披露考量及适用披露要求，恩智浦可能会通过适当的客户通知渠道进行沟通，确保方式恰当且符合负责任披露实践。
5. CRA报告
当问题符合CRA第14条的报告标准时，恩智浦将按照适用的法定时间表，通过CRA单一报告平台进行报告。
这些报告活动通过恩智浦现有的PSIRP框架协调开展，必要时可在技术调查持续进行期间实施，以符合CRA报告要求。
对客户而言，其实际益处在于拥有明确的联系点，以及一套结构清晰、协调有序的流程，用于评估和响应影响恩智浦产品的潜在安全问题。
恩智浦负责评估和处理影响其产品的安全问题。成品制造商仍需自行评估对其系统的影响，并履行与该产品相关的各项义务。
制造商通过与供应商建立安全联系人和漏洞报告渠道，获得诸多益处。
当发现安全问题时，这些沟通渠道有助于加快评估、协调和响应进程。
产品制造商现在可以采取的三项行动
1. 明确职责与升级路径
确定贵组织内负责漏洞评估、技术调查、法律审查、监管报告及客户沟通的人员。
确保报告流程即使在调查仍在推进时也能正常运转。
2. 对接供应商漏洞渠道
建立成文流程，用于就潜在安全问题与组件和软件供应商进行沟通。
为每个供应商维护最新的安全联系人，并明确如何将从供应商处收到的漏洞信息整合到内部评估和升级工作流程。
对于涉及恩智浦产品的潜在漏洞，请通过恩智浦的公共PSIRT联系渠道报告。
3. 准备好快速评估所需的信息
保持准确的产品、软件和组件信息，以便您的团队能够判断所报告的漏洞是否影响已部署的产品。
SBOM、产品标识符、软件版本、部署记录和供应商联系人，有助于加快漏洞评估和响应工作。
从报告准备到协调响应
今日生效的CRA报告义务再次强调了一个重要观点：组织需要明确的责任归属、有效的协调和可靠的信息，才能在安全问题出现时作出响应。
组织还需要供应链各方的紧密协作，包括组件供应商和产品制造商；当安全问题影响已部署产品时，这种协作尤为重要。
当潜在漏洞影响恩智浦产品时，恩智浦的PSIRT为漏洞报告、技术评估和客户沟通提供了一个协调点。
目标非常明确：帮助将漏洞报告与管理及响应潜在产品安全问题所需的行动衔接起来。
9月11日这一里程碑使漏洞报告进入实际运作阶段。它也凸显了在报告计时开始之前做好准备的重要性。
深入了解
了解更多关于CRA的信息
为漏洞报告做好准备
