芯耀
与非AI
56
随着欧盟《网络弹性法案》（Cyber Resilience Act，CRA）逐步推进，面向欧洲市场销售联网产品的企业，正面临更加明确的产品网络安全要求。
2026 年 9 月 11 日，针对被积极利用的漏洞及严重安全事件的报告义务已开始适用；2027 年 12 月 11 日，CRA 将全面生效。
对于企业而言，真正的挑战不只是赶上法规时间表，而是在截止日期到来之前，建立起能够持续运行的产品安全管理能力。
艾体宝与 ONEKEY 联合发布的《2026 年物联网和 OT 网络安全报告》，调查了 200 家德国工业企业在 CRA 合规方面的认知与准备情况。报告发现，尽管企业已经开始采取行动，但在法规认知、漏洞管理、SBOM 和供应链协作等方面，仍存在明显差距。
当 CRA 从法规要求走向实际执行，企业还有哪些关键问题需要解决？
一、CRA 合规的难点，正在从“了解法规”转向“落实能力”
CRA 适用于多类含数字元素的产品，包括联网设备、工业控制系统、网络设备、物联网产品及软件等。其影响不仅涉及产品本身的安全，也延伸至漏洞处置、技术文档、安全更新和供应链管理。
报告数据显示，约 46% 的受访企业表示熟悉 CRA，但约 62% 的企业表示并不了解法规后续实施阶段及相应截止日期。
更值得关注的是，即使企业已经启动合规工作，也不代表关键能力已经准备就绪。
- 合规准备不充分，工作范围仍需厘清
CRA 涉及风险管理、安全要求、技术文档、内部流程及产品全生命周期的安全更新。企业需要确认的不只是“有没有相关制度”，还包括制度是否真正落实，以及能否提供相应的技术证据。
报告显示，仅约四分之一的受访企业认为自己在风险管理方面准备充分；在内部流程、技术证据和安全更新等领域，准备充分的比例更低。
这意味着，企业需要尽早梳理现有产品与流程，识别已具备的能力和仍待完善的环节。如果等到临近全面生效才开始系统评估，后续工作就可能与产品开发、测试和交付周期发生冲突。
- SBOM 与漏洞管理，决定企业能否有效响应风险
当某个软件组件被发现存在安全漏洞时，企业需要尽快判断自身产品是否使用了该组件、哪些产品版本受到影响，以及后续应采取什么措施。
SBOM（软件物料清单）能够帮助企业识别产品的软件组成、版本及依赖关系，是开展漏洞管理和维护相关技术文档的重要基础。
但报告显示，仅约 18% 的受访企业已为所有相关产品创建 SBOM，约 24% 尚未开展相关工作；约 62% 的企业仍未解决漏洞管理问题。
这反映出一个现实：如果企业缺乏完整的软件组件信息，漏洞出现后就可能难以快速定位影响范围，进而增加评估、处置和安全更新的难度。
与此同时，针对被积极利用的漏洞及严重安全事件的报告义务已经开始适用。企业不能等到法规全面生效后，才着手建立漏洞识别、影响评估、内部协作和报告响应机制。
- 供应链信息不透明，风险并不会止于供应商
现代数字产品往往包含第三方软件、开源库、固件和其他外部组件。制造商不仅需要管理自主开发部分的安全风险，还需要了解这些外部组件如何影响最终产品。
然而，报告显示，仅约 18% 的受访企业认为其供应商已持续适应 CRA 要求，并能够提供所需信息。
如果供应商无法及时提供组件清单、漏洞信息和安全更新安排，制造商就可能缺乏判断产品风险所需的关键信息。
因此，供应链安全不能仅依赖供应商承诺。企业还需要明确供应商的信息提供义务、漏洞通知渠道、更新支持期限，以及双方在风险处置过程中的责任。
从产品自身到上游供应链，任何一个信息缺口，都可能影响整体合规工作的推进。
二、不要踩着合规截止日期行动：企业现在应该做什么？
CRA 全面生效的时间节点已经明确，但合规工作的推进并非简单地完成一份清单。产品盘点、组件识别、风险评估、技术文档整理和供应链协作，都需要时间，也可能涉及多个部门及外部合作方。
报告显示，超过 60% 的受访企业预计新产品或更新产品的开发时间将延长。这说明 CRA 合规不仅需要安全团队投入资源，还可能影响产品开发与上市计划。
与其临近截止日期集中补救，不如提前规划，将合规要求逐步纳入现有产品安全流程。
第一步：尽早开展合规差距评估，明确“还缺什么”
企业应先梳理面向欧盟市场的相关产品及其适用要求，盘点现有风险管理、安全措施、技术文档、漏洞管理和安全更新机制。
在此基础上，建立清晰的待办事项清单，区分已经具备的能力、需要完善的流程，以及仍需补充的技术信息。
这一步的重点不是追求一次性完成所有工作，而是先明确合规范围与能力缺口，再根据法规义务、产品风险和实施周期安排优先级，避免后续工作缺乏方向。
第二步：提前建立 SBOM 与漏洞响应能力
企业需要逐步建立产品软件组成的可视化能力，确保组件、版本与产品之间能够建立有效关联。
同时，应明确漏洞发现后的内部响应流程，包括信息接收、影响范围识别、风险评估、责任分工、报告判断及后续处置。
对于适用的报告义务，企业还应提前明确触发条件、内部升级机制和责任人，确保相关流程能够满足规定时限，而不是等到实际发生事件时才临时协调。
SBOM 也不应停留在创建文档的阶段，而应与漏洞管理、产品版本管理和安全更新流程结合，持续维护并发挥实际作用。
第三步：将供应链安全纳入采购与产品管理
企业应尽早与关键供应商沟通 CRA 相关要求，了解其软件组件信息、漏洞报告机制、安全更新能力及支持期限。
在采购、供应商遴选和合同管理中，可以逐步明确机器可读 SBOM、漏洞信息共享、响应时间和更新支持等要求，并建立相应的协作机制。
对于依赖多个第三方组件的产品，尤其需要确认组件信息能否及时获取，以及上游组件出现漏洞时，企业是否具备识别受影响产品并推进处置的能力。
供应链协作越早启动，企业就越有机会在产品开发和交付过程中解决信息缺口，而不是在合规审查或安全事件发生后被动补救。
第四步：明确内部责任与资源投入，形成持续推进机制
CRA 合规通常涉及研发、IT 安全、产品、采购、法务及管理层等多个角色。企业应明确各环节的负责人、协作方式和决策机制，避免出现任务无人负责、信息无法共享或问题无法及时升级的情况。
此外，还需要评估现有人员、技术工具和预算能否支撑合规工作。对于内部能力不足的环节，可以结合实际需求规划外部专业支持。
更重要的是，将合规任务纳入持续性的工作计划，明确阶段目标、交付成果和检查节点，定期跟踪进展，并根据产品变化和新发现的漏洞及时调整。
提前部署的价值，不只是避免错过法规节点，更是为产品开发、风险处置和市场交付留出足够的调整空间。
三、从被动应对到主动规划，提前建立产品安全能力
从 ONEKEY 的行业调查来看，CRA 合规的主要挑战集中在三个相互关联的方面：合规准备不充分、软件组件与漏洞管理能力不足，以及供应链安全信息不透明。
这些问题无法仅靠补齐文件解决，而需要企业逐步建立贯穿产品开发、漏洞响应、安全更新和供应链管理的工作机制。
随着相关义务陆续适用，企业更需要关注当前必须履行的要求，同时为全面生效提前规划。不要等到截止日期临近，才发现产品信息尚未梳理、漏洞响应流程尚未跑通，或供应商无法提供必要的安全资料。
尽早识别差距、合理安排优先级，并将合规工作融入日常产品安全管理，才是降低后续实施压力的关键。
免费领取白皮书｜提前规划 CRA 合规路径
CRA 合规应该从哪里开始？企业在 SBOM、漏洞管理和供应链安全方面还存在哪些差距？
艾体宝与 ONEKEY 联合发布的《2026 年物联网和 OT 网络安全报告》，基于 200 家德国工业企业的调查，深入分析 CRA 合规进展、企业面临的关键挑战及可参考的行动方向。
立即留资，免费领取白皮书，了解行业现状，为企业开展合规差距评估与提前部署提供参考。
