告别手动填报，艾体宝ONEKEY加速CRA漏洞通报准备

自 2026 年 9 月 11 日起，《网络弹性法案》（Cyber Resilience Act，CRA）针对被积极利用的漏洞和严重安全事件的报告义务正式开始适用。留给制造商的初步预警的时限仅为 24 小时。

ENISA 单一报告平台（Single Reporting Platform，SRP）为制造商提供了统一的报告入口，但目前尚未开放 API 接口，无法实现外部系统直接自动提交。这意味着，企业需要在漏洞识别、影响分析和报告材料准备等环节建立高效的内部工作机制。

艾体宝 ONEKEY 提供自动化固件安全分析与 SBOM 管理能力，帮助制造商识别产品中的软件组件与安全漏洞，关联受影响的产品和组件，并整理漏洞分析所需的技术信息，从而大幅缩短整合工程数据的时间。

一、严格的报告时限与多阶段流程

CRA 对漏洞和安全事件报告设置了分阶段的时间要求。制造商需要在规定时间内逐步补充信息，而不是等到完成全部调查后再一次性提交，报告流程时间紧迫，对于建立运营就绪能力至关重要：

1.24 小时预警： 这一初始通知旨在向 ENISA 和各国计算机安全事件响应团队（Computer Security Incident Response Teams，CSIRTs）通报潜在的系统性威胁。通知须说明产品已在哪些欧盟成员国提供；如属严重安全事件，还须说明是否疑似由非法或恶意行为造成。

2.72 小时详细通知： 该提交在预警的基础上，须提供更深入的技术分析包括：

1.漏洞或事件的详细描述；

2.受影响产品及相关组件；

3.初步影响评估与严重程度信息，例如 CVSS 评分；

4.已采取的纠正或缓解措施，以及用户可采取的措施。

3.最终综合报告： 该报告须在事件发生或漏洞修复后一个月内提交，并须包含详细的根本原因分析、永久性补丁或软件更新的说明，以及为防止再次发生而采取的纠正措施。

二、ENISA SRP 的当前运行状态

ENISA 单一报告平台（SRP）是欧盟为落实 CRA 报告义务建立的统一在线报告系统，由 ENISA 负责开发、运营和维护，已于 2026 年 9 月 11 日正式投入初始运行。 制造商可以通过该平台一次性提交报告，由指定的协调 CSIRT 接收并向其他相关成员国的 CSIRT 分发，同时向 ENISA 提供相关信息，从而避免向多个国家主管机构重复提交。

ENISA 已提供用户注册、通知提交、报告更新等操作指南，并要求指定的授权代表（Assigned Representative，AR）通过 EU Login 账户登录平台，完成相关操作。

截至目前，SRP 已于 11 月 4 日升级至 1.3 版本，平台仍在根据实际使用情况持续完善功能和相关文档。制造商应及时关注 ENISA 发布的最新指南，确保内部操作流程与平台要求保持一致。

对于制造商而言，平台正式运行并不意味着报告流程已经准备就绪。企业仍需要提前明确内部报告责任人、技术信息提供方和审批流程，确保在发生相关漏洞或安全事件时，能够迅速完成信息收集和报告提交。

三、艾体宝 ONEKEY 如何帮助制造商加速合规？

CRA 报告能否实现自动化？答案是：部分可以。根据公开信息，ENISA 目前未为 SRP 提供 API，外部平台无法将 CRA 通知自动直接提交至 ENISA 系统，最终提交环节仍需人工介入。

不过，报告提交只是整个流程的最后一步。此前的漏洞识别、产品影响范围确认、技术证据收集和风险评估等准备工作，恰恰是企业可以借助自动化安全分析工具提升效率的环节。

图：艾体宝 ONEKEY Compliance Wizard 示例，可选择不同法规与标准，按条款逐项给出判定状态（如“违规”“需人工核查”）。

艾体宝 ONEKEY 通过固件二进制分析、SBOM 生成和漏洞检测，帮助制造商将产品安全分析流程自动化，为 CRA 报告准备提供技术支持：

• 对于传统源码扫描难以覆盖的第三方二进制组件，可以通过固件分析补充软件组成信息；
• 在漏洞判断环节，则进一步结合实际固件中的组件、模块、架构等信息，对漏洞是否实际存在于当前产品进行分析，帮助企业减少单纯基于版本匹配产生的无关告警。
• 同时，ONEKEY 支持通过命令行工具集成到 GitLab、GitHub、Jenkins 等 CI/CD 流程，使固件安全分析能够进一步融入持续的软件供应链管理。

从 CRA 漏洞通报的实际需求来看，企业最终需要建立的并不只是一个软件组件清单，而是一条能够快速追溯的产品安全数据链：漏洞 → 组件 → 固件 → 产品 → 市场。当漏洞情报进入后，企业能够快速回答“哪些产品受影响”，才有可能在规定时限内完成后续的通报、处置与整改。

四、制造商战略路线图：构建持续性 CRA 合规能力

为做好合规准备，制造商应执行结构化的五步就绪计划：

1.清单与 SBOM 映射： 为所有联网产品和嵌入式系统维护准确、最新的软件物料清单。

2.事件响应分诊整合： 升级内部分诊工作流程，使安全研究人员和工程师能够自动标记主动利用的触发条件。

3.凭据与访问管理： 为指定的主要合规官和副合规官建立经授权的企业 EU Login 账户。

4.预格式化模板库： 提前起草 24 小时和 72 小时报送材料的模板，以尽量减少高压事件窗口期内的手动录入。

5.持续监控与自动化工具： 部署自动化漏洞关联平台，以大幅压缩数据收集的时限。

五、结语

CRA 带来了新的监管报告义务。一方面，这是对制造商产品安全管理和漏洞响应能力的持续考验；另一方面，满足合规也是制造商向客户、合作伙伴与市场证明自身能力的机会。

面对 24 小时和 72 小时的报告要求，企业需要的不仅是一套能够提交监管报告的流程，更需要建立持续、准确、高效的产品安全分析机制。

将产品安全管理融入研发与产品生命全周期，确保安全能力有据可查、持续更新，才能逐步将合规实践转化为企业信用与品牌信任的一部分。

艾体宝 ONEKEY 通过固件二进制分析、SBOM 自动生成与漏洞检测，帮助制造商掌握产品软件组成、识别潜在漏洞并加快影响范围评估，将产品安全分析融入日常运营，提升漏洞响应效率，为 CRA 合规建立更加扎实的技术基础。