《网络弹性法案》来了！破除迷思与初步印象

欧洲理事会正式通过《网络弹性法案》（CRA），要求在欧盟市场销售软件与互联产品的制造商建立协调漏洞披露机制、及时修复漏洞、向 CSIRT 和 ENISA 上报在野利用漏洞并提供 SBOM。HackerOne 的政策倡导推动了针对善意安全研究者的保护条款，但披露要求仍缺乏缓解状态的豁免。

欧盟 CRA 的漏洞报告规则已于 2026 年 9 月 11 日生效：数字产品制造商必须在 24 小时内报告正被在野利用的漏洞，违规最高可罚款 1500 万欧元。

欧盟 CRA（Regulation (EU) 2024/2847）将于 2026 年 9 月 11 日起强制要求漏洞与事件报告，含 24/72 小时上报时限，2027 年 12 月全面适用。文章解读“知悉”时点的起算规则，建议以 CVD 政策与 VDP 为起点建立端到端合规能力。

欧盟《网络弹性法案》（CRA）将为所有带数字元素的产品设立强制网络安全要求，涵盖风险评估、协同漏洞披露政策、漏洞管理与在野利用报告义务，违规可能面临罚款或被逐出欧盟市场；最终文本还纳入了保护善意安全研究者的条款，鼓励成员国不起诉研究者并豁免其民事责任。

介绍漏洞披露政策（VDP）的定义与商业价值：欧盟 CRA 与 NIS2 已将其列为合规要求，VDP 决定漏洞是由研究员私下报告还是公开曝光。文章解析政策各章节的关键决策、政策与计划的区别，并提供可免费套用的模板。

加密资产服务提供商（CASP）指在欧盟 MiCA 框架下提供受监管「加密资产服务」的任何企业。本文介绍哪些业务属于此范畴、合规要求有哪些，以及如何达标。