欧盟《网络弹性法案》9 月 11 日强制生效：智能家居、可穿戴、联网玩具须建漏洞上报机制，数码卖家只剩 4 天
倒计时 4 天。欧盟《网络弹性法案》（CRA，Regulation (EU) 2024/2847）在 2026 年 9 月 11 日起先执行"报告义务"——带数字功能的产品（智能家居、可穿戴、联网玩具等）必须建立漏洞上报与安全事故通报机制。全面基本要求要到 2027 年 12 月，但 9 月 11 日这道关先到，数码/3C 卖家别等"全生效"才动，现在就得把漏洞上报流程搭起来。
9 月 11 日倒计时：先执行报告义务
CRA 2024 年 12 月 10 日生效、分阶段适用。2026 年 9 月 11 日先落地的是"报告义务"：主动被利用的漏洞和严重影响安全事件必须通报，不是全部强制。核心基本要求、CE 标识、符合性评估等全面适用要等到 2027 年 12 月 11 日。所以"只剩 4 天"指的是报告义务倒计时，不是产品立刻下架。但别误读——报告义务是硬门槛，9 月 11 日后卖带数字功能的产品却没漏洞上报通道，等于违规在先，等 2027 全面审查时会被一并追责。
哪些产品中招：智能家居可穿戴联网玩具
范围覆盖带数字功能的产品（PDEs）：智能家居设备、可穿戴、联网玩具、婴儿监视器、智能门锁、路由器、移动应用等都在内。对跨境卖家，最典型的中招品类是：智能灯泡/插座、智能手表/手环、带 WiFi 的玩具、可视门铃、网络摄像头、蓝牙耳机（带 App 的）。纯硬件无软件、无联网能力的传统商品不受影响。判断标准就一条：产品是否带软件、能否联网或被远程控制。带，就进 CRA 范围。
漏洞上报怎么建：24/72/14 小时三档
制造商义务明确：发现被利用漏洞 24 小时内提交早期预警，72 小时内完整通报，漏洞修复后 14 天内终报（严重事件 1 个月内），经 CRA 单一报告平台（SRP）报 CSIRT 与 ENISA。同时须备技术文档、符合性声明、CE 标识（部分口径含 SBOM 软件物料清单）。实操上卖家得做三件事：①留一个可接收漏洞报告的公开渠道（如 security@ 邮箱或表单）；②写清内部 24/72/14 小时响应 SOP；③把产品技术文档和 SBOM 备好待查。跨境卖家若由工厂代工，要在合同里把漏洞上报责任划分写死。
数码卖家的合规清单
第一步，盘点在售带数字功能的产品，列出清单标哪些进 CRA 范围。第二步，9 月 11 日前搭好漏洞上报入口和响应 SOP，哪怕先简易版也行。第三步，找供应商要 SBOM 和技术文档，2027 年 12 月前完成风险评估、安全更新机制和 CE 标识。第四步，合同加条款——工厂负责漏洞修复和通报内容，你负责渠道和时限。罚则三级：违反基本安全要求最高 1500 万欧或全球年营业额 2.5%（取高）；违反进口商/分销商义务最高 1000 万欧或 2%；虚假信息最高 500 万欧或 1%；监管可令撤市召回。微小企业豁免 24 小时预警罚款，但产品仍须合规。
注意事项
9 月 11 日是报告义务起点不是产品禁售日，别恐慌性下架，但漏洞上报通道必须在这天前就位。CE 标识和全面基本要求 2027 年 12 月才强制，时间留给技术文档和 SBOM 准备。纯无联网硬件（如普通数据线、机械玩具）不在范围，别过度合规。
FAQ
Q：带 App 的蓝牙耳机要合规吗？ A：带软件且可联网/被控，进 CRA 范围，需建漏洞上报。
Q：2027 年前不贴 CE 会怎样？ A：2027 年 12 月前不强制 CE，但 2026 年 9 月起的报告义务已生效，漏洞不报即违规。
Q：从工厂拿货的卖家责任谁背？ A：制造商（持证人）负主责，进口商/分销商有配合义务，合同要写清分工。
参考来源
- 欧盟官方：Regulation (EU) 2024/2847（Cyber Resilience Act）
- ENISA：CRA 报告义务与 SRP 平台说明
- 亿邦动力：欧盟 CRA 9 月 11 日生效，数码卖家倒计时
- 大数跨境：CRA 对 3C 跨境卖家影响
- 欧盟委员会：Cyber Resilience Act guidance for SMEs