CRA Assistent
关于《网络韧性法案》的问题
关于《网络韧性法案》的问题
您好，我是 CRA 助手。欢迎询问有关《网络韧性法案》、角色与义务，或 CRA-Portal 使用方面的问题。
随时了解网络韧性法案的最新动态。
2026年10月21日，PHP团队公布了两个严重漏洞：CVE-2026-109618 和 CVE-2026-109619，CVSS评分均为9.2。它们允许远程执行代码，影响 PHP 5.4 及之后的所有版本。在荷兰，DigiD、MijnOverheid、议会下院、国家网络安全中心本身、史基浦机场以及六家医院均出于预防考虑下线。对制造商而言，关键在于两个问题：该组件是否存在于我的产品中，版本是什么？以及，我是否必须上报？被实际利用的漏洞必须在24小时内上报，即使该漏洞不在您自己的代码中，而在您随产品交付的组件里；已知但尚未被利用的漏洞则不触发该时限。仍在使用 PHP 7.4 的用户当天没有在打补丁与等待之间选择的余地：该版本自2022年11月起已停止维护，不会获得补丁。
2026年10月11日至12日夜间，攻击者将估计250至350家法国超市的制冷系统切换为持续除霜状态，温度一路升向摄氏50度。受影响的连锁包括Intermarché、Netto、Coopérative U、Leclerc、Carrefour Market和Monoprix。阿尔萨斯一家门店报告损失超过22万欧元，全国范围的损失达到数百万欧元。丹麦制造商Danfoss的控制面板可通过互联网访问，以便维护公司远程调整，而受影响设备运行的是过时固件。美国CISA早在2025年5月就警告过AK-SM 8xxA系列存在身份验证绕过漏洞（CVE-2025-41450）。制冷控制器看起来只是一个不起眼的盒子，但它是一种带数字元素的产品：CRA要求安全的默认设置、远程访问的身份验证、包含安全更新的支持期，以及对被实际利用漏洞的报告义务。这起事件显示了缺少这些基础的代价：不是数据泄露，而是数天的营业额、变质的库存和停业。
ENISA单一报告平台自2026年9月11日起在 portal.cra-srp.enisa.europa.eu 投入使用，并提供授权代表手册、教学视频和表单字段词汇表。平台没有API，注册和报告均需手动完成。请注意最终报告有两个不同期限：漏洞方面，最迟在纠正或缓解措施可用后14天内；重大事件方面，在72小时通知后一个月内。开源管理者的报告义务自2027年12月11日起适用，自愿报告功能尚未开放。
CRA针对事件和漏洞的报告义务自2026年9月11日起通过ENISA单一报告平台适用。ENISA已发布常见问题解答、两页情况说明以及关于注册和提交通知的分步指南。ENISA还发布了涵盖产品全生命周期的22份实用手册「Secure by Design and Default Playbook」，国际合作伙伴则发布了2026年软件物料清单（SBOM）最低要素。
欧盟委员会发布了《网络弹性法案》（CRA）实施的官方指南。该指南澄清了产品适用范围（包括远程数据处理解决方案以及自由和开源软件）、何为「重大修改」、支持期限如何适用，以及报告义务和风险评估要求，并包含67个面向中小企业和微型企业的实用示例、用例和流程图。
ENISA更新了关于CRA单一报告平台的常见问题解答，其中包括制造商根据第14条报告事件时须填写的数据字段。此外，关于面向中小企业的安全更新机制技术建议草案的公开征询将持续至2026年7月10日。
OpenSSF代表其社区就两项欧盟公开征询提交了反馈：网络安全法修订版及NIS2指令修正案。同时也为ENISA面向中小企业的安全设计手册提供了意见。
ENISA发布了一份草案指南，帮助中小企业从设计阶段就将安全融入产品。该指南为工程、产品和发布流程提供了实用步骤。
CRA已于2024年12月10日正式生效。数字元素产品的制造商、进口商和分销商须在2027年12月11日前满足新的网络安全要求。
CRA法规仍在不断发展。欢迎联系我们获取最新动态。
我们的专家很乐意协助您完成合规之旅。