• 欧盟《网络韧性法案》的报告义务于 9 月 11 日生效
  • 制造商须在 24 小时内发出首次预警，并在 72 小时内提交更完整的报告

事实

欧盟《网络韧性法案》的报告义务已于 9 月 11 日生效，要求具有数字元素的产品制造商报告正在被积极利用的漏洞以及影响产品安全的严重事件。在知悉可报告事件后的 24 小时内，须发出早期预警。

随后须在 72 小时内提交更完整的通报。最终报告期限则视事件类型而定。对于正在被积极利用的漏洞，最终报告须在纠正或缓解措施可用后不超过 14 天内提交。对于严重事件，最终报告须在 72 小时通报后一个月内提交，内容须涵盖事件本身、其影响、可能原因以及已采取或计划采取的措施。

报告通过 ENISA 的统一报告平台提交给相关国家的 CSIRT，相关信息一般同时提供给 ENISA。该义务适用于制造商，而不是对所有使用该产品的客户施加同等的报告义务。法案还涉及通知受影响的用户，以及提供有关纠正或缓解措施的信息。其更广泛的产品要求大部分自 2027 年 12 月起适用。

评估

一旦制造商得知某个漏洞正在被积极利用，可能就必须在工程师完全理解问题之前先行报告。因此，首次 24 小时预警可能在所有受影响版本尚未全部确定、修复方案尚未经过测试的情况下就已发出。72 小时之后才会提供更多细节，而技术调查仍在继续。

在实践中，报告与修复往往会同时进行。制造商需要向监管机构说明其已知情况，同时不能把早期推测当作已有定论。与此同时，其客户也需要足够的信息，以判断自身是否受影响、是否需要立即采取行动。

对 BTW 读者而言，关键在于首次预警多快能演变为有用的指引。运营方需要关于受影响版本、安全缓解措施以及最终受支持修复方案的清晰信息。满足报告期限固然重要，但客户仍然必须知道该如何处置其在运行中的设备。

值得关注

请关注供应商在首次预警之后发布的公告，是否清楚区分已确认事实、初步发现和可用缓解措施。针对具体版本的指引、72 小时通报之后的后续更新，以及通往受支持修复方案的清晰路径，将表明新时间表是在帮助运营方做出维护决策，还是仅仅产出了按时报送的监管文件。