摘要

  • 自2026年9月11日起，制造商必须上报影响产品安全的已遭利用漏洞和严重事件；初步警报要在24小时内提交，完整通知限时72小时。
  • Mandalari在RIPE 93的提议很具体：把网络设备、软件分发和设备支持周期的实际案例送入CRA标准讨论。

《网络韧性法案》（CRA）给制造商启动了一个24小时的报告时钟，却没有把同一项法律义务自动交给所有运营网络的公司。Anna Maria Mandalari在RIPE 93谈到的关键问题，是事故发生前就要弄清楚：哪些产品进入欧盟市场，组织在每条供应链里扮演什么角色，谁能起草并提交报告。

RIPE 93物联网工作组的官方文字稿将最后一场演讲记为Mandalari远程发言。她把CRA和网络设备联系起来，包括路由器、调制解调器、交换机，以及网络运行依赖的软件。她希望RIPE社区向标准制定提供真实的运营案例：设备会在网络中使用多久、谁负责推送更新、制造商与分销商又在哪一步把责任交给客户。

时间表让这个问题现在就得回答。CRA的主要条款将从2027年12月11日起全面适用，但第14条的报告义务已在2026年9月11日生效。制造商一旦知悉影响产品安全的已遭利用漏洞或严重事件，必须在24小时内提交初步警报，并在72小时内发出完整通知。对于已遭利用的漏洞，纠正措施可用后最迟14天提交最终报告；严重事件的最终报告则须在72小时通知后一个月内提交。通知通过CRA单一报告平台处理。

承担这项义务的是制造商，并非所有购买路由器或经营网络的组织。欧盟委员会7月发布的实施指南谈到了产品范围和实质性修改。委员会对制造商的定义涵盖开发或制造产品、委托制造产品，并以自身名称或商标在欧盟市场投放产品的主体。购买一台未改动设备不会单独让运营方成为制造商；改用自有品牌销售或对产品作出实质性修改，则可能改变判断。具体产品和分销安排才是边界。

标准制定正好连接法律和现场。ETSI在8月13日宣布，17份垂直领域最终草案正在公开征询意见。它们的目标是成为协调标准；当时仍是草案，并非最终规则。不同产品领域的审批安排预计从9月中旬持续至11月中旬。Mandalari鼓励RIPE参与者就支持期限、网络设备、软件分发和更新处理提交实例。

供应商说“我们会更新”，还不够。运营方需要知道安全更新如何测试、审计、部署，以及如何评估对服务的影响。CRA要求制造商确定并披露产品支持期，但网络设备的实际服役周期可能更长。若厂商支持在计划更换设备前结束，一笔采购就可能变成仓促迁移。

Mandalari在研究、网络运维和标准化之间都有工作位置。UCL将她列为通信与联网系统研究所副主任；ETSI资料则列出她担任CYBER EUSR工作组秘书和RIPE物联网工作组主席。她希望网络社区把标准讨论拉回一个运营问题：下一次更新由谁负责，产品出事后第一份报告又由谁发出？

欧盟委员会已经发布实施指南，报告平台也已运行。剩下的工作，是在漏洞把团队拖进24小时冲刺之前，把产品身份、供应商角色、支持期限和事故决策权连起来。

来源