45
0欧盟CRA制造商报告义务从2026年9月11日起开始适用。本期用一个虚构的智能摄像头安全反馈场景，拆解“修复还没完成，报告时钟已经开始”意味着什么，以及AI产品出海团队如何检查内部交接。
内容主题：治理、安全与社会；辅助主题：应用与产业
主要地域：海外（欧盟）、中国、全球
发布日期：2026年9月12日
时间轴
00:03 假设场景：修复没结束，报告时钟已启动
00:53 2026报告义务与2027整体适用
02:08 普通漏洞与已被利用的区别
02:36 先演练一次客户反馈交接
03:00 第二类触发：严重安全事件
03:26 24和72小时从同一知悉时刻起算
04:46 最终报告的两种时间安排
05:13 报告入口与用户沟通
06:31 AI功能之外的产品安全
07:22 旧产品与开源角色边界
08:14 小团队的成本与信息交接
09:33 用户如何观察厂商响应
本期要点
• 本次是CRA第14条制造商报告义务开始适用；法规整体主要要求的适用日是2027年12月11日。CRA并非专门针对AI的AI Act。
• 两类触发：适用产品中正在被恶意利用的漏洞，以及影响产品安全的严重事件。普通扫描告警不自动等于强制报告条件成立。
• 无不当延迟，并最迟在知悉后24小时提交早期预警、72小时提交后续通知；两者从知悉起算，不是24小时后再加72小时，也不是工作日计数。
• 漏洞最终报告：纠正或缓解措施可用后最迟14天；严重事件最终报告：提交72小时事件通知后一个月内。依据CRA第14条。
• 通过ENISA统一报告平台提交；监管报告、通知受影响用户与公开技术细节需要分别处理。
• 适用范围内的旧产品也涉及报告义务。开源软件管理者对应第24(3)条的义务从2027年12月11日适用，不能直接移用到商业产品制造商。
一个行动
用一条模拟客户安全反馈，演练售后、安全和报告负责人的交接，检查首次知悉时间、证据、受影响版本和销售区域能否及时对齐。
例子与边界
摄像头事故为虚构说明场景，不指向任何厂商。周五20:00知悉时，24小时上限为周六20:00，72小时上限为周一20:00（同一时区）；这不代表可以故意拖到上限。
具体产品、云服务、制造商和开源管理者的适用性须结合实际情况与官方规则确认。本期未进行平台提交、企业合规审计或产品安全实测。AI整理的报告草稿不能替代关键事实核对。
ENISA动态页面的日期为本次访问快照；2024年法规原文是本次适用事件的法律依据，不是当天新立法。
原始资料
欧盟委员会CRA报告说明（9月11日更新）（2026-09-11）
欧盟网络安全局统一报告平台（9月12日访问快照）（2026-09-12）
欧盟网络安全局SRP问答（9月12日访问快照）（2026-09-12）
欧盟2024/2847号法规原文（2024-11-20）
后续观察
报告是否及时、信息是否准确、受影响用户是否获得有效措施。平台开通不等于实际产品自动变安全。
本期问题
你挑选带AI的联网产品时，会不会把厂商出了问题之后如何回应，也作为一个购买标准？
勘误
如发现事实或表述错误，请在评论中提供对应时间点与原始资料，我们核实后更新说明。
制作说明
主播：施泰隆。本期音频使用“施泰隆”复刻音色，由 AI 合成。
