把时钟拨到 2026 年 9 月 11 日，不少打算把带联网或软件功能的产品卖到欧盟的工厂会发现：一道绕不开的合规义务正式落地了。这背后是欧盟《网络弹性法案》（CRA，Regulation (EU) 2024/2847）——它管的不是某类传统认证，而是所有"带数字元素"、无论产地在哪、只要进入欧盟市场的产品。
## 谁会被圈进去
判断标准很朴素：产品是否包含软件、能否直接或间接联网、是否依赖远程处理能力实现核心功能。一台本地能控、又靠厂商云端做远程监控的工业设备，云端那部分就很可能被算进 CRA 范围——不能因为"云在第三方服务器"就觉得与己无关。智能设备、工业网关、带 USB 或网口的控制柜都在其列。
## 两道时间闸
- 第一道：2026-09-11，漏洞上报义务启动。产品一旦出现被实际利用的高危漏洞或严重安全事件，要在知悉后 24 小时内向欧盟网络安全局（ENISA）发早期预警、72 小时内补交详报、纠正措施可用后 14 天内（严重事件 1 个月）交终报。没有机器可读的 SBOM（软件物料清单），根本来不及定位"哪个组件进了哪款产品"，上报直接卡壳。
- 第二道：2027-12-11，全条款强制。届时所有在售与新增的带数字元素产品都要走完合规闭环，罚则上限为 1500 万欧元或全球年营收 2.5%（取高者）。
## 德品智视角：八步闭环里最容易被卡的是"底层账本"
我们把合规拆成八段：产品定级与路径选型 → 全生命周期风险评估 → 安全设计落地（Annex I 十三项基线）→ 漏洞管理与 SBOM 编制 → 安全测试 → 技术文档归档（含 EU DoC、欧代）→ 合格评定贴 CE → 上市后持续监测。大多数工厂栽在前两段和第四段：要么用开源或手工拼 SBOM、格式不被监管自动核验；要么没有标准化的 PSIRT（产品安全事件响应）流程，披露了风险却没人整改；高风险产品还容易错选自我声明路径，后期被抽查返工翻倍。SBOM 不是一份塞进文件夹的材料，而是"组件 → 产品 → 版本"影响分析的索引，新漏洞来袭时能立刻算清波及范围。
## 顺手提醒一条相邻时间窗
和 CRA 几乎同期逼近的，还有机械法规 (EU) 2023/1230——它将在 2027-01-20 全面取代旧机械指令 2006/42/EC，其公告机构相关条款更早于 2026-10-20 适用。做控制柜、自动化产线的厂家，两个时间窗建议一起排进项目日历。
——上海德品智检测科技有限公司
（本文系基于公开行业信息的原创整理，不指向任何特定机构排名或立场，法规要点以 EUR-Lex 与 ENISA 官方发布为准。）
