对出口欧盟、带任何数字功能（联网、可升级固件、带App或云端接口）的电气与机械设备厂商来说，2026年9月11日是一个分水岭——欧盟《网络韧性法案》（CRA，Regulation (EU) 2024/2847）里的"制造商漏洞与事件报告义务"（第14条）从今天起正式进入适用期。
这不是"明年再准备"的事。只要产品还摆在欧盟货架或已交付给用户，一旦被发现存在被实际利用的漏洞或安全事件，制造商就要按ENISA统一的SRP平台（Single Reporting Platform）走三道时间钟。
三道时钟：早报、详报、收口
• 第一道：发现漏洞被利用或发生安全事件后，24小时内提交"早期预警"——说清是什么、影响哪些产品、有没有临时缓解办法。
• 第二道：72小时内提交"详细通报"——把攻击路径、受影响范围、已采取的措施写清楚。
• 第三道：14天内（确有必要可延长到1个月）提交"最终报告"——根本原因分析、修复方案、给用户和下游的通知计划。
注意两个边界：9月11日之前已被掌握且修复的已知漏洞，不必倒追补报；纯零日漏洞不会因"没上报"自动触发违规——触发点是"厂商已经知悉并被实际利用"。但产品一旦在市，这条线就一直在。
公告机构与第三方能帮你做什么
从合规落地看，单纯"写报告"反而是最简单的环节，更吃功夫的是三块能力底座：
1. 漏洞危害评估：建立一套能持续识别产品攻击面、给漏洞定级的方法；
2. 渗透测试与验证：在交付前把固件、云端接口、通信协议先打一遍；
3. SBOM（软件物料清单）与可更新机制：让监管和下游能追溯你到底用了哪些组件、出了补丁怎么推。
不少公告机构已经把"危害评估+渗透测试+SRP上报代办"打包成一站式服务。对中小出口企业，选哪家、怎么把内部PSIRT（产品安全事件响应团队）制度搭起来，比临时抱佛脚更重要。
顺带提醒：CRA不是唯一叠加项
今天这道线之外，出口欧盟的设备还要看两条：
• 含机械动作的服务机器人、带联网模块的控制柜，2027年1月20日新《机械法规》(EU) 2023/1230 将全面取代旧机械指令，CRA与机械合规要一起排期；
• 带电池的可换电模组（如服务机器人电池包）还受欧盟电池法(EU) 2023/1542 约束，9月11日欧委会刚发布废电池回收目标评估报告、维持现有目标不修订，回收与碳足迹台账要尽早建。
德品智建议你今天做的三件事
• 盘点：你目前在欧盟在售、带数字功能的SKU有哪些，列出负责人；
• 建队：指定PSIRT牵头人，哪怕先由一个人兼；
• 找伴：把SBOM、渗透测试、SRP上报纳入年度合规预算，别等第一次被通报才动。
