带固件或App的硬件厂商（IoT、工业设备、新能源方向），欧盟《网络韧性法案》（CRA）的漏洞报告先行义务将于2026年9月11日生效，距今只有几天；产品全面适用则要等到2027年12月11日。先动起来的是"报告流程"，不是整批产品认证。
产品分三档（事实口径以法规原文为准）：默认类、重要类、关键类。重要类含工业控制、部分网络设备；关键类含医疗器械、车规等。分档决定义务轻重。
报告时钟要记牢：发现被利用的漏洞，24小时内出初步报告、72小时补技术细节、14天出最终报告——这是运营流程不是纸面合规。罚则顶格可达全球年营业额的1500万欧元或2%。
两点关键提醒：
1）配套的欧盟产品安全与举报平台（SRP）将于9月11日当日上线、没有测试期、未验证账户上限10条。SBOM在24小时时钟里是核心证据——没有它，连"我报了什么"都讲不清楚。
2）CRA不是孤例：NIS2、CRA、AI Act、GDPR 四重报告义务已经并存。带数字元件的产品（含服务机器人、控制柜、工业网关）须一次性把 EU Login账户、CSIRT、SBOM、事件响应剧本 这四件套备齐；非欧盟制造商还要委托欧盟授权代表（AR）。
给厂家的动作：先按"是否带数字元件"把产品分两批；重要类、关键类立刻搭SBOM加漏洞响应playbook；别等9月11日之后第一次被利用才补课。