欧盟《网络韧性法案》第14条的报告义务9月11日生效。不少企业有个误区：以为"法规2027年才全面适用，现在卖着的老产品先不管"。从产品安全事件响应（PSIRT）的专业视角看，这个想法有风险。
存量在售品，报告义务不豁免
CRA主体合规的大节点是2027年12月11日，但"漏洞与事件上报"这道线从今天（2026-09-11）就起算，且对在欧盟市场已投放的带数字功能产品不豁免。
也就是说：你两年前上市、现在还在卖的联网设备，今天起一旦被发现存在被实际利用的漏洞，同样要走ENISA SRP平台的三道时钟（24小时预警 / 72小时详报 / 14天收口）。
外接模块固件更新，也会触发
容易被忽略的一点：即便主体产品没动，只要外接模块、配件做了固件更新，且更新引入了被利用的漏洞或安全事件，报告责任照样触发。把"固件更新=小改动不用管"的想法收起来。
PSIRT该搭成什么样
• 情报入口：能接收外部研究者、用户、监管渠道的漏洞披露；
• 定级与分派：按严重度分流，明确SLA；
• 上报执行：对接ENISA SRP（目前平台英文、暂无API、未验证的欧盟授权代表账户有上报条数上限）；
• 闭环：从根因到补丁、再到通知下游，全流程留痕。
和服务机器人主线叠加看
• 含机械动作的服务机器人、带联网模块的控制柜，2027年1月20日新《机械法规》(EU) 2023/1230 全面适用，CRA与机械合规要一并排期；
• 9月7日OJEU刚发布机械指令协调标准更新（Decision (EU) 2026/2015，含EN ISO 10218系列等），服务机器人出口可据此更新技术文档参照。
德品智建议
把"在欧盟在售、带数字功能"的产品做一张总表，标注上市年份与负责人；PSIRT哪怕先由一人兼岗也要有；固件更新纳入变更管理，别让小动作点燃大报告。