很多做控制柜、PLC、工业网关、服务机器人的工厂朋友最近都在问同一个问题——欧盟那部 CRA 到底从哪天开始真正要做事？答案已经很明确：2026 年 9 月 11 日，CRA 第 14 条的漏洞报告义务正式生效，凡是带数字元件的电气和机械设备，都被划进了这个范围。
对出口欧洲的厂商来说，真正的动作不是"等通知"，而是现在就把报告链路搭起来。欧盟官方的单一报告平台（SRP）已经在 9 月 11 日当天上线，不过要提醒一句：它目前只接收第 14 条和 24(x) 条的强制报告，自愿报告功能还没开；首期没有接口调用（API），只能在网页端手动提交，而且只有英文界面。另外，未经验证的授权代表（AR）账户，单日上报上限是 20 条；那个 72 小时的计时器，是从"早期预警提交"那一刻起算，不是从你"获悉"漏洞起算——这是当前平台一个已知的小毛病，官方说后面会修。
落到工厂日常，可以拆成五步来走：
第一步，先把欧盟账号（EU Login）配上多重验证（MFA），这是所有上报动作的前置门槛，没有它什么都提交不了。
第二步，指派授权代表。规则是主代表只能有 1 个，次级代表最多 20 个；具体选哪一类、挂在哪个主体下，要看你的主要设立地、雇员规模，以及 AR、进口商、分销商、终端用户的数量分布来排优先级。
第三步，确定 CSIRT 对接方。各成员国的计算机安全事件响应团队清单（CDaC）已经在 9 月 4 日公布，照着清单找对应国家的接口就行。
第四步，把软件物料清单（SBOM）建起来，同时把漏洞处理流程写成文档，这两样是技术文件里新增的硬要求。
第五步，准备好事件响应剧本：发现被实际利用的漏洞，24 小时内发早期预警，72 小时补详细报告，14 天到 1 个月内给最终报告。
有几个常见误区要避开。有人觉得"CRA 生效前的老产品不用管"——这是错的，在售的存量设备同样要走报告流程，没有豁免。还有人把"证书延续"想得太轻松，委员会 C(2026)5252 号指南已经把这条捷径收窄了：只有公告机构（NB）签发的证书能沿用，企业自我声明的那一类不算数。
再往前看一步，一部拟于 10 月 6 日发布的欧洲产品法案草案，正在把"责任主体 + 授权代表 + 数字产品护照（DPP）"从可选项变成强制项。草案的意思是，境外制造商必须由进口商或 AR 来承接法律责任主体；在线平台如果不核验 DPP 或制造商责任记录，就得自己背上 AR 义务。对中国出口厂来说，这意味着合规责任链条要提前理顺，而不是等货到口岸再补。
给工厂的三条实在建议：第一，本周内把 EU Login 加 MFA 和 AR 指派做完；第二，SBOM 模板先用起来，哪怕先覆盖主力机型；第三，把 CRA 报告流程和原有的 CE 技术文件归档打通，避免两套文件各管各的。