欧盟网络弹性法 incident notification 要求解析：一个事件四面钟——CRA 为欧盟事件通报新增独立时钟

文章指出，当一起网络安全事件发生时，欧盟企业现在可能面临四个不同的通报时限：NIS2要求72小时内向主管部门通报，GDPR要求72小时内向数据保护机构通报，而CRA新增了更严格的要求——制造商需在24小时内向欧盟网络安全局(ENISA)报告被主动利用的漏洞(unpatched vulnerability being actively exploited)，在48小时内报告影响产品安全性的严重事件(serious incident)。

文章强调，这四个时钟相互独立，触发条件也不同：NIS2聚焦'对服务提供产生重大影响'，GDPR聚焦'导致个人数据泄露'，而CRA聚焦'影响产品安全性'。这意味着同一事件可能同时触发多个通报义务，企业必须建立协调的合规流程，避免遗漏或冲突。

此外，CRA的通报对象也不同：NIS2通报给成员国指定主管机构，GDPR通报给数据保护机构，而CRA要求向ENISA通报。文章建议企业提前建立跨部门的事件响应与通报协调机制，将CRA、NIS2和GDPR的要求整合到统一的安全事件管理框架中。