欧盟网络弹性法单一报告平台（SRP）正式上线：制造商自9月11日起须报告在用漏洞与严重事件

2026年9月11日，欧盟网络安全局（ENISA）宣布其开发、运营并维护的网络弹性法单一报告平台（Single Reporting Platform, SRP）已部署初始运行能力（initial operating capability），正式投入使用。该在线工具用于帮助制造商与开源软件管理者履行《网络弹性法》（Cyber Resilience Act, CRA，条例(EU) 2024/2847）新设的在用漏洞（actively exploited vulnerabilities）与严重事件报告义务，用户"一次报告"即可将相关信息传达至所有主管机关。 一、时间表。CRA 是欧盟针对含数字元素产品的横向监管框架，对产品全生命周期规定强制性网络安全要求。其报告义务自2026年9月11日起适用于制造商；主要网络安全实体要求义务则自2027年12月11日起适用。依CRA第24条第3项，上述报告义务亦将适用于开源软件管理者（以其参与含数字元素产品开发的范围为限），该条自2027年12月11日起适用。 二、运作机制。通知一经提交，被指定为协调人的计算机安全事件响应小组（CSIRT）接收后，将信息分发至受影响产品所在其他成员国的相应CSIRT，同时该通知同步提供给ENISA。此举使各国CSIRT更高效获取所需信息，支持更快采取行动以缓解网络安全风险。平台亦将被欧盟各CSIRT用于接收与分发通知。 三、配套资源。ENISA 已发布常见问题解答（FAQ）、用户手册、教程视频、SRP术语表以及多语种专门情况说明，并设有专门服务台。欧盟委员会另提供CRA报告义务专门网页、《CRA适用指南》第9.1节以及CRA实施常见问题第5节的进一步澄清。SRP门户地址为 portal.cra-srp.enisa.europa.eu。 四、意义。ENISA执行主任Juhan Lepassaar表示，数字产品中的漏洞常被威胁行为者用于破坏或妨害医疗、能源、交通、电信等关键服务，对在用漏洞与严重事件进行精简报告与信息共享，有助于构建更具韧性的数字单一市场。对中国出海欧盟的含数字元素产品制造商而言，自2026年9月11日起报告义务即已启动，而实体网络安全要求尚有至2027年12月的缓冲期，需据此调整产品合规与事件响应流程。