联系方式
全国免费服务热线
400-7558988
固话：0769-85075888-6618
手机：13925591357
传真：0769-85075898
邮箱：net04@gtggroup.com
地址：广东省东莞市松山湖园区科技八路2号华灿产业园
CRA官方 FAQ更新：你报给欧盟的漏洞，将公开到全世界
CRA官方FAQ更新：你报给欧盟的漏洞，将公开到全世界
做出口的老板注意了：欧盟给CRA报告平台出了一份"新说明书"，里面藏着一条影响最大的机制——你向欧盟报的漏洞，经你同意后，会被放进欧洲漏洞数据库（EUVD），全世界都能查。
10月15日，ENISA（欧盟网络安全局）更新了CRA单一报告平台（SRP）的官方FAQ，从原来的33条扩展到35条，其中新增的第35条，把CRA第17(5)条的运作方式讲透了。
这篇文章就讲这一件事：你的漏洞报告，怎么变成EUVD里的公开记录。
FAQ更新了什么：两条新增条款
ENISA这次把SRP的常见问题指引更新到35条，其中两条是全新的：
- 第34条：误报怎么撤销——报告只能由受理它的成员国协调CSIRT关闭，ENISA会对违规账号采取措施
- 第35条：为什么ENISA会联系你——这就是EUVD机制的核心
对制造商来说，第35条才是重点。
CRA第17(5)条：漏洞进EUVD的三步机制
先看原文：按CRA第17(5)条，ENISA应在制造商同意下，将按第14(1)条或第15(1)条通知的公开已知漏洞，加入欧洲漏洞数据库（EUVD）。
拆开讲，就三步：
- 你按CRA报告义务（第14条），向SRP平台提交了一个"公开已知漏洞"
- ENISA会主动联系你，确认这个漏洞能不能加入EUVD、什么时候加
- 你同意后，漏洞进入EUVD——成为一条公开可查的记录
关键词是"经制造商同意"：不是ENISA单方面公开，而是先问你。这就是FAQ第35条解释"为什么ENISA会联系制造商"的原因——它是来跟你确认的，不是来通知你的。
很多厂商不知道的功能：ENISA本身是CVE编号机构（CVE Numbering Authority），按CVE项目规则，可以帮你分配CVE ID。也就是说，你的产品漏洞进入EUVD的流程，和拿到一个正式CVE编号是联动的。漏洞、EUVD、CVE——三个体系通过这一次FAQ更新串起来了。
这条机制对出口厂商的三层含义
- "报漏洞"和"公开漏洞"是两件事
报告是强制义务，9月11日就生效了；而进EUVD是"经你同意"——同意权在你手里。先谈清楚再点头，别稀里糊涂就把记录公开了。 - 先修复、再公开，是唯一体面的姿势
EUVD收录的是"公开已知漏洞"。如果你的漏洞已经修复，再同意公开，公开记录就是"已修复"状态；如果漏洞还敞着，公开的是一条"未修复漏洞"——客户、投标方、保险机构都能查到。修复节奏直接决定你的公开形象。 - 有异议窗口，别错过
ENISA联系你确认"能不能加、什么时候加"的时候，就是你的表达窗口：什么时候修复完、希望什么时间公开、信息是否需要补充。这不是走过场，是你掌控公开节奏的机会。
完整链路与提醒
35条FAQ，一条第17(5)条，把CRA报告义务的"最后一公里"补完了：
报 → 修复 → 同意 → 进EUVD → 全球可查
对出口欧盟的联网设备厂商，这件事提醒你两件事：
- 报告义务已经生效（2026年9月11日起），SRP平台正在运行
- 漏洞记录会公开化——现在就该把"漏洞响应 → 修复 → 公开"的流程建起来，别等ENISA联系你那天才开始想
合规不是成本，是入场券。第17(5)条已经把"公开"写进了规则，你的产品准备好见光了吗？