两条产品合规红线同时拉响：美国FCC新规10月13日生效，欧盟CRA漏洞上报义务已开跑

做电子品、智能硬件的卖家，这周要打起十二分精神了。大洋两岸几乎同时收紧了产品合规的口子：美国FCC的供应链穿透新规10月13日生效，欧盟CRA网络弹性法案9月11日已经生效。一个管你的芯片来路，一个管你的漏洞上报。两条红线，任何一条踩到，轻则产品下架，重则天价罚单。带Wi-Fi、蓝牙、联网功能的产品，建议把这篇文章转给你的产品和供应链同事。

一、FCC新规：从"看整机"到"查BOM"

先说美国这条。根据《联邦公报》FCC 26-50文件，10月13日起，对需要FCC认证的射频产品，监管方式从"看整机"升级为"穿透BOM物料清单"——海关和认证机构会直接看你产品内部的主控芯片、无线模组来自哪些供应商。只要任何一个核心元器件来自受限清单实体，新的认证申请直接驳回。

什么算射频产品？带Wi-Fi、蓝牙的都在内，也就是说智能手环、无线耳机、智能插座、遥控器、车载数码，几乎覆盖了消费电子的大半个货架。

认证成本和周期也得心里有数。FCC认证一个SKU的测试认证费用，按产品复杂程度从几千到几万元人民币不等，周期通常要几周。10月13日之后，穿透BOM的审查会让材料准备更复杂，供应商清单、元器件来源证明都要齐，一家供应商不配合就可能卡住整个认证。带无线功能的新品矩阵大的卖家，建议按上市时间排个优先级，先认证马上要发的，再补长尾SKU。

有两个要点要划重点：一是已获证的存量产品不追溯，可以继续正常销售；二是存量产品一旦更换核心硬件再认证，就按新规审查。换句话说，你原有的合规库存是安全的，但供应链一换件，就要重新过这道闸。

二、欧盟CRA：漏洞上报是法定义务了

再看欧盟。CRA（网络弹性法案）9月11日已经生效，覆盖所有带数字功能、在欧盟销售的产品。要求很具体：发现被利用的安全漏洞，24小时内预警、72小时内详细上报。违规最高罚1500万欧元，或者全球年营业额的2.5%，取高者。

智能手表、家用摄像头、IoT设备、带联网功能的电源类产品，全在覆盖范围内。很多卖家的误区是"我有CE认证就够了"——CRA恰恰说的是，认证只是起点，上市之后的漏洞响应机制才是重点。你需要有渠道监测漏洞情报、有流程在24小时内做出预警、有专人对接欧盟的上报系统。这套东西现在就得搭，等出事再建就晚了。

有卖家可能会问：我卖的是贴牌代工产品，漏洞响应是不是厂商的事？

答案是：在欧盟的销售链条上，责任是连带往下追的。产品在欧盟市场上出了安全问题，从制造商、进口商到卖家都可能被追责。你作为把产品卖进欧盟的那一环，至少要能证明自己尽到了审核义务：选的厂商有没有安全开发流程、固件更新机制是否健全、出了漏洞通知链路能不能走通。这些不能靠口头承诺，要落在采购合同和审核记录里。取证意识强的卖家，真出事时责任边界就清楚；什么都没留的，很可能被拉去陪跑。

三、双线收紧背后的逻辑

把两件事放在一起看，信号很清晰：欧美对电子产品的监管，都在从"成品抽检"转向"全链条透明"。

美国管的是供应链上游，芯片和模组的来源决定你的市场准入；欧盟管的是产品全生命周期，上市后还要对安全漏洞负责。两边合起来，等于把一个电子产品从晶圆厂到用户手里的每个环节都罩进了监管网。

对走正规供应链的卖家，这波反而是洗牌利好。据行业观察，受限实体元器件一度因为价格优势在白牌市场很常见，新规落地后，这部分低价竞品会被系统性地挤出欧美市场。你的合规成本上去了，但竞争对手消失得更快。

再补一个参照系：欧盟CRA的罚则上限是全球年营业额的2.5%，对照GDPR这些年的执法力度，欧盟对数字产品安全的处罚是动真格的。而且CRA是产品安全法，出事不只罚钱，还可能面临召回和禁售。一件产品召回的综合成本，通常是这批货利润的十倍起步。算完这笔账，前面说的漏洞响应机制就不是成本，是保险。

四、卖家行动清单

第一，盘BOM。把所有带无线功能的产品拉出来，让供应商出具核心元器件的来源清单，对照受限清单逐一排查。有疑问的物料，趁10月13日前替换或认证。

第二，新品认证抢跑。带无线功能的新品，认证材料尽量在10月13日窗口关闭前提交，按老规走能省一大圈事。

有人算过账，新规后一个带蓝牙模块的新品，认证综合成本可能比之前高三到五成。但换个角度想，这笔钱筛掉的是大量拼凑供应链的低价竞品，你的认证通过那一刻，等于拿到了一张同行拿不到的门票，定价空间反而可以更从容。另外，认证材料里的供应商信息要留档，后续产品迭代、更换模组时，这些记录能大幅缩短再认证的时间，省下的都是旺季黄金期。

第三，建漏洞响应机制。指定责任人、订阅漏洞情报源、写好24小时预警和72小时上报的SOP。这不是大厂专利，几个表格加一个值班流程就能起步。

第四，欧盟产品做安全自检。固件更新渠道、默认密码、数据加密这些CRA重点关注项，提前自查一轮。

第五，把合规成本写进定价。认证费、测试费、漏洞响应的运营成本，都是真金白银，别再按裸成本定价了。

第六，给供应链加一条合同条款。和元器件供应商的采购协议里，明确要求提供来源合规承诺和受限清单排查记录，把合规责任在合同里分清楚。真出了问题，你有追偿依据；审核的时候，这些文件就是你的通行证。合规时代，产品力的一半是资质力，这句话今年体会会越来越深。