欧盟CRA生效：漏洞被利用24小时内必报

欧盟《网络韧性法案》CRA的漏洞与入侵事件报告义务9月11日已正式生效，带数字元素的智能摄像头、路由器、手表、OS、防火墙、嵌入式系统全被罩住，非欧盟厂商和进口商也跑不掉；规则很狠：已知漏洞被利用或发生严重安全事件，24小时内先给CSIRT和ENISA发早期警报，72小时补详细评估，1个月内交最终报告，开源本身有条件豁免但商业化封装照样担责。罚则更直接——最高1000万欧元或上年全球营收2.5%，监管还能勒令整改、下架、禁售。对出海硬件和SaaS来说，亮点/红线很直：原来“发现漏洞先内部修完再说话”行不通了，7×24监控、SBOM追组件、ENISA模板、IRP里嵌24小时警报才是入场券，否则不是补丁晚一天，是产品被踢出欧盟。