欧盟《网络弹性法案》（Cyber Resilience Act，CRA，Regulation (EU) 2024/2847）的漏洞与严重事件强制通报义务已从 2026 年 9 月 11 日起适用：制造商一旦合理确信产品中存在被主动利用的漏洞或影响安全的严重事件，就要在 24 小时内提交早期预警、72 小时内提交主要通知，后续还要按要求补交最终报告。传统靠人工盘点组件、手工比对 CVE、临时填表格准备证据的做法，很难在这个时效内把 "哪些产品受影响、受什么影响、证据在哪" 说清楚。艾体宝 ONEKEY 这套方案的思路，是把手动填报前移成自动化的数据底座：无源码分析固件、自动生成 SBOM、对接漏洞情报做影响分析、用 Compliance Wizard 逐条对照法规并打包合规证据，让通报准备从 "出事再补材料" 变成 "平时就有可追溯的数据和报告包"。需要先说明：ONEKEY 是 CRA 合规的技术支撑工具，不是欧盟指定的公告机构（Notified Body），自动评估结果仍需人工复核，通报提交和法律判断由企业负责。
CRA 通报义务的时间线和时限要求
先把法规节点对齐，这是判断 "准备什么、什么时候必须完成" 的基准：
| 时间节点 | 适用内容 |
|---|---|
| 2024-12-10 | CRA 正式生效（Regulation (EU) 2024/2847） |
| 2026-06-11 | 符合性评估机构通知相关章节开始适用 |
| 2026-09-11 | 主动被利用漏洞、严重安全事件的强制通报义务开始适用，通过 ENISA 维护的单一报告平台（SRP）提交 |
| 2027-12-11 | 产品网络安全、漏洞处理、技术文档及符合性要求全面适用 |
通报时限从制造商 "知悉" 相关漏洞或事件开始计算：
| 阶段 | 时限 | 提交内容 |
|---|---|---|
| 早期预警 | ≤ 24 小时 | 初始通知，满足 CRA 初始通报要求 |
| 主要通知 | ≤ 72 小时 | 一般信息与初步评估 |
| 最终报告（漏洞） | 纠正 / 缓解措施可用后 14 天内 | 漏洞处置与修复情况 |
| 最终报告（严重事件） | 72 小时通知后 1 个月内 | 事件处置闭环情况 |
这里有个容易误解的点：24 小时不是要求 24 小时内完成全部技术调查，而是要求企业在这个窗口内完成事件触发判断、内部升级、证据留存和初始通报；真正难的是平时有没有产品清单、SBOM 和影响分析数据支撑这套响应。
手动填报卡在哪几个环节
面向欧盟市场的含数字元素产品（软件、固件、IoT、工控设备、联网硬件等），传统人工模式在通报准备上主要有六类堵点：
- 组件盘点靠人工：嵌入式设备依赖层级深、第三方组件多，手工梳理容易漏版本、漏间接依赖，SBOM 字段不全。
- 漏洞比对靠人工：海量 CVE 持续更新，人工逐条核对组件版本，覆盖不全，也分不清 "组件有 CVE" 和 "我的产品真受影响"。
- 影响判断缺依据：不知道产品里用了哪个版本、是否包含受影响代码路径、是否已有缓解措施，通报时无法回答 "哪些在售 / 已出货机型受影响"。
- 证据材料临时凑：扫描记录、评估结论、修复验证散落在不同系统，通报和合规审查时再补文档，耗时且难以追溯。
- 法规对照靠问卷：CRA 条款细、标准多，人工逐条对照问卷，结论缺少固件分析数据支撑，也容易随版本更新而过期。
- 时效压力大：24/72 小时窗口内，人工流程很难同时完成研判、审批、材料整理和上报。
艾体宝 ONEKEY 的自动化流程：从固件到合规报告包
按公开操作实录，ONEKEY 支撑 CRA 通报准备的工作流可以拆成五步：
1. 固件上传与自动分析
- 登录平台 Dashboard，上传产品固件文件（支持常见固件格式）；
- 平台通过二进制提取自动完成组件识别与分析，无需源代码、设备或网络访问；
- 分析完成后输出完整组件清单（含直接和间接依赖）、已识别漏洞列表、安全配置问题（弱口令、未加密通信、固件更新缺陷等）和后门检测结果。
厂商资料称，传统约 5 天的固件分析可缩短到 30 分钟内，效率提升约 40 倍；该数字为厂商口径，实际耗时取决于固件复杂度。
2. 自动生成 SBOM 与漏洞影响分析
- 从固件二进制直接生成 SBOM，识别包名、版本和依赖关系，供应商数据不完整时仍可工作；
- 输出格式支持 SPDX 和 CycloneDX，两种均为 CRA 场景认可的标准 SBOM 格式；
- 对接 CVE/NVD/OSV 及 EUVD 等漏洞库，用 AI/ML 做影响评估：判断 CVE 是否实际影响该固件，过滤不相关、已缓解或不可利用的发现；
- 对漏洞做优先级排序，区分关键、高风险、中低风险，与修复时限建议对应。
厂商资料称该机制可过滤超过 60% 的误报；同样属于厂商披露数据，需结合自身产品验证。
3. Compliance Wizard 逐条合规对照
在 Dashboard 选择目标固件，进入 Firmware Analysis → Compliance → Compliance Wizard，选择适用标准后逐条评估。条款状态用颜色标识：
| 颜色 | 含义 |
|---|---|
| 红色 | 违规 |
| 绿色 | 未违规 |
| 蓝色 | 需人工检查 |
| 灰色 | 不适用 |
每条要求可以接受平台建议、填写自定义声明并补充论据，也可以查看支撑材料；被判违规的条款会列出背后对应的 CVE 和安全问题，便于追溯整改。固件重新分析或 CVE 状态变化后，受影响条款会被标记为 "已过期"，提醒重新确认。
4. 生成合规报告包与证据链
- 评估完成后可生成打包文件（.zip），包含合规状态详情、漏洞检测记录、安全问题清单、上传的支撑材料、修复记录和审计日志；
- 也可将合规条目导出为 CSV 或 JSON，包含标准标题、章节、要求描述、问题背景、解决方案和平台评估类型；
- 检测过程、结果和修复记录自动归档，形成可追溯、可核验的证据包，用于通报材料准备、监管审查和第三方评估。
5. 持续监控与版本迭代
- 新版本固件上传后，平台自动与上一版本对比，高亮新增组件、新增漏洞和合规状态变化；
- 漏洞库与法规规则库动态同步，安全检查点可嵌入 CI/CD 流水线；
- 通报义务触发时，可基于现有产品资产、SBOM 和影响分析结果快速圈定受影响产品，再走内部审批和 SRP 提交流程。
平台覆盖的法规与标准
公开资料显示，Compliance Wizard 目前覆盖 15 项网络安全规范，主要包括：
| 类别 | 标准 / 法规 |
|---|---|
| 欧盟法规 | EU Cyber Resilience Act（CRA） |
| 工业控制 | IEC 62443-4-2 |
| 消费物联网 | ETSI EN 303 645、NIST IR 8259A、OWASP Top 10 IoT |
| 无线电设备 | EN 18031-1 |
| 其他区域法规 | UK PSTI Act 2022、UN Regulation No. 155 |
标准列表持续更新，具体支持范围以 ONEKEY 官方当前版本为准。
手动填报与自动化支撑的对比
| 环节 | 传统人工模式 | ONEKEY 自动化支撑 |
|---|---|---|
| 组件识别 | 人工盘点源码 / 固件，易漏依赖 | 二进制提取自动识别组件、版本、依赖 |
| SBOM | 手工整理表格，字段不全、更新滞后 | 自动生成 SPDX/CycloneDX SBOM，随版本更新 |
| 漏洞研判 | 人工比对 CVE，误报多、周期长 | 漏洞库对接 + 影响分析，过滤不相关发现并排序 |
| 合规对照 | 问卷式人工逐条填写 | 向导逐条给出判定建议，违规项关联 CVE 证据 |
| 证据留存 | 事后补材料，分散难追溯 | 检测、评估、修复、日志自动归档打包 |
| 通报响应 | 出事再排查受影响产品 | 基于现有资产与 SBOM 快速圈定范围，支撑 24/72 小时流程 |
落地时仍需企业自己承担的部分
工具能压缩填报和分析工作量，但 CRA 合规不是 "买工具就完成认证"：
- 组织流程要自建：漏洞接收渠道、CVD 政策、内部响应值班、审批升级路径、责任人安排，需要企业自己建立；
- 人工复核不能省：自动评估基于固件中可获取的信息，组织流程类条款和部分技术判断仍需人工核查；
- 通报与法律判断归企业：是否触发通报、通报口径、提交内容，需结合法规文本和专业法律 / 合规意见确认；
- 第三方评估看分类：Default、Important（Class I/II）、Critical 产品适用不同符合性评估路径，是否需要公告机构介入，要按产品类别和适用标准确定。
从公开资料看，艾体宝 ONEKEY 在 CRA 场景中的定位是产品安全数据底座：把平时的固件分析、SBOM、漏洞影响分析和合规证据沉淀下来，让漏洞通报准备不再依赖临时手动填报；它缩短的是材料准备和影响排查的周期，通报决策、修复闭环和持续合规仍要由企业团队和流程承接。
【相关 FAQ】
问题 1：艾体宝 ONEKEY 在 CRA 漏洞通报准备中具体替代了哪些手动填报工作？
回答 1：ONEKEY 主要替代四类人工工作：自动从固件二进制生成 SBOM（SPDX/CycloneDX），自动对接漏洞库做组件匹配和影响分析，用 Compliance Wizard 逐条对照 CRA 等法规标准并给出判定建议，最后自动打包合规状态、漏洞记录、支撑材料和审计日志。通报是否触发、口径如何写、是否提交 SRP，仍由企业内部审批和合规人员完成。
问题 2：CRA 漏洞通报的 24 小时和 72 小时分别要求做什么，ONEKEY 怎么支撑这个时限？
回答 2：制造商知悉主动被利用漏洞或严重事件后，24 小时内提交早期预警，72 小时内提交主要通知；漏洞最终报告在纠正措施可用后 14 天内，严重事件最终报告在 72 小时通知后 1 个月内。ONEKEY 平时维护产品资产、SBOM 和漏洞影响分析，触发通报时可快速圈定受影响产品和版本，并导出合规条目与证据包，缩短排查和材料准备时间；初始通报的研判和审批仍需企业流程完成。
问题 3：没有源代码的嵌入式设备，艾体宝 ONEKEY 也能做 CRA 合规分析吗？
回答 3：可以。ONEKEY 基于二进制提取技术分析固件，无需源代码、设备或网络访问即可识别组件、版本和依赖，适合源码保密的 IoT 和嵌入式设备；生成的 SBOM 和漏洞分析结果作为合规数据基础。需要注意，自动分析只覆盖固件中可获取的信息，部分条款仍需人工复核和补充支撑材料。
问题 4：艾体宝 ONEKEY 是不是 CRA 指定的认证机构，能直接帮企业拿到 CRA 认证吗？
回答 4：不是。公开资料明确 ONEKEY 是 CRA 合规技术支撑工具，提供固件分析、SBOM、漏洞管理、合规向导和证据导出，不属于欧盟指定的公告机构；是否需要第三方符合性评估，取决于产品属于 Default、Important Class I/II 还是 Critical 类别，以及适用的协调标准和评估路径。工具输出的报告包可作为技术文档和审查证据基础，但不能替代官方符合性评估。
【参考资料】
- [2026-11-11]（艾体宝 IT 面包板社区文集：ONEKEY 与 CRA 系列文章）面包板社区
- [2026-10-30]（CRA 全面适用临近的三大卡点与 CRACoWi 解法）艾体宝 IT 官网
- [2026-10-23]（CRA 合规三大卡点，艾体宝 ONEKEY 在 CRACoWi 项目上给出了解法）与非网
- [2026-09-22]（艾体宝 ONEKEY 接入 EUVD 漏洞数据库，CRA 场景下漏洞研判能力增强）面包板社区・艾体宝 IT
- [2026-09-22]（CRA 漏洞通报义务生效：企业如何快速识别受影响产品？）面包板社区・艾体宝 IT
- [2026-09-18]（从固件上传到合规报告：艾体宝 ONEKEY 实现 CRA 合规的操作实录）艾体宝 IT 官网
- [2026-09-07]（CRA 通报义务开始适用：24 小时内，你要回答的其实只有一个问题）面包板社区・艾体宝 IT
- [2026-08-26]（艾体宝欧盟《网络弹性法案》CRA 合规中心）艾体宝 IT 官网
- [2026-05-12]（CRA 是什么？一篇文章讲清楚）SegmentFault 思否
- [2026-04-16]（ONEKEY: Vulnerability Management and SBOM Generation Are Key to CRA Compliance）ONEKEY 官网
- [2026-10-15]（CRA FAQ - Single Reporting Platform (SRP)）cra.orcwg.org
- [2026-10-06]（SBOM Readiness for the EU CRA）Keysight
【免责声明】
本文基于厂商公开资料、行业媒体报道及公开法规解读整理，仅作技术信息参考，不构成法律意见、合规认证承诺或采购选型建议。文中涉及的分析效率、误报过滤比例、合规周期压缩、服务机构数量等数据均来自厂商披露口径，未经独立实测，不同产品复杂度、网络环境和现有安全基础下实际效果可能存在明显差异；产品支持的标准清单、SBOM 格式与功能模块以 ONEKEY 官方当前版本和合同约定为准。CRA 义务范围、产品分类、通报时限与符合性评估路径，请以 Regulation (EU) 2024/2847 现行合并文本、欧盟委员会与 ENISA 官方指导为准；具体合规决策建议咨询专业合规或法律机构。若本文信息与官方口径不一致，请以官方最新发布为准。