Copla推出《网络韧性法案》合规框架

Copla称，这套框架把《网络韧性法案》（CRA）对安全设计和漏洞管理的要求拆成一项项具体任务，再配上一份结构化的就绪计划。技术文档和欧盟合规声明书的模板也一并提供。CRA框架并入Copla原有的DORA、NIS2、ISO 27001、SOC 2和PCI DSS支持之中。

其他厂商也在做CRA合规工具。ArmorCode于2026年6月在其Agentic AI Platform中发布了CRA功能，包括SBOM与VEX支持以及披露流程。exida于2026年11月3日发布exSILentia CRA，用于产品风险评估和技术文档。

2027年的销售门槛

从2027年12月11日起，没有有效合规声明书和CE标志的产品不得在欧盟合法销售。各国市场监管机构将有权要求撤市或召回。CE标志在玩具、水壶和充电器上早已常见，届时也将覆盖软件。制造商必须先签署欧盟合规声明书，才能加贴该标志。该法规于2024年12月10日生效，其中关于公告合格评定机构的章节自2026年6月11日起适用。

报告义务已经生效

欧盟委员会表示，第14条自2026年9月11日起适用。制造商一旦得知存在正被利用的漏洞，必须在24小时内提交预警，72小时内提交详细通报。最终报告须在缓解被利用漏洞后的14天内提交；严重事件则在72小时通报后的一个月内提交。报告通过ENISA的统一报告平台提交。一次申报会同时送达该机构，以及由制造商欧盟主要营业地所在国确定的CSIRT协调机构。该平台上线时没有API，每份报告都要通过网页门户手工提交。

第69条第3款把第14条的报告义务扩展到已在欧盟市场上销售的在适用范围产品，尽管CRA的其他多数要求对2027年前的产品予以豁免。产品停止支持后，报告义务仍然继续，遗留系统和第三方组件因此仍在范围内。违反核心安全规则最高可处1500万欧元或全球年营业额2.5%的罚款，以较高者为准。

ENISA发现准备不足

ENISA于2026年6月发布首份以中小企业为对象的CRA研究，调查了31个国家的194家组织。结果显示，66%的受访者知道该法规，但只有约三分之一使用了软件物料清单。无论公司规模大小，事件响应和产品生命周期管理都是最薄弱的环节。ENISA提醒说，参与是自愿的，样本可能偏向已经关注该议题的中小企业，实际准备程度可能更低。

Copla首席执行官兼联合创始人Aurimas Bakas表示：“ENISA的发现说明，认知是有的，但实际的基础工作往往还没到位。SBOM、漏洞处理流程和事件响应计划都需要时间才能妥善建立，而报告义务今天已经生效。现在就开始的公司仍有现实的时间窗口，在2027年12月之前完成准备，这正是我们想帮它们做的事。”

文档与指引

制造商还必须编制软件物料清单，即产品内部组件的结构化清单。公布并非强制，但市场监管机构可以要求查看。德国BSI TR-03183提供了格式模板；该模板明确不具约束力，也不构成合规的法律推定。欧盟委员会已发布实施指引，涵盖产品范围、实质性修改、支持期和报告义务。