欧盟委员会于 2026 年 7 月发布《网络韧性法案》实施指南：联网 UV 打印设备需核对什么

摘要：欧盟委员会于 2026 年 7 月 27 日发布《网络韧性法案》（CRA）实施指南，解释适用范围、重大修改、支持期、风险评估和报告义务。对带联网控制器、嵌入式软件、云端功能或远程维护能力的 UV 打印设备而言，指南值得纳入欧盟市场合规核对；但具体设备是否属于“含数字元素产品”，仍需按产品功能、供应链角色和法规文本逐项判断。

已确认的事件与日期

欧盟委员会官方发布页标明，CRA 实施指南发布于 2026 年 7 月 27 日。委员会称该指南面向制造商、开发者及不同规模企业，包含 67 个实际示例、用例、流程图和图表；指南本身为非约束性文件，用于帮助理解和准备实施，而不是替代 Regulation (EU) 2024/2847 的法律文本。

CRA 于 2024 年 12 月 10 日生效。委员会政策页确认，报告义务自 2026 年 9 月 11 日适用，主要义务自 2027 年 12 月 11 日适用。此次事件是 2026 年指南发布，不应写成 CRA 刚刚通过或全部义务已经同时生效。

指南澄清了哪些实施问题

委员会列出的重点包括：哪些产品进入 CRA 范围，尤其是远程数据处理方案和自由开源软件；什么构成“重大修改”；支持期如何理解；以及报告义务和网络安全风险评估如何满足。这些问题会影响制造商如何划定产品边界、记录软件组件和维护承诺。

对 UV 打印产业链，不能只看设备是否能上网。打印机控制器、嵌入式固件、RIP 或设备管理软件、远程诊断服务、云端作业功能可能形成不同的产品或服务边界。欧盟市场制造商、进口商、分销商及对产品做重大修改的经营者，承担的职责也不完全相同，应以官方指南和法律文本核对，而不是把所有联网打印机自动归为同一合规类别。

报告义务比主要义务更早

委员会报告义务页说明，自 2026 年 9 月 11 日起，制造商须报告“被积极利用的漏洞”以及影响含数字元素产品安全的严重事件。制造商知悉后须在 24 小时内提交早期预警，并在 72 小时内提交完整通知；被积极利用漏洞的最终报告不迟于纠正措施可用后 14 天，严重事件的最终报告期限为一个月。

通知通过 CRA Single Reporting Platform 单次提交，接收对象包括制造商主要营业地所在的 CSIRT，并通常同步提供给 ENISA。欧盟委员会称该平台应在 2026 年 9 月 11 日投入运行，当前功能与安全测试仍在进行。企业不能把 2027 年主要义务日期误当成所有事件报告工作的起点。

联网 UV 打印设备供应链怎么准备

• 建立产品边界：列出控制器、固件、RIP、设备管理软件、云端组件和远程服务，记录哪些随设备投放市场，哪些由第三方单独提供。
• 记录更新责任：明确固件和软件版本、支持期、漏洞接收渠道、补丁发布与客户通知流程，并保存供应商与开源组件清单。
• 形成事件升级路径：让售后、信息安全、质量、法务和欧盟责任主体共享 24 小时与 72 小时节点，避免安全告警只停留在维修工单。
• 核对重大修改：经销商、系统集成商或用户若改变联网功能、控制软件或安全属性，应评估是否影响原有合规结论。
• 分开处理物理与网络安全：机械、电气和 UV 辐射风险仍应按相应产品安全框架管理；可参考本站欧盟机械法规时间节点。

设备接入层面的 USB、千兆网与 10G 网口选择，可参考UV 打印机接口接入检查；但接口选择本身不等于 CRA 合规。其他法规事件可在政策与法规栏目继续核对，化学品危害沟通则应与墨水 SDS 与标签管理分开处理。

关键事实

• 欧盟委员会于 2026 年 7 月 27 日发布 CRA 实施指南。
• 指南为非约束性文件，含 67 个实际示例，并覆盖范围、重大修改、支持期、风险评估和报告。
• CRA 报告义务自 2026 年 9 月 11 日适用，主要义务自 2027 年 12 月 11 日适用。
• 被积极利用漏洞或严重安全事件的早期预警期限为知悉后 24 小时，完整通知为 72 小时。
• 联网 UV 打印设备是否适用需按具体功能、产品边界和供应链角色判断，不能仅凭“有网口”下结论。

常见问题

所有带网口的 UV 打印机都自动适用 CRA 吗？

不能仅凭网口判断。需核对设备、嵌入式软件、远程数据处理功能、投放欧盟市场方式及相关经营者角色。

2026 年 9 月 11 日是否代表全部 CRA 要求生效？

不是。该日期对应报告义务开始适用；委员会列出的主要义务适用日期是 2027 年 12 月 11 日。

24 小时内必须提交完整技术调查报告吗？

官方说明是 24 小时内提交早期预警，完整通知期限为 72 小时；之后还存在最终报告要求。

经销商给设备增加远程控制模块需要关注什么？

应记录改动是否改变联网功能或安全属性，并依据指南核对是否构成重大修改及是否改变供应链责任。

参考资料

1. European Commission：Commission publishes new guidance to support timely Cyber Resilience Act implementation（2026-07-27）
2. European Commission：Cyber Resilience Act 政策与适用时间页
3. European Commission：Cyber Resilience Act — Reporting obligations