CRA 第 14 条自 2026 年 9 月 11 日起适用：发现被在野利用的漏洞，24 小时内向 CSIRT 与 ENISA 预警，72 小时内发出漏洞通知。法规规定了公告要写什么，却没规定长什么样、放在哪；第 14(8) 条要求必要时用「结构化、机器可读、可自动处理」的格式。这意味着一份要长期维护的文档，而不是事故当天的一篇通稿。
从 2026 年 9 月 11 日起，卖到欧盟的联网硬件和软件厂商，一旦发现被在野利用的漏洞，要在 24 小时内向监管方发出预警。时限写得极死。真正落在文档团队头上的不是这份报告，而是给用户的那份公告。法规只写了一句「知悉后应告知」，没给数字，也没给模板。
三个日期，两种义务
Regulation (EU) 2024/2847 在 2024 年 12 月 10 日生效。第 71(2) 条把适用时间拆成三段：正文自 2027 年 12 月 11 日适用，第 14 条的上报义务提前到 2026 年 9 月 11 日。第四章关于公告机构的部分，自 2026 年 6 月 11 日适用。
第 14 条给制造商定了三段节奏：
- 发现被在野利用的漏洞，24 小时内向协调 CSIRT 与 ENISA 发出早期预警
- 72 小时内补发漏洞通知，写清产品、漏洞性质、已采取的缓解措施，以及用户自己能做的动作
- 修复或缓解措施可用后 14 天内交终报
严重事件是另一条线：24 小时预警，72 小时事件通知，通知后一个月内交终报。这些报告走第 16 条的单一报告平台，收件方是监管方。用户那份公告，法规另有要求。
法规管内容，不管样子
第 14(8) 条才是给用户的那一条：知悉漏洞或严重事件后，制造商应告知受影响的用户，必要时告知所有用户。同时要说明用户可以自行部署的风险缓解与纠正措施。措辞里还带一句限定：「在适当情况下，采用结构化、机器可读、易于自动处理的格式。」
同一条还有一句更硬的：厂商没有及时告知，被通知的协调 CSIRT 可以在认为必要且相称时，直接把信息披露给用户。
附件一第二部分把「修复之后」也写死了：
- 安全更新一旦可用，就要公开已修复漏洞的信息，包括描述、受影响的识别信息、影响、严重程度和修复指引
- 安全更新要免费、及时分发，并附带公告信息，说明用户该采取什么动作
法规没有规定公告长什么样、发在哪里。安全页、知识库文章、更新日志、邮件、产品内横幅、CSAF，都可以。
法规把「写什么」写死了，把「怎么写」留给了你。
一份公告，四个问题
Document360 11 月 13 日的编辑指南把公告按读者的提问顺序拆开，这个顺序可以直接照抄。读者打开公告只问四件事：我是不是受影响，有多严重，现在做什么，接下来会发生什么。
- 摘要：产品名、问题类型、严重程度，加公告编号、首版日期、最后更新日期、作者与联系方式；三句话说清问题，和一个必做动作
- 细节：漏洞与利用方式、严重程度、受影响范围（认证、接口、数据）、根因分析的结论
- 影响：用日常语言讲攻击者能做什么，已经发生了什么
- 缓解与下一步：用户要做的动作（改密码、吊销令牌、轮换密钥），厂商已经修了什么，下次更新在什么时候
一份公告要同时被两类人读懂：摘要给高管和 IT 管理员，后几段给安全团队。写法上有个技巧，先说后果再说原因。「攻击者无需登录即可读取客户数据，原因是登录接口存在认证绕过。」反过来写，非技术读者会在第二句放弃。
发布前过三关，这是指南给的复核标准：安全专家确认技术细节、严重程度与修复方案无误；任意工程师读完，能定位受影响版本并照描述装上补丁；非技术读者只看摘要，能说清发生了什么、多严重、要做什么。
今天能做的
先诊断，再补页，最后回测，这条链路两件事各归一家。Baklib 负责内容底座这一段：公告、说明书、更新日志放在同一处托管。稳定地址、版本留痕、多语言、访问权限一处维护，一份内容多端输出。
策思路 C456 负责入口层这一段：做 GEO 诊断，看用户问「某产品漏洞怎么办」时品牌被提到几次、卡在哪类问题。再把答案页补回底座。
- 翻出最近一次安全更新对应的公告，查三件事：地址是否固定、有没有编号和最后更新日期、能不能说清受影响版本。
- 建一份公告模板，四段结构加三关复核，字段先定下来，下次出事直接填。
- 用策思路 C456 跑一次 GEO 诊断，把「产品 + 漏洞 + 怎么做」这类问题留成基线，答案页放进 Baklib 维护。
24 小时是给监管方的。公告没有截止日，只有失效日：发慢了，CSIRT 可以替你发，只是那句话不是你说的。
参考来源：How to Write Security Advisories for Cyber Resilience Act (CRA) Compliance（Document360，2026-11-13）；Regulation (EU) 2024/2847（Cyber Resilience Act 全文，第 14、71 条与附件一第二部分）（EUR-Lex，2024-11-20）
作者：辉哥（Baklib, C456 创始人）
提交反馈
博客
