如果制造商向欧盟市场提供具备联网能力的机器人，应在2026年9月11日前让事件报告流程真正跑通。欧盟委员会CRA报告义务页面明确，制造商需要报告已被积极利用的漏洞，以及影响含数字元素产品安全的严重事件。这个日期不同于CRA在2027年12月11日全面适用的日期，不能把两项准备压成同一个截止点。
联网本身也不意味着所有机器人都会自动成为附件三的重要产品。企业应先划清整机、控制器、网关、云服务、维护应用和单独销售组件的产品边界，再核对排除情形、行业专门规则和产品分类。本文用于说明实施思路，不构成对某一型号的法律意见或合格评定结论。
2026年9月先启动的是报告机制
欧盟委员会CRA实施时间表把两个节点分得很清楚：报告义务自2026年9月11日起适用，CRA则自2027年12月11日起全面适用。截至2026年8月7日，机器人企业最紧迫的任务不是假装所有合规工作已经结束，而是确保漏洞或事件进入公司后能够完成接收、判断、批准和按时提交。
24小时内作出初步判断需要准确的产品地图。机器人本体、无线模块、车队云、维护终端和更新签名服务分别对应哪些型号与版本，必须能够快速查询。梳理通信边界时，可以结合ROS 2与DDS机器人网络安全指南，让研发和事件响应团队使用同一份系统视图。
| 时间 | CRA节点 | 机器人团队应完成的准备 |
|---|---|---|
| 2026年9月11日 | 漏洞和严重安全事件报告义务开始 | 接收、研判、批准和平台提交演练 |
| 2027年12月11日 | CRA全面适用 | 产品设计、文档、合格评定和支持体系完成 |
| 产品支持期 | 持续处理漏洞和安全更新 | 版本、修复、部署和停止支持决策可追溯 |
不要用“机器人”三个字代替产品范围判断
欧盟委员会CRA实施问答说明，框架面向在欧盟市场提供的硬件和软件产品，既包括最终产品，也可能包括单独投放市场的组件。因此，产品清单不应只有整机，还要分别记录单独销售的控制器、付费车队软件、远程维护网关和作为独立产品提供的软件开发包。
接下来需要核对提供方式、排除条款、行业专门制度，以及功能是否符合重要或关键产品类别。仅仅因为设备带有无线或远程访问，就把它标成附件三产品并不稳妥。企业应依据Regulation (EU) 2024/2847正式文本记录功能、技术描述、判断日期和专业复核结果。
把24小时和72小时变成内部处置时钟
制造商获知已被积极利用的漏洞，或影响产品安全的严重事件后，初步预警应在24小时内提交，完整通知应在72小时内提交。对于已被积极利用的漏洞，纠正措施可用后最迟14天内提交最终报告；严重事件的最终报告需在一个月内完成。委员会说明，制造商通过CRA统一报告平台一次提交。
流程文件要写明谁记录获知时间，谁判断是否存在积极利用，夜间或周末由谁批准，以及安全与网络安全调查如何共享证据。机器人停机、偏离路线或接受异常指令，可能是普通故障，也可能涉及凭据窃取、命令篡改、更新伪造或拒绝服务。分类要有证据，不能把所有机械故障都当成CRA报告事件。
| 报告阶段 | 官方时限 | 内部最少证据 |
|---|---|---|
| 初步预警 | 获知后24小时内 | 产品与版本、初步影响、利用或事件判断 |
| 完整通知 | 获知后72小时内 | 技术分析、影响范围、临时缓解措施 |
| 漏洞最终报告 | 纠正措施可用后14天内 | 根因、修复版本、部署和客户通知记录 |
| 严重事件最终报告 | 一个月内 | 事件过程、恢复、纠正措施和剩余风险 |
把本体、云端和供应商连成一条证据链
只看机器人序列号不足以确定网络安全影响范围。硬件修订版、固件、操作系统镜像、机器人应用、云租户、维护应用、证书和第三方组件之间应保持可重现的关联。供应商安全联系人，以及某个公开漏洞是否会到达已出货配置的判断依据，也应进入记录。
不必把某一种组件清单格式说成法律对所有产品的统一要求。真正要达到的结果，是制造商能够重现网络安全风险评估、漏洞处理、技术资料和报告结论。若网络攻击可能引发危险动作，还应连接机器人FMEA与STPA风险评估指南，避免安全修复造成未经评估的物理风险。
OTA既要安全部署，也要安全失败
机器人的安全更新不是单纯上传文件。签名验证、目标版本检查、分批发布、中断恢复、作业期间的更新限制和失败后的安全状态需要一起设计。如果控制栈只有一部分完成升级，新的软件假设可能与原来的安全配置不一致，造成停机甚至异常动作。
修复版发布后，还要按型号追踪已安装、失败、回滚、离线和停止支持的设备。可参考机器人OTA更新与回滚指南中的原子切换、健康检查和恢复路径，把部署结果变成最终报告和客户通知可以引用的证据。
报告和2027年合规工作应共用产品记录
面向2027年的产品计划应覆盖设计阶段风险评估、安全默认配置、访问控制、相关数据保护、攻击面缩减、漏洞处理、用户信息和技术文档。若事件团队使用云端部署名称，研发使用内部代号，合规文件又只写销售型号，短暂的报告窗口会浪费在身份核对上。
可以由产品负责人维护一份基准关系，连接销售型号、硬件版本、软件发布、在线服务和支持期限。合格评定路径可能随最终分类而变化，因此不能仅凭联网功能就认定所有机器人需要相同的外部评定程序。随着委员会指南、实施法案和协调标准推进，分类记录也要按日期更新。
在9月前用一次完整演练暴露缺口
可以模拟这样的场景：供应商通知车队网关使用的组件正被攻击者利用，但受影响的机器人版本起初并不清楚。团队启动获知时钟，确定承担责任的制造商，定位产品与版本，起草初步预警并取得批准，然后继续完成72小时通知，而不是在补丁生成后就结束演练。
演练应考核证据检索和决策，而不是文档外观。团队能否找到欧盟客户和受影响版本，能否区分已被利用与尚无利用证据的漏洞，能否在OTA修复完成前给出安全缓解措施，都应形成负责人和期限。这样才能把2026年的近期报告义务与通向2027年的产品改进分成两条可管理的工作线。
常见问题
所有联网机器人都是CRA附件三的重要产品吗？
不是。连接能力本身不能决定分类。制造商需核对市场提供方式、功能与技术描述、单独销售组件、排除情形和行业专门制度。
机器人制造商必须在2026年9月11日前完成全部CRA合格评定吗？
该日期启动的是已被积极利用漏洞和严重产品安全事件的报告义务。CRA从2027年12月11日起全面适用，因此近期报告流程与长期产品合规计划应分开推进。
机器人运营方需要在24小时内直接向统一平台报告吗？
委员会报告页面所指的报告主体是制造商。运营方、集成商和经销方仍应建立快速传递证据的合同与联系渠道，并另行确认自身可能承担的其他义务。
已核验的官方资料
2026-08-07