欧盟《网络韧性法案》报告义务 9 月 11 日起实施：充电桩和逆变器企业要做什么

#时间表

#报告什么，多快报告

计时从制造商知悉时开始。报告通过统一报告平台一次提交，送达制造商主要营业地所在成员国指定为协调方的 CSIRT，除特殊情况外同时送达 ENISA。

“严重事件”指影响或可能影响产品保护数据或功能的可用性、真实性、完整性或保密性的事件，或导致或可能导致恶意代码在产品或用户系统中运行的事件。

制造商还须告知受影响的用户（适当时告知全部用户）漏洞或事件情况及可用的缓解措施，适当时采用结构化、机器可读的格式。

#已在售的产品也包括在内

2027 年 12 月 11 日前上市的产品，一般只有在发生“重大修改”后才受法案约束（第 69(2) 条）。报告义务是例外：第 14 条适用于所有这类在范围内的产品，不需要任何修改作为触发条件（第 69(3) 条）。企业在欧盟的存量产品，现在就在范围内。

#充电桩、逆变器、储能在范围内吗？

法案覆盖与设备或网络存在数据连接的“含数字元素产品”。带 OCPP 的充电桩、带 Wi-Fi 或 4G 监控的逆变器、接入云平台的储能系统、能量管理单元，都符合这一描述。

这些产品都没有出现在附件 III（重要产品）或附件 IV（关键产品）中。附件 III 列出的有路由器和调制解调器、操作系统、带安全功能的智能家居产品等；附件 IV 列出了智能电表网关。未列出的产品属于默认类别，自 2027 年 12 月起可由制造商自行评估符合性。

在此之前，在欧盟销售的联网无线电设备已须满足《无线电设备指令》的网络安全要求，依据 EN 18031 评估。

#现在该做什么

1. 建立 24 小时响应链。 明确谁接收漏洞报告、谁判断漏洞是否被积极利用、谁提交预警。
2. 准备统一报告平台的访问，并确认接收通报的 CSIRT。
3. 盘点存量产品。 列出在欧盟销售过的每个联网型号、固件版本，以及更新如何推送到现场设备。报告义务覆盖老产品。
4. 准备用户通知。 通告模板和发布渠道，最好可机器读取。
5. 为 2027 年 12 月做准备。 默认安全设计、支持期内的安全更新、软件物料清单（SBOM）都将成为要求。