网络韧性法案如何改变中国联网产品制造商的欧洲责任

一件联网产品在欧洲销售成功后，制造商的工作并没有结束。漏洞被利用时，经销商需要总部回应，总部可能依赖第三方组件，用户则需要立即知道如何保护设备。《网络韧性法案》让这条责任链成为中国制造商必须提前解决的经营问题。

部分义务已经开始适用。自2026年9月11日起，法规覆盖的产品发生被积极利用的漏洞或严重安全事件时，制造商需要履行报告义务，其中包括在知悉后的二十四小时内发出早期预警，以及七十二小时内提交通知。后续报告要求取决于具体事件类型。[7]

法规的主要规定将于2027年12月11日适用，但这并不意味着所有准备工作都可以等到2027年。委员会说明，报告制度也涉及已经投放市场的产品。企业需要分别判断上市时间、是否发生实质性修改，以及正在讨论的是哪一项义务。[8]

以一家向欧洲销售工业网关的制造商为例。一个通用软件库的缺陷，可能同时影响不同品牌、不同版本的设备。企业需要能够迅速识别受影响范围，明确谁决定报告，以及谁向用户发布保护措施。经销协议中的责任安排应当与实际响应流程相匹配。

实际准备包括建立产品安全联系人、记录关键组件依赖、安排跨时区决策流程，并为持续维护配置预算。如果欧洲销售团队承诺很长的支持期限，而总部没有相应的修复能力，这一差距最终会成为客户信任问题。

委员会在2026年发布的实施指引，对适用范围、实质性修改、支持期限与漏洞管理等问题作出解释。企业可以据此提出更准确的问题，但仍需结合具体产品判断，不能把一般指引当成产品已经合规的证明。[9]

参与欧洲规则实施讨论时，制造商可以联合当地合作伙伴，说明某类产品遇到的共性困难，提出可测试的技术方案、清晰的文档要求或一致的解释方法。对外材料应保护敏感漏洞细节。Belief System的工作可以连接总部、进口商和欧洲相关方，使事故沟通与正式报告协调一致。客户最终判断的是措施是否及时、说明是否可信，而不是企业是否宣称自己“绝对安全”。