加密钱包制造商现在必须在发现漏洞被利用后24小时内通知监管机构

商业制造商的连接硬件钱包或钱包软件如果符合欧盟的产品测试要求，必须在发现被主动利用的漏洞或严重安全事件后24小时内警告网络安全机构。

这一要求于2026年9月11日根据欧盟的网络韧性法案（Cyber Resilience Act，CRA）生效。欧盟委员会的报告指南表示，计时适用于具有数字元素的产品制造商。

CRA是一项横向产品法律。委员会的实施常见问题解答表示，该法律适用于在欧盟市场上提供的硬件和软件。法律测试还要求产品的预期或合理可预见的使用包括与设备或网络的直接或间接数据连接。

一个商业供应的连接硬件钱包或可下载的钱包应用程序可以满足该测试。然而，欧盟的指导并未列出钱包品牌或声明每个钱包服务或项目都在覆盖范围内。覆盖范围取决于具体产品、供应方式及任何适用的排除条款。

制造商必须报告的内容

首次提交是一个早期警告，必须在制造商意识到漏洞或事件后不迟于24小时内及时提交。它必须指明（如适用）产品已知在何成员国提供。对于严重事件，警告还必须说明是否怀疑存在非法或恶意行为。

更全面的通知必须在72小时内提交，除非相关信息已被提供。对于被主动利用的漏洞，该提交还需添加有关产品、漏洞和利用的基本信息，以及纠正或缓解措施。对于严重事件，还需添加事件性质、初步评估和可用的缓解信息。

最终截止日期因事件而异。漏洞报告必须在纠正或缓解措施可用后不迟于14天内提交。CRA规定，严重事件的最终报告截止日期为72小时通知后的一个月，如法规所述。

制造商通过欧盟网络安全机构ENISA推出的单一报告平台进行一次性提交。该门户将通知发送给指定的协调计算机安全事件响应团队，并将信息提供给ENISA，然后支持分发给其他相关国家团队。制造商还必须通知受影响的用户，并在必要时通知所有用户采取行动，包括他们可以采取的措施。

报告规则适用于在2027年12月11日之前投放市场的范围内产品。这使得新的计时与现有产品线相关，而不仅仅是法律更广泛生效后首次销售的钱包。

开源许可并不构成全面豁免。委员会的开源指导表示，商业供应的免费和开源产品可能面临制造商义务。其制造商提供的非货币化软件不应视为商业活动，而个人贡献者在其责任范围外的软件中不被视为制造商。

开源软件的管理者是一个独立的法律类别，他们的报告义务从2027年12月11日开始。这也是CRA的主要产品安全要求生效的时间。9月11日的变更启动了快速报告机制，而不是法律更广泛的安全设计和产品生命周期框架。