按基本网络安全要求进行安全设计并完成风险评估
严重度 极高Art. 13(1)-(3), Annex I Part I
制造商在将产品投放市场时，须确保其已按附件 I 第一部分的基本网络安全要求进行设计、开发与生产；为此须开展该产品相关的网络安全风险评估，并在规划、设计、开发、生产、交付与维护各阶段考虑评估结果，以最小化网络安全风险、防止事件并最小化其影响（含对用户健康与安全的影响）。风险评估须形成文档，并在支持期内适时更新；评估至少包括基于预期用途、合理可预见使用与使用条件（如运行环境或需保护的资产）的网络安全风险分析，并须说明附件 I 第一部分第 (2) 点的安全要求是否适用及如何实施。
- 触发条件
- 向欧盟投放具数字要素产品的中国制造商。对机器人与智能硬件企业而言，该风险评估应与人工智能法案第 9 条风险管理、机械安全风险评估合并规划，避免三套体系各写一份。
- 开始适用：2027-12-11
- 做完之后应留存的证据
- · 产品网络安全风险评估报告（含预期用途与运行环境分析）
- · 附件 I 第一部分逐条符合性说明
- · 安全设计评审与安全测试记录
- · 风险评估在支持期内的更新记录
首次达标投入估算：20–60 人日（估算，非承诺）
漏洞处置流程与软件物料清单（SBOM）
严重度 高Art. 13, Annex I Part II
制造商须按附件 I 第二部分建立并运行漏洞处置流程，覆盖漏洞识别与记录（含至少涵盖产品顶层依赖的软件物料清单）、及时修复或缓释、安全更新的分发、协同漏洞披露政策、以及漏洞信息的对外沟通。流程须在支持期内持续有效，并与第 14 条的报告义务衔接。
- 触发条件
- 向欧盟投放具数字要素产品的中国制造商。对大量使用开源组件与预训练模型依赖的 AI 产品，SBOM 的生成与维护通常需要改造 CI/CD 流水线。
- 开始适用：2027-12-11
- 做完之后应留存的证据
- · 漏洞处置流程文件与责任分工
- · 软件物料清单（机器可读格式）及其生成与更新记录
- · 协同漏洞披露政策与对外接收渠道
- · 安全更新发布记录与用户通知样本
首次达标投入估算：20–50 人日（估算，非承诺）
支持期的确定、公示与技术文档记录
严重度 高Art. 13(8), Annex VII
制造商须确定产品的支持期，期间须提供安全更新并维持漏洞处置。确定支持期时须考虑用户对支持时长的合理预期、产品的性质与预期用途、相关欧盟法、提供核心功能且来自第三方的集成组件的支持期，以及 ADCO 与委员会的相关指导，并须以比例的方式考量。除另有规定外，支持期不得少于五年；产品预期使用时间短于五年的，支持期与其预期使用时间相当。制造商须将确定支持期时考虑的信息写入附件 VII 技术文档。
- 触发条件
- 向欧盟投放具数字要素产品的中国制造商。商业影响直接：硬件毛利模型必须为五年安全更新留出成本，且第三方组件（含芯片 SDK、开源库、云推理依赖）的支持期短于五年时，须提前规划替代方案。
- 开始适用：2027-12-11
- 做完之后应留存的证据
- · 支持期确定说明（含所考量因素与比例性论证）
- · 第三方集成组件的支持期清单与到期跟踪
- · 面向用户的支持期公示材料
- · 技术文档中关于支持期的记载
首次达标投入估算：5–15 人日（估算，非承诺）
被积极利用漏洞的 24 小时 / 72 小时 / 14 日报告
严重度 极高Art. 14(1)-(2), Art. 16
制造商须就其知悉的、产品中存在的被积极利用的漏洞，通过第 16 条单一报告平台，同时向按第 14(7) 条指定为协调者的 CSIRT 与 ENISA 报送：知悉后 24 小时内提交预警（适用时指明已知产品在哪些成员国上市）；72 小时内提交漏洞通报（提供产品的一般信息、利用与漏洞的一般性质、已采取的纠正或缓释措施及用户可采取的措施，并指明制造商认为所报信息的敏感程度）；在纠正或缓释措施可用后不迟于 14 日提交最终报告（含漏洞描述与严重性影响、已知恶意行为者信息、已提供的安全更新或其他纠正措施细节）。
- 触发条件
- 向欧盟投放具数字要素产品的中国制造商。该义务自 2026-09-11 起先于条例全面适用而生效，企业不能等到 2027 年底再准备报送通道与值班机制。
- 时限：24 小时预警；72 小时漏洞通报；纠正或缓释措施可用后 14 日内最终报告。
- 开始适用：2026-09-11
- 做完之后应留存的证据
- · 漏洞与事件报告预案（含 24/72 小时与 14 日时限的任务分解）
- · 单一报告平台账号与提交回执
- · 被积极利用漏洞的判定记录
- · 面向用户的缓释措施通告与发布记录
首次达标投入估算：8–20 人日（估算，非承诺）
影响产品安全的严重事件报告
严重度 极高Art. 14(3)-(4), Art. 16
制造商须就其知悉的、对具数字要素产品的安全产生影响的严重事件，通过第 16 条单一报告平台同时向协调 CSIRT 与 ENISA 报送：知悉后 24 小时内提交预警，至少说明该事件是否疑似由非法或恶意行为造成，并在适用时指明已知产品在哪些成员国上市；72 小时内提交事件通报；并在事件通报提交后一个月内提交第 14(4)(c) 条的最终报告（含事件详细描述与严重性影响、可能触发事件的威胁类型或根因、已采取与进行中的缓释措施）。该义务自 2026-09-11 起适用。
- 触发条件
- 向欧盟投放具数字要素产品的中国制造商。第 14(7) 条对**在欧盟没有主要设立地**的制造商给出确定的顺位规则：依次取 (a) 代表该制造商最多具数字要素产品的授权代表所设立的成员国；(b) 投放其最多产品的进口商所设立的成员国；(c) 在市场上提供其最多产品的分销商所设立的成员国；(d) 其产品用户数最多的成员国——按制造商可获得的信息判断。因此「该向哪一国的协调 CSIRT 报送」在事件发生前就可以预先确定并写进预案。与 NIS2 第 23 条、GDPR 第 33 条、人工智能法案第 73 条构成四套并行的事件报告时限，应在同一事件响应预案中统一编排，避免漏报或重复口径不一致。
- 时限：24 小时预警；72 小时事件通报；事件通报提交后一个月内提交最终报告（第 14(4)(c) 条，相关信息已提供的除外）。
- 开始适用：2026-09-11
- 做完之后应留存的证据
- · 严重事件判定标准与分级记录
- · 24 小时预警与 72 小时通报的提交记录
- · 多法域并行报告的时限编排表
- · 事件后处置与用户通告记录
首次达标投入估算：5–15 人日（估算，非承诺）
向受影响用户通报漏洞或严重事件
严重度 高Art. 14(8)
制造商在知悉被积极利用的漏洞或影响产品安全的严重事件后，须将该漏洞或事件告知受影响用户，适当时告知全部用户；必要时一并告知用户可自行部署的风险缓释与纠正措施，适当时采用便于自动处理的结构化机器可读格式。制造商未及时告知用户的，被通报的协调 CSIRT 可以代为提供该信息。该义务与第 14(1)/(3) 条的报送由同一个「知悉」事件触发，是一项独立的对外告知义务，不因已向 CSIRT 与 ENISA 报送而免除。
- 触发条件
- 向欧盟投放具数字要素产品的中国制造商。实务要点：本条没有规定小时数，但它与 24 小时预警由同一时刻触发，因此用户通告的拟稿与发布通道应与报送预案同时启动，不能等最终报告完成后再做。
- 时限：无法定小时数；与第 14(1)/(3) 条同由「知悉」触发，条文要求「及时」（未及时则协调 CSIRT 可代为告知）。
- 开始适用：2026-09-11
- 做完之后应留存的证据
- · 面向受影响用户的通告文本与发布时间戳
- · 受影响用户范围的判定记录（为何是部分用户或全部用户）
- · 缓释与纠正措施的用户可执行说明
- · 结构化机器可读通告（如适用）的产出与分发记录
首次达标投入估算：2–8 人日（估算，非承诺）
合格评定路径选择、技术文档与 CE 标识
严重度 极高Art. 32, Art. 28, Art. 31, Annex III, Annex VII, Annex VIII
制造商须对产品及其自身流程开展合格评定，以确定是否满足附件 I 基本要求，可采用附件 VIII 的内部控制程序（模块 A）、EU 型式检验（模块 B）加基于内部生产控制的型式符合（模块 C）、基于完全质量保证的合格评定（模块 H），或在可得且适用时依第 27(9) 条的欧洲网络安全认证方案。对附件 III 第 I 类重要产品，若未适用或仅部分适用协调标准、通用规范或保证等级至少为"substantial"的欧洲网络安全认证方案，或此类标准方案尚不存在，则必须采用模块 B+C 或模块 H。对附件 III 第 II 类重要产品，必须采用模块 B+C 或模块 H（或适用的认证方案）。评定通过后编制附件 VII 技术文档、出具欧盟符合性声明并加贴 CE 标识。
- 触发条件
- 向欧盟投放具数字要素产品的中国制造商。须先确认产品是否落入附件 III 重要产品类别（这决定是否必须引入公告机构），并据此规划认证预算与排期。
- 开始适用：2027-12-11
- 做完之后应留存的证据
- · 产品类别判定记录（普通 / 附件 III 第 I 类 / 第 II 类 / 关键产品）
- · 合格评定报告或公告机构证书
- · 附件 VII 技术文档全套
- · 欧盟符合性声明与 CE 标识加贴证据
首次达标投入估算：30–90 人日（估算，非承诺）
欧盟授权代表与进口商/分销商链路管理
严重度 高Art. 18, Art. 19, Art. 20, Art. 28, Art. 31
制造商可以书面授权指定欧盟授权代表；第 13(1) 至 (11) 条、第 13(12) 条第一段与第 13(14) 条的义务不得构成代表授权的内容。代表的授权至少须使其能够：自产品投放市场起至少 10 年或支持期（以较长者为准）为市场监管机关保存第 28 条欧盟符合性声明与第 31 条技术文档；应市场监管机关合理请求提供证明产品合规所需的全部信息与文档；并就其授权范围内产品的风险消除行动配合市场监管机关。进口商与分销商另有第 19 条起的独立核验义务，因此渠道合同须明确文档交付与配合调查的责任分配。
- 触发条件
- 通过欧盟进口商、分销商或自有欧盟实体销售的中国制造商。实践中，欧盟进口商会要求你在供货前交付技术文档与符合性声明，否则其自身将承担第 19 条下的违规责任。
- 开始适用：2027-12-11
- 做完之后应留存的证据
- · 授权代表委任书与授权范围说明
- · 文档保存期限安排（10 年或支持期孰长）
- · 与进口商/分销商的合规责任分配条款
- · 渠道方索取文档与配合调查的处置记录
首次达标投入估算：5–15 人日（估算，非承诺）