自2026年9月11日起,欧盟《网络韧性法案》(CRA)要求软件制造商在发现被主动利用的漏洞后24小时内向监管机构报告。企业如何接收这些初步报告是一个关键但常被忽视的挑战。 近期对492家欧洲软件供应商的扫描显示,76%的企业未能发布 `security.txt` 文件(RFC 9116)。该标准文件为安全研究人员披露漏洞提供了重要的私密渠道。若缺乏此渠道,研究人员更有可能选择公开漏洞或向第三方报告,这可能会在企业察觉事件之前,便意外触发CRA法案规定的24小时合规时限。 由于CRA第14条适用于所有产品(无论其上市时间早晚),这种缺乏可访问联系方式的情况构成了重大的合规与安全风险。为缓解此风险,建议供应商立即实施 `security.txt`,以确保具备必要的可见性,从而在严格的规定时限内响应漏洞披露。