钱包报告义务：解析《网络弹性法案》的内容

自2026年9月11日起，一项此前从未以这种形式存在的义务在整个欧盟范围内生效：任何在欧洲市场上商业化提供带有数字元素产品的人，必须在24小时内向主管机构报告被主动利用的漏洞，并通知受影响的用户该漏洞以及他们可以采取的补救措施。

对于您作为加密货币持有者而言，第二部分更为重要。它位于欧盟《网络韧性法案》（EU Cyber Resilience Act）的第14(8)条，并转变了谁必须确保您了解钱包问题的问题。到目前为止，这只是公司文化的问题。从现在起，这是一项法律义务，背后有罚款框架支持。

本文解释了具体的适用内容、适用时间、适用对象，以及记录的法律立场与过度解读之间的界限。因为该条例没有指名任何一个钱包品牌，任何从中得出受影响制造商名单的人，所写的内容都超出了法条本身。

自2026年9月11日起适用的内容：欧盟《网络韧性法案》第14条

《网络韧性法案》是条例 (EU) 2024/2847，通常简称为 Cyber Resilience Act 或 CRA。CRA于2024年12月10日生效，但仅从2027年12月11日起全面适用。第71(2)条包含一句话，颠覆了整个时间表：“本条例应自2027年12月11日起适用。然而，第14条应自2026年9月11日起适用，第四章（第35至51条）应自2026年6月11日起适用。”

第14条的标题是“制造商的报告义务”，因此是该条例中最早启用的部分。其他所有内容——合规性评估、CE标志、附件I中的基本网络安全要求——要到2027年才会到来。所以，现在任何读到CRA适用的地方，指的都是这一个条款。

核心内容一句话总结：制造商必须通过单一报告平台，同时向被指定为协调员的CSIRT和欧盟网络安全局（ENISA）报告其产品中每一个被主动利用的漏洞以及每一个严重的安全事件。

什么是CSIRT？计算机安全事件响应小组是成员国指定的接收、评估和传递安全事件的机构。在德国，联邦信息安全办公室（BSI）内的CERT-Bund是协调CSIRT，BSI还负责市场监管。

什么是被主动利用的漏洞？制造商知道攻击者已经在使用的安全缺陷。有人在实验室发现的理论间隙不会启动24小时计时。实践中的滥用才会。

为什么一项产品法规会涉及您的加密钱包

CRA不是金融法，也不是加密法。它是一种横向产品法，不关注设备管理哪些资产，只关注它是否是带有数字元素的产品，以及是否在欧盟市场上商业化提供。这正是它与加密托管相关的关键所在。

硬件钱包是具有固件的物理设备，通过USB、蓝牙或二维码与配套软件通信。钱包App是提供商提供下载的软件。根据其设计，两者都是第3(1)条所描述的“软件或硬件产品及其远程数据处理解决方案”。第2(1)条通过连接性划定了界限：该条例适用于其预期用途或合理预见的用途包括“与设备或网络的直接或间接逻辑或物理数据连接”的产品。

对于加密货币的托管，这就是发生变化的地方。如果您自己持有余额，您的安全取决于两件事：设备或软件的质量，以及在出现问题时您是否能及时发现。关于第一点，报告义务目前尚未涉及；相应的要求要到2027年才会生效。关于第二点，它具有立即生效的影响。哪些设备是可用的以及它们有何不同，请参见我们的硬件钱包对比；对于纯软件解决方案，相同的考虑因素也适用，但攻击面不同。