重點摘要

• 《網路韌性法案（Cyber Resilience Act, CRA）》已於2024 年 12 月 10 日正式生效，幾乎適用所有於歐盟市場銷售的「具備數位元素的產品（Products with Digital Elements, PDEs）」。
• 漏洞與資安事件通報義務將於 2026 年 9 月 11 日起開始實施。製造商需在24 小時內提交初步警示（Early Warning），並於72 小時內提交完整通報。
• 自 2027 年 12 月 11 日起，所有產品必須全面符合 CRA 要求，包括 CE 標誌（CE-marking）及符合性評估（Conformity Assessment）。
• 不符合 CRA 規範者，最高可處以1,500 萬歐元或全球年度營業額 2.5%（取較高者）的罰款。
• CRA 要求企業建立機器可讀格式的軟體物料清單（Software Bill of Materials, SBOM）、導入安全設計（Secure-by-Design）開發流程、建立協調式漏洞揭露（Coordinated Vulnerability Disclosure, CVD）機制，並於產品預期生命週期內提供安全更新。
• 即使製造商並非位於歐盟，只要產品進入歐盟市場，仍須遵循 CRA 規範。

什麼是網路韌性法案（Cyber Resilience Act, CRA）？

CRA是歐盟制定的一項法規，針對所有進入歐盟市場的「具備數位元素的產品」建立法律拘束力的資安要求。作為歐盟首個跨產業的資安法規，CRA 要求製造商對硬體與軟體整個生命週期的安全性負責，涵蓋產品設計、開發、發布、維護，直到產品支援終止（End of Support）。

CRA 已以《Regulation (EU) 2024/2847》正式發布於《歐盟官方公報（Official Journal of the European Union）》，並於2024 年 12 月 10 日正式生效。CRA 建立了與實體產品安全法規相對應的資安 CE 標誌制度，並統一歐盟 27 個會員國的相關規範，取代過去各國針對連網產品採用不同資安標準的情形。

簡單來說，只要你的產品能連接網路、運行軟體，或本身就是具備連網能力的軟體產品，且在歐盟市場銷售，就受到 CRA 規範。

哪些企業需要遵守 CRA？

CRA 適用於具備數位元素的產品（PDEs）的產品製造商、進口商與經銷商。所謂具備數位元素的產品，指預期或合理可預見的用途中，能直接或間接與裝置或網路連線、進行資料交換的硬體或軟體產品。

這項定義刻意涵蓋相當廣泛，適用範圍包括：

• 連網硬體（Connected Hardware）：如路由器、智慧家庭設備、穿戴式裝置、工業控制器、醫療物聯網設備，以及連網汽車（未受其他產業專屬法規規範者）。

• 獨立軟體（Standalone Software）：如作業系統、行動應用程式、桌面應用程式、防毒軟體與身分管理工具。

• 嵌入式韌體（Embedded Firmware）：任何內建於連網設備中的韌體。
• 遠端資料處理服務（Remote Data Processing Solutions）：產品運作所需的雲端後端與相關資料處理服務。

無論企業總部位於何處，只要產品進入歐盟市場，即受 CRA 規範，例如美國 SaaS 服務提供商向德國銷售服務、日本 IoT 廠商將產品銷售至法國，或在荷蘭提供商業支援服務的開源基金會，皆受 CRA 約束。

不過， CRA 也設有部分例外情形。已受其他專屬法規規範的產品，如醫療器材、汽車、航空系統及特定海事設備，仍維持適用既有監管框架。此外，非商業性開源軟體開發者（Non-Commercial Open Source Developers）原則上可獲豁免於 CRA 罰款，但「開源軟體管理者（Open-Source Software Stewards，即對開源專案進行商業化或系統性支援的組織）」仍需履行較輕的法律義務。

CRA 何時開始生效？

CRA 採分階段實施方式，企業應特別關注以下三個重要時程：

• 2026 年 6 月 11 日 
  符合性評估機構（Conformity Assessment Body）通報制度開始適用，各國主管機關可指定負責認證高風險產品的機構。
• 2026 年 9 月 11 日 
  製造商須開始向歐盟網路安全局（ENISA）及各國電腦安全性事件應變小組（CSIRT）回報已遭利用的漏洞與重大資安事件。通報時程非常嚴格，包括 24 小時內提交初步警示、72 小時內提交完整通報；被利用之漏洞需於修補程式釋出後的 14 天內提交最終報告，重大資安事件則須於一個月內提交最終報告。
• 2027 年 12 月 11 日 
  CRA 全面生效，所有合規要求正式上路，包括安全設計要求、符合性評估、技術文件、CE 標誌、SBOM 建立、漏洞管理機制，以及於產品支援期間提供安全更新之義務。

自 2027 年12月11日起，未取得 CE 標誌且未符合 CRA 要求的產品，將無法合法進入歐盟市場。

CRA 六大核心要求

CRA 的合規要求分別規範於附件一（基本資安要求）與附件二（提供給使用者的資訊與產品說明），整體可分為六大類：

1. Secure-by-Design 與 Secure-by-Default

產品在設計、開發與生產階段，必須「依風險評估確保具備適當的資安防護能力」。這代表產品應採用預設安全設定(Secure-by-default）、將攻擊面降至最低，確保資料的機密性與完整性，並提供安全的更新機制。此外，身分驗證、存取控制及防止未經授權修改等安全機制，必須在產品設計階段即納入產品，而非事後額外補強。

2. 軟體物料清單（SBOM）

CRA 要求所有具備數位元素的產品皆須提供 SBOM。製造商需：

• 至少識別並記錄產品的直接相依套件。

• 以通用且機器可讀的格式產出 SBOM。雖未強制指定格式，但業界多採用SPDX或CycloneDX。

• 在產品支援期間持續更新 SBOM。

• 應於市場監管機關要求時提供 SBOM 。

需特別留意的是，CRA 並未要求製造商公開發佈SBOM，但需提供給監管機關。隨著企業採購要求提升，SBOM 也逐漸成為客戶在採購過程中會要求提供的重要文件。

3. 漏洞管理機制

製造商需在產品整個支援期間建立並維持完整的漏洞管理流程，CRA 要求包含：

• 建立協調漏洞揭露（Coordinated Vulnerability Disclosure, CVD）政策，並設置專責聯絡窗口。

• 建立機制以接收、分類與處理外部研究人員回報的漏洞。

• 提供免費且即時的安全性更新，並清楚通知使用者。必要時可採用自動更新機制，並附帶相關安全公告。
• 持續進行產品安全性測試與檢視，包括第三方元件。

4. 資安事件與漏洞通報

自2026 年 9 月 11 日起，製造商須通報以下事項：

• 已遭實際利用的產品漏洞

• 任何影響產品資安的重大事件。

相關通報必須透過 ENISA 及各國 CSIRT 共同管理的歐盟通報平台進行，通報時程固定如下：

24 小時內提交初步警示 → 72 小時內提交正式通報 → 依事件類型於 14 天或 1 個月內提交最終報告。

5. 符合性評估與 CE 標誌

CRA 將產品依風險程度分為四個等級，風險等級越高，所需的符合性評估程序也越嚴格：

• Default：可自行評估。

• Important Class I：產品可依協調標準（Harmonized Standards）自評，或交由驗證機構進行評估。 

• Important Class II（例如防火牆、密碼管理器、EDR 等）：必須接受第三方機構評估。 

• Critical：未來可能需取得歐盟資安認證。 

所有納入 CRA 範圍的產品，在進入歐盟市場前皆須取得 CE 標誌。 

6. 技術文件、產品生命週期支援與透明度

製造商必須建立完整技術文件，以證明產品符合 CRA 要求，明確定義產品支援期間（通常至少五年），提供清楚的使用說明，並於支援終止前通知使用者，使其能正確評估風險並做出決策。

CRA 如何分類具有數位元素的產品？

CRA 透過四種風險等級來決定製造商應採取的符合性評估路徑。

• 一般類別（Default Category） 
  約占整體產品的 90%。例如智慧喇叭、健身穿戴裝置、手機遊戲等。此類產品可由製造商自行進行符合性評估。

• 重要類別 I（Important Class I） 
  具備較高資安功能或風險的產品。例如獨立密碼管理工具、網路管理系統、智慧家庭中樞，以及用於關鍵應用的微控制器等。

• 重要類別 II（Important Class II） 
  一旦遭入侵或遭破壞可能對系統造成重大影響的產品。例如虛擬機管理程式（Hypervisors）、容器執行環境（Container Runtime）、防火牆、入侵偵測／防禦系統，以及公共金鑰基礎設施（PKI）發行機構等。

• 關鍵類別（Critical） 
  數量較少，但一旦失效可能影響關鍵服務的產品。例如硬體安全模組（HSM）、智慧電表閘道器，以及用於安全元件的智慧卡等。

正確判定產品所屬等級，是 CRA 合規計畫中最關鍵的前期決策之一，這將直接影響未來數年產品所需的’測試、技術文件準備與認證上的要求與路徑。

CRA 不合規會面臨哪些罰則？

CRA 採用與 GDPR 類似的罰款模式，即「固定金額或全球年度營收比例取其較高者」。

• 若違反附件一所列的基本資安要求，或違反第 13 與第 14 條所規範的製造商義務，最高可處以1,500 萬歐元或全球年營收 2.5%。

• 若違反其他規範，包含市場准入與文件管理要求，最高可處以 1,000 萬歐元或全球年營收 2%。

• 若向驗證機構或市場監管機關提供不實、不完整或具誤導性資訊，最高可處以 500 萬歐元或全球年營收 1%。

此外，各國市場監管機關亦可下令產品下架、召回或禁止進入歐盟市場。除罰緩外，商譽受毀損更是另一種難以量化的成本，一旦出現資安或法規事件，都可能直接影響客戶、合作夥伴及競爭對手的觀感。

企業如何準備 CRA 合規？七大行動建議

距離 CRA 正式上路的時間比許多企業想像中更短。多數企業通常需要約 18 至 24 個月，才能建立完整的工程流程、技術文件及通報能力。

1. 盤點納管產品範圍：將所有產品、服務與 SaaS 解決方案，依CRA「具數位元素的產品」定義進行盤點，包含嵌入式韌體、行動應用程式及遠端資料處理元件等。
2. 完成產品風險分級：依 Default、Important Class I、Important Class II、Critical 四個等級進行產品分類，以決定後續符合性評估方式。
3. 建立與維護完整 SBOM：採用 SPDX 或 CycloneDX 格式，完整記錄自有開發、第三方（含開源）的依賴項目。
4. 建立漏洞管理與揭露機制：制定協調漏洞揭露（CVD）政策，設置專責聯絡窗口，並將漏洞分級與處理流程整合至軟體開發生命週期（SDLC）。
5. 建立事件通報機制：於 2026 年 9 月 11 日前完成通報機制設計，建立標準作業流程（Runbook），涵蓋 24 小時初步警示、72 小時完整通報，以及 14 天／一個月的最終報告要求，並明確責任分工。
6. 將Secure-by-Design 納入開發流程：將 CRA 要求納入開發流程，包括威脅建模、程式碼審查、依賴套件更新與發布控管等，使安全設計成為產品開發的內建能力，而非事後補強。
7. 建立並維護技術文件：合規的關鍵，在於建立完整且可追溯的文件紀錄，必須依靠完整的紀錄軌跡，提出完整且可追溯的證明。因此，應建立版本化、可稽核的技術文件，並與產品開發同步更新。

Mend.io 如何協助企業符合 CRA 要求？

Mend.io 的應用程式安全（AppSec）與 AI 安全平台，正是為 CRA 所要求的合規證據而設計，包括軟體組成內容盤點、完成測試證明，以及可供監管機關稽核的修補紀錄。

• Mend SCA可產出精確且即時更新的開源元件清單，並輸出符合SPDX與CycloneDX格式的 SBOM。同時也能匯入第三方 SBOM，並套用VEX（Vulnerability Exploitability eXchange，漏洞可利用性交換）資料，協助企業更精確地向客戶與監管單位說明漏洞是否可被實際利用。

• 透過可達性分析可排除實際上無法被利用的漏洞，協助工程團隊專注處理真正具風險的問題，這在 CRA 要求 24 小時內提出弱點通報的情境下尤為關鍵。

• Mend SAST 可針對自有程式碼進行靜態安全分析，協助企業符合 CRA 對 Secure-by-Design 與持續安全測試的要求。

• 自動化修補機制可直接建立包含修補程式的PR （Pull Request）並追蹤至合併完成，提供符合 CRA 要求之安全更新與漏洞處理的可稽核流程。

• 在AI 治理面，平台可同時盤點 AI 元件與模型，與傳統軟體一併管理，讓同時受 CRA 與歐盟 AI Act 規範的 AI 產品能在單一流程中進行管理。

整體而言，Mend.io 能建立一套單一且可管理的紀錄系統，協助產出 CRA 符合性評估所需的 SBOM、漏洞證據與修補歷程避免企業目前依賴傳統人工表單或分散式試算表管理的問題。

常見問題

1. 《網路韌性法案》（Cyber Resilience Act, CRA）何時正式生效？ 
   CRA 已於 2024 年 12 月 10 日正式生效。漏洞與資安事件通報義務自 2026 年 9 月 11 日起適用，而完整合規要求則自 2027 年 12月 11日起全面實施。 

2. CRA 是否適用於開源軟體？ 
   CRA 對非商業性開源軟體開發者提供罰則豁免，但新增「開源軟體管理者」類別，適用較寬鬆的法律義務。若製造商在產品中發布開源元件，仍需對其安全性負最終責任。

3. CRA 是否強制要求 SBOM？ 
   是的。製造商必須為每個具數位元素的產品建立可機器讀取的 SBOM，至少涵蓋直接引用套件，並持續更新，同時須於市場監督主管機關要求時提供SBOM，但無需對外公開。 

4. CRA 違規罰則有哪些？ 
   若違反核心資安要求，最高可處 1,500 萬歐元或全球年營收 2.5%（取較高者）。其他一般違規最高可處 1,000 萬歐元或 2% 營收；提供不實或誤導資訊者，最高可處 500 萬歐元或 1% 營收。

5. CRA 是否適用於歐盟以外的企業？ 
   是的。只要產品被販售至歐盟市場，無論企業總部設於何處，皆適用 CRA 規範。 

6. CRA 與 NIS2 有何不同？ 
   NIS2 規範的是關鍵與重要服務營運者（如公共事業、金融、醫療等），CRA 則是規範這些組織及其他使用者所使用的「產品」。許多組織會同時受到兩者規範。 

7. 什麼是「具備數位元素的產品（Product With Digital Elements）」？ 
   指預期用途具備與裝置或網路進行連線、資料交換功能的硬體或軟體產品，涵蓋物連網硬體裝置、嵌入式韌體、獨立軟體、行動應用程式，以及產品運作所需的遠端資料處理元件。

結語：將 CRA 合規轉化為競爭優勢

CRA將重塑歐洲軟硬體市場格局，其影響程度可比擬 GDPR 對資料隱私保護帶來的轉變。若企業僅將其視為文件作業，將在 2027 年面臨合規壓力；但若將其視為推動安全設計開發、完善軟體資產盤點，以及建立系統化漏洞管理的契機，則更有機會打造出歐盟客戶、監管機關與採購單位優先選擇的產品。

相關準備應儘早展開，企業需完成產品盤點、風險分類、建立 SBOM、建立技術文件、完善各項流程，並於 2026 年 9 月 11 日前建置完整通報機制。

若希望進一步落實 CRA 合規於實務營運，歡迎與我們聯繫，了解如何建立 SBOM 、自動化漏洞修補流程，以及可供稽核的合規證據體系。➤https://www.gss.com.tw/mend-io