什麼是 CRA？歐盟網路韌性法完整指南

一句話回答
CRA（Cyber Resilience Act，歐盟網路韌性法）是歐盟要求「所有在歐盟銷售的數位產品，從設計到下市都必須做好資安」的法規；不論公司設在哪裡，只要產品賣進歐盟就要遵守。

重點速覽

• 法規編號 Regulation (EU) 2024/2847，2024 年 12 月 10 日生效。
• 管的是「具數位元素的產品」：會連網或連接其他裝置的硬體、軟體、韌體，包含純軟體。
• 2026 年 9 月 11 日起，漏洞與事件通報義務已經上路，連已經在賣的舊產品也適用。
• 2027 年 12 月 11 日全面適用，產品須符合要求並貼 CE 標示才能在歐盟銷售。
• 違規最高可罰 1,500 萬歐元或全球年營業額 2.5%，取較高者。
• CRA 不是一次性認證，而是產品整個支援期內的持續義務。

什麼是 CRA？

CRA 是歐盟第一部針對「產品本身」的橫向資安法規。過去歐盟的資安法規（例如 NIS2）多半管「組織」——要求企業保護自己的系統；CRA 則管「產品」——要求製造商賣出去的東西本身就要安全。

歐盟推出 CRA 想解決兩個問題：

1. 市面上很多連網產品資安水準太低，而且賣出去之後就不再更新。
2. 消費者和企業無法判斷產品安不安全，資訊不透明。

所以 CRA 把責任放在製造商身上：設計時就要考慮資安、上市時不能帶已知可被利用的漏洞、支援期內要持續提供安全更新，並且要公開告訴使用者產品會支援多久。

誰需要遵守 CRA？

三種角色

以自有品牌銷售，或對產品做重大修改的，視同製造商。 對台灣常見的 OEM／ODM 模式來說，誰以自己的名義把產品賣進歐盟、誰控制產品，就要負製造商責任——這需要在合約中寫清楚。

我的產品要管嗎？三個問題判斷

1. 它是硬體、軟體或韌體產品嗎？（獨立販售的軟體也算）
2. 它會在歐盟市場上提供嗎？（收費或免費都算）
3. 它的預期用途包含資料連接嗎？——直接或間接、實體或邏輯連接都算。USB、藍牙、序列埠、API、透過電腦間接更新韌體，都屬於資料連接。

三題都是「是」，就在 CRA 範圍內。

雲端服務算不算？ 一個好用的判斷方法：如果切斷這個雲端服務，你的硬體還能發揮它宣稱的核心功能嗎？如果不能，這個雲端服務就屬於產品的「遠端資料處理」，製造商要一起負責。

不適用 CRA 的產品

非商業性的開源軟體、純 SaaS 服務（改適用 NIS2）、醫療器材、航空設備、車輛、國防與國家安全專用產品、船舶設備——這些已有其他專門法規管理。

產品怎麼分級？

CRA 依產品的資安重要性分成四類，等級決定你可以自己評估，還是要找第三方：

分類看的是產品的核心功能，不是產品名稱或行銷說法。

CRA 的核心要求

CRA 附件一把要求分成兩部分。

第一部分：產品安全要求（舉例）

• 預設安全設定，使用者可以恢復原廠設定
• 防止未授權存取（身分驗證、存取控制）
• 保護資料的機密性與完整性（加密）
• 盡量縮小攻擊面，關閉不必要的介面
• 記錄並監控與安全相關的活動
• 使用者可以安全地刪除資料
• 上市時不得含有已知可被利用的漏洞
• 可行時提供自動安全更新，並允許使用者選擇關閉

第二部分：漏洞處理要求

• 建立並維護軟體物料清單（SBOM）
• 及時修補漏洞並提供免費的安全更新
• 定期測試產品安全性
• 建立並公開協調漏洞揭露政策
• 提供回報漏洞的聯絡管道
• 漏洞修補後公開相關資訊

什麼是 SBOM？

SBOM（Software Bill of Materials，軟體物料清單）就像產品的「成分表」，列出產品用了哪些軟體元件、哪個版本。CRA 要求：

• 使用機器可讀的格式（常見為 SPDX 或 CycloneDX）
• 至少涵蓋最上層的相依元件
• 隨每次版本發布持續更新
• 主管機關要求時提供，不需要公開

技術文件與支援期

製造商要準備技術文件（產品說明、風險評估、測試結果、符合性證明、更新與漏洞處理紀錄），保存 10 年或支援期，取較長者。產品的支援期（會提供安全更新多久）必須明確告知使用者。

通報義務：24 小時、72 小時、14 天

自 2026 年 9 月 11 日起，製造商一旦得知以下兩種情況，就必須通報：

1. 產品中已遭積極利用的漏洞
2. 影響產品安全的嚴重資安事件

通報透過歐盟網路安全局（ENISA）的單一通報平台，送交主要據點所在國的電腦資安事件應變小組（CSIRT）。製造商也要通知受影響的使用者。

注意：通報義務適用於所有在歐盟市場上的產品，包括 2027 年以前就已經上市的舊產品。

時程

截至 2026 年 10 月，CRA 的調和標準仍在草擬中。歐盟執委會已在 2026 年 7 月發布實務指引，ENISA 也發布了中小企業韌性成熟度評估模型。

罰則

除了罰款，主管機關也可以要求產品下架或召回。

如何準備 CRA：五個階段

1. 盤點產品：列出所有會賣進歐盟的產品與版本，判斷是否在範圍內、屬於哪一類。產出：產品清單與分類。
2. 差距分析：對照附件一的產品安全與漏洞處理要求，找出還沒做到的地方。產出：差距分析表。
3. 建立安全開發流程與 SBOM：把資安納入開發流程，為每個版本產生 SBOM 並持續監控元件漏洞。產出：開發程序、SBOM。
4. 建立漏洞處理與通報機制：設立產品資安事件應變小組（PSIRT）、漏洞揭露政策、通報範本，確認你的通報對象（CSIRT）。產出：漏洞處理程序、通報流程。
5. 準備技術文件與符合性評估：整理技術文件、決定評估模組、簽署歐盟符合性聲明、貼 CE 標示。產出：技術文件、符合性聲明。

先做這幾件事（現在就可以開始）

• 組成跨部門專案小組（研發、品保、法務、客服）
• 確認哪些產品在歐盟銷售、銷售到哪些國家
• 確認通報流程——因為通報義務已經上路
• 挑一個產品先試做 SBOM
• 盤點現有的資安文件與證據，看看有哪些可以沿用

常見誤區

• 以為只管硬體。 獨立販售的軟體、韌體、App 都算。
• 以為 2027 年才需要動。 通報義務 2026 年 9 月已經上路，而且舊產品也適用。
• 把 CRA 當成一次性認證。 支援期內要持續處理漏洞、更新 SBOM、提供安全更新。
• 以為雲端功能跟產品無關。 切斷雲端產品就不能用的話，雲端服務也在範圍內。
• 等事件發生才組小組。 24 小時的通報時限，沒有事先準備好的流程幾乎不可能趕上。

CRA 與其他法規的關係

延伸閱讀：〈什麼是 ISO 27001〉、〈什麼是 SEMI E187〉

Guidant AI 如何協助

CRA 要求的是「整個產品生命週期都有紀錄、都拿得出證據」。Guidant AI 把這些要求變成可以分工、可以追蹤的工作。

• CRA 合規框架：附件一、附件二的要求已整理成控制項，每條附建議證據，可直接啟動專案。
• 產品與版本盤點：把每個產品、版本與支援期登錄管理，支援期快到時提醒負責人。
• 任務與證據：每一條要求拆成任務指派給研發、品保、法務，證據直接掛在對應項目下。
• SBOM 與元件弱點掃描：上傳原始碼或 SBOM，產出標準格式的 SBOM 與弱點報告，並可週期性重掃。
• 內部稽核與改善計畫：在 2027 年前先做內部檢查，缺失直接產生改善計畫。

Guidant AI 不是公告機構，不會核發 CE 標示或符合性證明。

預約產品展示 →

看 Guidant AI 怎麼對應 →

常見問題