HIGH-TECH · EU CYBER RESILIENCE ACT
高科技 CRA 解決方案
從安全需求、SBOM、弱點管理到軟體更新，建立可持續驗證的產品資安合規主線。
銳碁資訊協助高科技、電子、半導體、IoT、連網設備、工業設備與軟硬體產品企業，把法規要求連到產品、軟體、測試、發布與上市後證據。服務聚焦流程、資料與系統整合，不提供法律意見，也不保證合格評定、CE 標示或產品符合法規。
Secure by DesignSBOM弱點管理軟體更新合規證據
Connected Product → Security Requirements → SBOM → Verification → Update → Compliance Evidence
01 · REGULATION OVERVIEW
CRA 是什麼？
本頁 CRA 僅代表 EU Cyber Resilience Act（歐盟《網路韌性法》），不是品質管理中的 CAR（Corrective Action Request），也不是 SCAR。
正式法規Regulation (EU) 2024/2847針對具數位元素產品的橫向產品資安法律。
公布／生效2024-11-20／2024-12-10刊載於歐盟官方公報後第 20 日生效。
分階段適用2026-06-11／09-11／2027-12-11合格評定機構章節、Article 14 通報義務與主要產品義務分階段適用。
管理範圍設計、開發、上市與支援期涵蓋風險評估、弱點處理、更新、技術文件與上市後監控。
具直接或間接邏輯或實體資料連線、並在歐盟市場商業提供的產品可能落入範圍；醫療、車用、航空等受特定歐盟法規涵蓋的產品及其他排除情形須個別確認。純軟體與遠端資料處理解決方案亦應依正式定義與產品情境判定。
02 · BUSINESS IMPACT
高科技企業為什麼需要關注
IoT、消費電子、工業控制、網通設備、嵌入式軟體、商用軟體、半導體模組、OEM／ODM／EMS，以及輸入或經銷歐盟市場產品的企業，都可能受到影響；是否適用仍須依產品情境判定。
產品是否屬具數位元素產品不清楚
企業角色與責任難以判定
安全需求未納入研發流程
軟體、韌體與第三方元件不可追溯
SBOM 與開源弱點無法持續更新
缺少威脅模型與客觀風險證據
弱點處理期限、責任與通報流程不明
安全更新、OTA 與發布證據分散
供應商元件資安證據不完整
支援終止責任與技術文件未定義
03 · CORE CAPABILITIES
把法規義務轉成可執行的管理能力
每項能力都要回答四件事：管理目的、實際工作、保留證據，以及由哪個部門與系統負責。
01 適用性與產品分類盤點市場、產品連線、用途、企業角色與排除條款；保存判定依據。Product、Legal／Compliance 與 PLM 共同管理。
02 Product Security Governance建立政策、權責、審查與升級機制；保存決策、核准與稽核紀錄。Management、Security 與 QMS 負責。
03 Cybersecurity Risk Assessment識別資產、威脅、攻擊面與剩餘風險；保存評估、處置與接受決策。Security、R&D 與 Requirement Management 負責。
04 Security Requirements把法規與風險轉為可驗證需求；保存需求、來源、分配及驗證關係。Product、R&D 與需求系統負責。
05 Secure by Design／Default將安全架構、最小權限與安全預設納入設計審查；保存架構、威脅模型及審查紀錄。
06 SBOM追蹤元件、版本、來源、依賴與產品組態；保存可重建的軟體物料清單。ALM、SCA 與 PLM 共同維護。
07 Open Source Governance管理開源來源、授權、版本、弱點與替代策略；保存掃描、核准與例外紀錄。OSPO、Legal、DevSecOps 負責。
08 Supplier Security定義元件資安資料與通知要求；保存供應商聲明、SBOM、修補及評估證據。採購、SQE 與 Supplier Portal 負責。
09 Secure Development Lifecycle將安全活動納入開發、程式審查、建置與發布；保存管線、掃描、核准與基線。R&D、DevSecOps 負責。
10 Security V&V由風險與需求驅動測試；保存案例、環境、結果、缺陷與再驗證。Test Management 與 R&D 負責。
11 Vulnerability Management持續接收、評估、修補與揭露弱點；保存 CVE、可達性、風險、期限與決策。PSIRT／Security 負責。
12 Incident／Regulatory Reporting建立偵測、法律判定、24／72 小時節點與正式通報工作流；保存事件、時間軸與提交證據。
13 Software Update／OTA安全建立、簽署、核准、部署與回復更新；保存發布、相容性、部署與結果紀錄。ALM、DevSecOps、PLM 負責。
14 Configuration／Release建立軟硬體基線與可重建發布包；保存料號、BOM、版本、變更及發布核准。PLM、ALM、Configuration Management 負責。
15 Technical Documentation組合風險、需求、架構、測試、聲明與使用資訊；保存受控版本與核准。Compliance、QMS 與文件系統負責。
16 Post-market Monitoring監控弱點、事件、客戶與供應鏈訊號；保存趨勢、處置、通知與改善紀錄。Product Security、Service 負責。
04 · PRODUCT LIFECYCLE
CRA 控制貫穿產品生命週期
R&D、IT、Security、Quality、Legal、Product Management 與供應鏈必須在同一個產品脈絡下分工。
適用性與分類 → 風險與需求 → 架構／威脅模型 → 開發／SBOM → 安全測試 → 合格評定／發布 → 弱點監控／通報 → 更新 → 支援終止
05 · COMPLIANCE DIGITAL THREAD
法規要求一路追溯到發布與證據
資料不必全部存入同一系統；關鍵是每套系統負責自己的主資料，並用穩定識別碼與關係維持端到端追溯。
CRA Requirement → Product Requirement → Architecture → Component／SBOM → Vulnerability → Test → Risk Decision → Change → Release／Update → Evidence
PLM產品、料號、BOM、硬體、文件、工程變更與產品版本
ALM軟體需求、程式版本、缺陷、變更、建置與發布
Requirement Management法規、合規及產品需求與驗證關係
DevSecOps程式碼掃描、套件、CI/CD、安全測試與部署
SBOM／SCA軟體元件、授權、版本、依賴與弱點
Vulnerability ManagementCVE、可達性、風險、修補與例外
Test Management測試案例、環境、執行結果與驗證證據
Configuration Management軟硬體基線、組態與發布
QMS流程、稽核、不符合事項與持續改善
Supplier Portal供應商元件、聲明、SBOM 與資安證據
06 · ROLES & EVIDENCE
角色責任與主要證據
Manufacturer、Importer 與 Distributor 的法律責任應以 CRA 正式文本與實際供應鏈角色判定；企業內部角色用來執行與保存證據。
| 角色 | 主要責任 | 輸入／核准 | 主要證據 |
|---|
| Manufacturer | 產品風險、基本要求、技術文件、符合性程序、弱點處理與通報 | 產品定義、風險、支援期與發布 | 技術文件、聲明、更新與通報紀錄 |
| Importer | 確認製造商完成 CRA 要求並保存必要資訊 | 製造商、產品與符合性資料 | 查核、聯絡與供應鏈紀錄 |
| Distributor | 以適當注意義務確認產品標示、文件與已知不符合情況 | 產品、標示與供應鏈資訊 | 查核、通知與矯正配合紀錄 |
| Product Management | 產品範圍、市場、支援期與發布決策 | Roadmap、用途與市場 | 產品分類與 EOL 計畫 |
| R&D | 安全需求、架構、開發與修補 | 需求、威脅、缺陷與變更 | 設計、程式、審查與版本 |
| Product Security | 風險、弱點、事件與通報協調 | 弱點、事件與情報 | 風險決策、PSIRT 與通報紀錄 |
| Quality／Compliance | 流程、技術文件、合格評定與稽核證據 | 流程、測試與聲明 | 技術檔案、核准與稽核軌跡 |
| IT／DevSecOps | 安全工具鏈、CI/CD、發布與存取控制 | 程式、套件、基線與部署 | 掃描、建置、簽署與部署紀錄 |
| Supplier／OSPO | 元件證據、開源治理與弱點通知 | SBOM、授權與供應商聲明 | 清單、評估、核准與例外 |
| Management Reviewer | 資源、重大剩餘風險與上市決策 | 風險、缺口與準備度 | 管理審查與決策紀錄 |
CRA Applicability AssessmentProduct Classification RecordCybersecurity Risk AssessmentSecurity RequirementsThreat ModelSecure Development PlanSBOM／Open Source InventorySupplier Security AssessmentVulnerability RecordSecurity Test Plan／ReportResidual Risk DecisionIncident Response PlanVulnerability Disclosure ProcessRelease／Update RecordTechnical DocumentationConformity EvidencePost-market RecordEnd-of-Support PlanAudit Evidence
07 · ADOPTION ROADMAP
從產品盤點到上市後監控
先選一項代表性產品建立完整證據鏈，再逐步擴展到產品線、供應商與市場。
- Phase 1適用性與產品盤點產品清單、歐盟市場、連線型態、角色與初步分類。
- Phase 2Gap Analysis義務對照、成熟度、風險、工具與資料缺口。
- Phase 3流程與責任設計RACI、政策、審查關卡、弱點與事件流程。
- Phase 4需求與證據模型法規需求庫、追溯模型、文件模板與證據清單。
- Phase 5系統整合PLM／ALM／DevSecOps／SBOM 主資料與介面設計。
- Phase 6試點產品完整 SBOM、風險、測試、發布與技術文件演練。
- Phase 7上市前審查準備度、剩餘風險、合格評定路徑與核准紀錄。
- Phase 8上市後持續改善監控、通報、修補、更新、指標與管理審查。
以下為一般資訊；正式判定仍應依最新法規、主管機關指引、產品情境與專業意見確認。
1. EU CRA 是什麼？
CRA 是 Regulation (EU) 2024/2847，針對在歐盟市場提供的具數位元素產品建立全生命週期資安要求。
2. 哪些高科技產品可能受到 CRA 影響？
IoT、連網設備、消費電子、工業設備、網通設備、嵌入式軟體、商用軟體與部分元件都可能涉及；需依產品連線、用途、商業提供、排除條款及專法判定。
3. 純軟體是否可能適用 CRA？
可能。需判斷是否在商業活動中於歐盟市場提供、是否符合具數位元素產品或遠端資料處理解決方案定義，以及是否有排除情形。
4. CRA 與 CE 標示有什麼關係？
CRA 建立基本資安要求與合格評定框架；產品仍須依適用程序準備技術文件與符合性聲明。具體路徑取決於產品分類與其他適用法規。
5. CRA 是否強制要求 SBOM？
法規要求製造商識別並記錄產品所含元件（包括軟體元件）及相關弱點管理資訊。企業可用 SBOM 支援此能力，但實際格式、揭露範圍與交付方式需依正式文本與最新指引判定。
6. 開源軟體在 CRA 下如何管理？
需區分未在商業活動中提供的自由開源軟體、商業產品中的開源元件，以及 open-source software steward。企業仍應追蹤來源、版本、弱點與修補責任。
7. 發現弱點或事件後需要做什麼？
先啟動技術分級與法律適用判定。Article 14 適用後，製造商對已被主動利用的弱點與影響產品安全的嚴重事件，須透過 ENISA SRP 依 24／72 小時及後續最終報告節點辦理。
8. CRA 與 NIS2 有什麼不同？
CRA 聚焦產品市場准入與產品生命週期資安；NIS2 主要規範特定重要或必要實體的組織治理與網路資訊系統風險。企業可能同時受到兩者影響。
9. CRA 與 RED 資安要求如何銜接？
無線產品可能同時涉及 RED 與 CRA。重疊、過渡與適用方式應依產品類型、最新歐盟法規及主管機關指引確認。
10. CRA 與 ISO 27001、IEC 62443、ETSI EN 303 645、NIST SSDF 有什麼關係？
這些是管理系統、產業標準或開發框架，可支援部分控制與證據，但本身不等於 CRA 合規，也不能取代正式適用性與合格評定判定。
11. CRA 與 CAR／SCAR 是否相同？
不同。CRA 是 EU Cyber Resilience Act；CAR 與 SCAR 是品質管理常用縮寫，與歐盟 CRA 屬於不同議題。
12. 企業應該從哪一步開始準備？
先建立產品、軟體、元件、目標市場與供應鏈角色清單，再完成 CRA 適用性、產品分類及差距盤點。
OFFICIAL SOURCES
歐盟官方資料與時程
法規、產品分類、合格評定與最新執行方式可能隨官方指引更新，專案應使用當下最新版本。
本頁內容為一般產品資安及合規管理資訊，不構成法律、認證或產品上市意見。產品是否適用 CRA、產品分類、合格評定程序及正式義務，應依最新歐盟正式文本、主管機關指引、產品情境及專業法律或認證意見確認。
