CURRENT STAGE · 查閱日期 2026／10／14
CRA 已不再只是 2027 年才需要處理的議題
Regulation (EU) 2024/2847 已於 2024 年 12 月 10 日生效；Article 14 的製造商通報義務已自 2026 年 9 月 11 日適用，主要義務則自 2027 年 12 月 11 日全面適用。
01 · REGULATORY TIMELINE
四個日期，代表四個不同階段
CRA 於 2024 年 12 月 10 日生效；Chapter IV 關於符合性評估機構通知的規定自 2026 年 6 月 11 日適用；Article 14 製造商通報義務自 2026 年 9 月 11 日適用；主要義務則自 2027 年 12 月 11 日全面適用。
「法規已生效」不等於「所有義務已全面適用」。現在的關鍵轉折是製造商已需要具備可運作的通報判定、資料蒐集及提交流程，而不是只完成一份 2027 年差距分析報告。
02 · INDUSTRY SHIFT
數位產品產業正在發生的四項改變
資安成為產品要求
安全需求、風險與驗證需進入產品定義，不再只是 IT 控制。
元件證據向上游延伸
韌體、套件與第三方元件的版本、弱點及修補責任需要持續掌握。
上市後責任制度化
監控、事件判定、通報、安全更新與停止支援形成正式流程。
符合性證據影響上市
產品分類、評定方式、技術文件與 CE 標示成為上市準備的一部分。
產品版本必須可識別
弱點出現時，企業要能快速知道哪些版本、客戶與市場受到影響。
跨部門時間壓力增加
24／72 小時要求迫使產品、PSIRT、法務、研發與管理階層預先分工。
03 · SCOPE & ROLES
適用範圍不能只看「是不是連網設備」
CRA 針對在歐盟市場提供的具數位元素產品建立橫向資安框架，可能涵蓋硬體、軟體、個別提供的元件，以及符合正式定義的遠端資料處理解決方案。醫療、車用、航空等受其他特定歐盟法規涵蓋的產品及其他排除情況，仍須逐案判定。
| 角色 | 趨勢上的核心變化 | 企業應先確認 |
|---|---|---|
| Manufacturer | 承擔產品資安、風險、符合性、技術文件、弱點處理及通報等主要責任。 | 誰以自己的名稱或商標把產品放上市場。 |
| Importer | 需確認製造商完成必要程序、標示與文件，並保存及配合監督。 | 歐盟市場輸入鏈與聯絡責任。 |
| Distributor | 需以應有注意確認產品標示、文件及流通條件。 | 庫存、銷售版本與問題通知流程。 |
| Open-source software steward | CRA 建立專門角色與較符合開源生態的義務；其 Article 24(3) 通報義務依官方說明自 2027 年 12 月 11 日適用。 | 是否持續支援供商業活動使用之特定開源產品並確保其存續。 |
非商業活動中提供的自由及開源軟體，與商業產品內使用的開源元件不能混為一談。應以 歐盟執委會開源軟體官方說明逐案確認。
04 · CONFORMITY
產品分類將改變評估路徑，但不能靠名稱自行判定
一般產品原則上可採製造商自我評估；Annex III 的 important products 與 Annex IV 的 critical products 可能需要更嚴格程序。實際路徑取決於正式產品類別、是否完整使用適用的協調標準，以及可用的歐盟資安認證方案等條件。
| 類別 | 官方方向 | 準備重點 |
|---|---|---|
| Default category | 多數產品可使用內部控制／自我評估程序。 | 風險評估、基本要求、技術文件與符合性聲明仍不可缺少。 |
| Important products | Class I、Class II 依條件可能需要 notified body 參與。 | 先依 Annex III 與 Implementing Regulation (EU) 2025/2392 確認技術描述。 |
| Critical products | 官方說明指出需要 notified body 第三方評估。 | 更早確認評估機構、證據範圍與專案時程。 |
05 · SECURITY BY DESIGN
合規焦點從產品上市，延伸到整個支援期間
CRA Annex I 將基本產品資安要求與漏洞處理要求放進同一框架。企業需要把法規要求轉成可設計、可測試、可更新及可稽核的日常控制。
這也意味著產品經理、研發、資安、品質、法務、供應鏈與售後服務不能在上市前才會合。每個產品版本需要共同的識別與責任邊界。
06 · SBOM & COMPONENTS
SBOM 是重要基礎，但不是 CRA 合規的全部
CRA 要求製造商識別及記錄產品中的元件，包括軟體元件，並有效處理漏洞。SBOM 能支援元件、版本、依賴與弱點追蹤，但企業仍需完成風險判定、修補、驗證、發布、客戶溝通及必要通報。
- 先建立產品、硬體、韌體、軟體及遠端服務的明確邊界。
- 將 SBOM 與實際發布版本、建置結果及產品配置基線連結。
- 持續接收上游弱點與供應商通知，判斷是否可達、可利用及影響哪些產品。
- 把修補決策連到變更、測試、安全更新及市場版本。
07 · ARTICLE 14 REPORTING
24／72 小時通報，考驗的是事前建立的產品資料能力
自 2026 年 9 月 11 日起，製造商對被積極利用的弱點與影響產品安全的嚴重事件，需依 Article 14 透過 ENISA 維運的 CRA Single Reporting Platform 提交通知。早期警告為知悉後 24 小時內，主要通知為 72 小時內。
08 · DIGITAL EVIDENCE CHAIN
PLM、ALM、DevSecOps 與 PSIRT 必須說得出同一個產品事實
| 系統／能力 | 主要資料 | CRA 實務作用 |
|---|---|---|
| PLM | 產品、料號、硬體 BOM、文件、工程變更與產品版本。 | 界定受影響產品、組態與技術文件脈絡。 |
| ALM | 軟體需求、缺陷、程式版本、建置與發布。 | 追溯弱點修正如何進入正式軟體版本。 |
| SBOM／SCA | 軟體元件、版本、依賴、授權與弱點。 | 識別受影響元件與產品範圍。 |
| DevSecOps | 程式碼、掃描、CI/CD、測試、簽署與部署紀錄。 | 保存安全活動及更新產物的客觀證據。 |
| PSIRT／Vulnerability | 弱點、事件、可利用性、風險、通報與揭露。 | 協調 Article 14 判定、SRP 提交與後續處置。 |
| QMS／Compliance | 程序、稽核、不符合、技術文件及改善。 | 確保控制可重複、證據受控且可供審查。 |
資料不必全部存入一套系統，但必須以產品、元件、版本、變更、發布及事件的穩定識別維持關係。
09 · TAIWAN READINESS
台灣製造商現在應先完成的十件事
- 盤點銷往歐盟或由客戶整合後進入歐盟的產品與版本。
- 確認 Manufacturer、Importer、Distributor 及供應鏈角色。
- 完成 products with digital elements 適用性與排除情境初步評估。
- 依正式附錄與技術描述進行產品分類，不以行銷名稱判斷。
- 盤點軟體、韌體、遠端服務、第三方與開源元件。
- 讓 SBOM 對應到正式產品配置與市場發布版本。
- 建立弱點接收、分級、可利用性與影響範圍判定流程。
- 指定 Article 14 決策、24／72 小時通知與 SRP 操作責任人。
- 準備安全更新、客戶通知、技術文件及符合性證據。
- 選擇一項代表性產品演練「發現弱點到更新與通報」完整流程。
10 · WHAT TO WATCH
2027 前仍需持續關注的官方進展
協調標準與符合性推定
只有正式發布及適用的標準，才能依其條件支持符合性推定。
Notified bodies 與評估能力
重要及關鍵產品需提前確認可用程序與評估資源。
平台與通報操作更新
ENISA 表示平台功能將依運作經驗持續改善，企業應追蹤最新 FAQ。
RELATED CONTENT
延伸閱讀與相關解決方案
START WITH ONE PRODUCT
先讓一項代表性產品走完整個證據與通報流程
從產品範圍、版本、SBOM、弱點判定、測試、更新到 SRP 通報演練，找出真正影響 2027 準備度的流程與資料缺口。
預約 CRA 導入評估 ↗OFFICIAL SOURCES
官方資料來源
- EUR-Lex：Regulation (EU) 2024/2847
- European Commission：Cyber Resilience Act
- European Commission：CRA legislative summary
- European Commission：CRA implementation timeline
- European Commission：CRA reporting obligations
- European Commission：CRA conformity assessment
- ENISA：CRA Single Reporting Platform
本文整理日期為 2026 年 10 月 14 日。法規解釋、協調標準、平台功能及符合性路徑可能更新，正式專案應重新確認當時最新官方資料。