歐盟《網路韌性法》：目前適用的義務與2027年準備指南

先確認產品與自身角色

CRA涵蓋在歐盟市場提供的硬體與軟體，其預期用途或可合理預見的用途涉及與裝置或網路的直接或間接資料連線。單獨提供的元件，以及實現產品功能所必需的遠端資料處理，也可能在適用範圍內。軟體開發者也可能是製造商：請確認誰開發產品或委託他人開發，並以自己的名稱或商標銷售產品。

分配義務前應檢查適用例外。在商業活動之外提供的自由及開放原始碼軟體不在適用範圍內；包括醫療器材在內的部分受產業法規規範的產品，另有特定排除規定。進口商、經銷商與開放原始碼軟體管理者的角色各不相同。本清單重點面向製造商。

通報義務已經適用

請分別評估兩個觸發條件：產品中遭主動利用的漏洞，以及影響其安全的嚴重事件。發現缺陷本身並不能證明漏洞已遭主動利用；還需要惡意利用的可靠證據。事件本身也可能獨立觸發通報義務。請採用第14條第5項的嚴重性標準。

透過ENISA的單一通報平台，向指定的協調CSIRT與ENISA通報。應在事件發生前安排適當的代表人員並明確訂定通報途徑。平台提供註冊指南與使用手冊。

應及時採取行動，不得無故延誤。通報各階段的期限不同：

• 知悉後24小時內： 提交早期預警。不要等到完成全部調查後再通報。
• 知悉後72小時內： 提交漏洞或事件通知，列明已掌握的詳細資訊與矯正或緩解措施，除非這些資訊已經提供。
• 最終報告： 對於遭主動利用的漏洞，最遲在矯正或緩解措施可用後14天內提交；對於嚴重事件，在事件通知後一個月內提交。兩種期限的起算點不同。

將現有產品納入通報義務審查

第69條第3項將通報義務擴及2027年12月11日之前投放市場的受規範產品。評估時應納入舊版本。製造商還必須向受影響的使用者，並在適當情況下向所有使用者，告知漏洞或事件以及必要的防護措施。

這並不代表2027年的所有要求都提前適用。一般而言，先前的產品若在2027年12月11日起發生實質性修改，就會受到更廣泛要求的規範。從該日起投放市場的新個別產品需要單獨評估，即使該型號早已上市。開放原始碼軟體管理者依第24條第3項承擔的通報義務，也從2027年12月11日開始。

為2027年12月做好產品準備

對於受規範產品的發布，將CRA要求轉化為產品層級的工作計畫。先選擇一款具代表性的產品，並為每項差距指定負責人。

1. 審查安全風險與設計。 梳理產品、元件及配套遠端資料處理。評估資安風險，檢查附件I中適用的要求，包括安全預設值、存取控制與安全更新。
2. 準備漏洞處理機制。 記錄元件與漏洞，並編製機器可讀的軟體物料清單，至少涵蓋頂層相依項目。建立漏洞揭露聯絡管道、修補流程與安全更新交付機制。
3. 設定有依據的支援期間。 考量預期使用期間與使用者的合理期待。通常最低為五年，而非自動以五年為上限；預期使用期間較短時，可以設定較短的支援期間。記錄判斷依據並告知支援終止日期。
4. 確認符合性評估途徑。 結合歐盟第2025/2392號施行規則中的技術描述，確認產品屬於預設類別、重要產品還是關鍵產品。許多產品可以自我評估；其他產品則須依適用條件與例外，由公告機構參與。
5. 彙整發布所需的證據。 彙整風險評估、技術文件、驗證結果、使用者說明與支援資訊。先完成適用的符合性評估，再編製歐盟符合性聲明並加貼CE標誌。

讓首次審查產生具體成果

選擇一款產品，記錄適用範圍判斷、通報負責人、支援期間假設與符合性評估途徑。演練可信的漏洞通報如何到達負責團隊，以及如何追蹤通報期限。將證據與未解決的問題集中保存，為下一次產品發布審查提供清晰的起點。

使用Regunow規劃CRA審查

使用Regunow研究CRA的適用範圍、通報義務與產品要求，核查原始條文並分析您的文件。將結果彙整成報告，供團隊審閱。