什麼是歐盟 CRA？製造商必須知道的產品資安新規與因應重點

歐盟《網路韌性法案》(Cyber Resilience Act,CRA)正在改變市場對產品資安的要求。過去談到資安,企業第一個想到的通常是公司網路、伺服器、個資或勒索病毒;但隨著產品越來越智慧化、連網化，資安問題已經從「企業資訊安全」,逐漸延伸到「產品本身是否安全」。一台網通設備、一套軟體、一個智慧裝置,甚至工業控制設備,只要存在安全漏洞,都可能成為攻擊者進入系統或供應鏈的入口。因此,CRA 把產品資安從過去的「加分項目」,逐漸變成產品進入歐盟市場必須面對的基本要求。

簡單來說，CRA 是歐盟針對「具有數位元素產品」建立的強制性網路安全法規。適用範圍相當廣泛，例如網路通訊設備、IoT 產品、智慧家電、NAS、Router、Gateway、工業控制設備、智慧機械、作業系統及各類軟體等，都可能需要進一步確認是否受到 CRA 規範。CRA 帶來一個很重要的管理觀念：產品資安不能只做到「出貨當下沒有問題」，而必須管理整個產品生命週期。從產品設計、開發、第三方軟體元件使用，到上市後的漏洞處理、安全更新及資安支援，製造商都必須逐步建立相對應的管理能力。

這是我們在接觸製造業客戶時，很常遇到的問題：「這是歐盟的法規，我們公司在台灣，也需要管嗎？」關鍵其實不是公司設在哪裡，而是產品有沒有進入歐盟市場，以及企業在供應鏈中扮演什麼角色。以台灣常見的網通設備、電子產品、IoT 裝置、工業電腦、控制器、智慧設備及相關軟體製造商來說，只要產品進入歐盟市場，就應該開始確認 CRA 的適用性。即使產品是委外設計或委外製造，只要最後以自己的名稱或品牌銷售，也不能直接認為「不是我們做的，所以資安責任都在供應商」。因此，企業面對 CRA 的第一步，不是急著買資安工具或開始寫程序書，而是先釐清：「我們在 CRA 下是什麼角色？哪些產品會受到影響？」

這兩個問題沒有先確認，後面的準備很容易做錯方向。

面對 CRA，我們通常不建議企業一開始就陷入大量法規條文，而是先替自己的產品做一次 「CRA 健檢」。可以先從四個方向開始：

CRA 最大的改變，不只是歐盟增加了一項產品法規，而是要求製造商把產品資安正式納入產品生命週期管理。未來企業開發產品，除了大家熟悉的品質、功能、成本與交期，還必須進一步思考：產品有哪些資安風險？用了哪些軟體元件？漏洞如何處理？安全更新提供多久？發生重大事件時誰負責？因此，企業現在真正該問的，不是：「距離 2027 年還有多久？」而是：「如果產品明天發生資安事件，我們現在有沒有能力知道、判斷、處理，並在期限內採取行動？」如果這個問題現在還無法明確回答，那麼企業準備 CRA 的第一步，其實已經很清楚了。

企業開始準備 CRA 後，很快會遇到另一個問題：「法規知道了，但到底要做到什麼程度，才能證明產品符合要求？」

CRA 主要規定產品應符合的基本網路安全要求（Essential Cybersecurity Requirements）；協調標準（Harmonised Standards）的作用，則是協助企業將法規要求進一步轉換成可執行、可評估及可舉證的技術與管理依據。當相關協調標準正式被歐盟引用後，製造商依適用標準進行產品設計、開發與符合性評估，可對其涵蓋的 CRA 要求取得符合性推定（Presumption of Conformity），降低企業自行解釋法規與準備符合性證據的負擔。目前歐洲標準組織也正依 CRA 的標準化工作，發展包括 EN 40000 系列在內的相關水平與產品別標準。其中 EN 40000 系列主要架構包括：

• EN 40000-1-1：用語與定義 
• EN 40000-1-2：網路韌性原則與風險管理框架 
• EN 40000-1-3：漏洞處理 
• EN 40000-1-4：通用安全要求

註： CRA 告訴企業「必須符合什麼要求」 EN 40000 等協調標準，則協助企業建立「如何執行與證明符合」的依據。 EN 40000 系列及 CRA 相關協調標準仍持續發展中，實際版本、發布進度及協調標準引用狀態，應以歐盟及相關歐洲標準組織最新公告為準。