引言：CRA 上路倒數：企業資安責任全面升級
隨著全球資安威脅持續升高，企業面對的已不再只是單一資安事件，而是涵蓋產品安全、供應鏈管理與法規責任的整體挑戰。
在此背景下，歐盟正式推出《Cyber Resilience Act》（CRA，EU Regulation 2024/2847），針對於歐盟市場銷售的「含數位元素產品」（Products with Digital Elements, PDE），建立一套橫跨設計、開發、上市與維運的資安規範。這代表產品資安不再是附加選項，而是進入市場的基本門檻。
其中，企業需特別關注的關鍵時間點為 2026 年 9 月 11 日。自該日起，CRA 對於漏洞與重大資安事件的通報義務將正式生效。當產品出現已被實際利用的漏洞，或發生影響產品安全的重大事件時，企業必須在：
- 24 小時內完成初步通報
- 72 小時內完成正式通報
- 並於後續期限內提交完整調查報告
這意味著 CRA 不再只是法遵部門的責任，而將直接牽動研發、產品、資安、法務與供應鏈等跨部門的協作與管理。
若企業直到期限將近才開始補強流程，往往難以在短時間內建立完善的漏洞管理、事件分級、內部通報與跨部門應變機制，不僅面臨法規風險，也可能影響品牌信任與歐盟市場的進入門檻。
本系列文章將逐步解析 CRA 的核心要求，協助企業從理解法規邁向實務落地。本篇則將聚焦兩項重點：哪些產品將納入 CRA 規範，以及 CRA 將如何改變企業既有的營運模式。
一、CRA 適用範圍：哪些產品會被納入規範
CRA 的核心概念為「含數位元素產品（PDE）」。凡是在歐盟市場提供，且具備連網能力或可與其他設備或系統互動的產品，原則上皆可能納入 CRA 規範。
常見適用範圍包括：
- 具備軟體功能的硬體設備
如智慧裝置、工業設備、網通設備與各類嵌入式系統 - 軟體產品
如作業系統、企業應用系統、行動應用程式與嵌入式軟體 - 相關數位服務
如雲端平台或支援產品功能的遠端管理與資料處理服務
需要注意的是，CRA 並非適用於所有數位產品。部分產品可能因適用其他歐盟專門法規，或未在市場流通，而不在 CRA 管制範圍內。在實務判斷上，企業應以「是否涉及產品資安風險與連網能力」作為主要評估依據，而非單純以產品類型分類。
CRA 與 GDPR、NIS2 的關係
CRA 並非獨立法規，而是歐盟整體資安治理體系的一部分。
- GDPR：聚焦個人資料保護
- NIS2：強化關鍵基礎設施與營運資安
- CRA：聚焦產品資安設計與漏洞管理
企業常見的誤解，是認為符合其中一項法規即可完成合規。
然而，若企業產品進入歐盟市場，且同時涉及個資或關鍵服務，則需同時符合多項法規要求。產品安全、營運安全與資料保護，將成為不可分割的整體。
二、CRA 對企業營運的三大影響
CRA 對企業的影響，並非單一流程調整，而是橫跨產品全生命週期的轉變。
一、開發階段：資安設計成為基本要求
企業需在產品設計初期導入「Security by Design」，並建立完整的資安風險評估機制。
此外，若使用第三方元件或開源軟體，也需確保其符合資安要求並具備可追溯性。
二、上市前：合規文件與認證流程
產品上市前，企業需完成以下作業：
- 符合性評估（Conformity Assessment）
- 技術文件建立
- EU Declaration of Conformity（DoC）
- CE 標誌
這些要求將使產品上市流程更加制度化與標準化。
三、上市後：持續維運與責任延伸
CRA 明確要求企業在產品上市後仍需持續管理資安風險，包括：
- 漏洞修補與安全更新
- 支援期限揭露
- 建立事件通報與應變機制
這代表產品責任將從「交付即結束」，轉變為「持續管理」。
三、CRA 對供應鏈與企業風險的整體影響
對供應鏈的影響
若產品涉及以下情境：
- 使用開源元件
- 整合第三方模組
- 採用 OEM／ODM 模式
- 結合雲端服務
則 CRA 將進一步放大供應鏈管理的重要性。
企業需建立：
- 元件來源與版本追蹤
- 資安責任分工
- 風險分類機制
- 事件回應流程
CRA 實質上將資安責任從單一產品，延伸至整體供應鏈體系。
法規風險與商業影響
未符合 CRA 要求，企業可能面臨高額罰則與市場限制。
最高罰款可達：1,500 萬歐元或是全球年營收的 2.5%（取其較高者）
此外，產品可能被要求下架、限制銷售，甚至影響歐盟市場准入資格。
然而，比罰款更嚴重的，是信任風險。若產品漏洞已被利用，而企業未能即時回應，將直接影響客戶信任與合作關係，其商業損失往往遠高於法規罰則。
四、結語：CRA 是風險，更是競爭門檻
歐盟 CRA 的推動，代表產品資安已從技術議題，正式轉變為市場競爭條件。對企業而言，這不僅是法規遵循，更是重新檢視產品開發流程、供應鏈管理與營運模式的契機。
越早導入制度化的資安管理與跨部門協作機制，越能在未來市場中建立信任與競爭優勢。
對於計畫進入或持續深耕歐盟市場的企業而言，CRA 不應被視為短期成本，而是一項長期投資。後續篇章，宏虹將帶您進一步探討 CRA 的技術要求與實務導入方式，協助企業將合規轉化為可執行且可擴展的營運能力。
瞭解ONEKEY韌體安全與合規平台
ONEKEY 自動化韌體安全與 SBOM 管理平台
自動化掃描 × 漏洞合規化，打造穿透式物聯網資安防禦網
宏虹 ONEKEY 平台專為全球智慧製造與 IoT 供應鏈場景打造，透過無須源碼的二進位掃描與雲端自動化分析，協助企業在產品生命週期中即時掌握資安風險，建立可量化、可審核的軟體清單（SBOM），降低合規成本與資安風險。
全自動化二進位掃描： 無須取得原始碼，即可分析韌體並識別已知漏洞（CVE）。
零迷霧 SBOM 管理： 自動生成符合國際標準（SPDX/CycloneDX）的軟體物料清單。
即時漏洞關聯分析： 同步蒐集全球資安威脅情資，精準對應產品受威脅狀態。
合規性與認證支援： 提供符合歐盟 CRA 或美國行政命令的合規檢測報告。
數位孿生資安技術： 以無須設備實體的方式，進行虛擬化的穿透測試與驗證。
多產業應用場景： 適用於工業控制、醫療器材、車用電子與智慧零售設備。
