CRA 合規時程與企業準備重點

歐盟《網路韌性法案》（Cyber Resilience Act，CRA）針對適用範圍內的具數位元素產品，建立產品資安要求。主要義務自 2027 年 12 月 11 日起適用；製造商對遭積極利用的漏洞及影響產品安全的嚴重事件之通報義務，已自 2026 年 9 月 11 日起適用。

企業規劃合規時程時，應分別檢查產品技術要求、漏洞處理與通報程序的準備狀態。對已適用的通報義務，需確認內部是否具備接收資訊、判定事件、指定負責人與執行通報的流程，不能只等待主要義務開始適用。

實際義務取決於產品適用範圍、企業角色與相關過渡規定。

企業落實 CRA 合規的三大難題

CRA 合規的實務挑戰，可以歸納為「條款如何落地、判斷依據在哪裡、變動後如何重審」。三者需要串成同一套流程，才能避免評估表、韌體版本與實際風險各自分離。

難題一：條款要求多，難以轉成明確工作項目

法規內容需要進一步對應到產品功能、檢查方法、佐證資料與負責人。若只有條文清單，研發與資安人員仍可能不清楚該檢查哪個元件、需要補哪份文件，或哪些要求必須由其他部門處理。

對缺少專職合規團隊的中小企業，較可行的起點是逐項建立「要求、證據、判定、改善行動」的關係，並保留不適用或需要人工核查的理由，讓後續審查有一致依據。

難題二：缺少產品證據，判斷容易停留在問卷

產品的軟體組成、已知漏洞與安全設定，都可能影響技術要求的評估。團隊需要取得對應版本的分析資料，才能回答「為什麼認為這一項存在缺口」，並將問題交給正確的處理人員。

軟體物料清單（Software Bill of Materials，SBOM）有助於掌握元件與版本；常見漏洞與暴露（CVE）及其他安全發現，則提供進一步調查的線索。這些資料仍需結合產品用途、設定與實際影響進行判讀，不能只以漏洞筆數推定整體合規結果。

難題三：版本與漏洞持續變動，原有結論需要更新

韌體更新、重新分析或漏洞狀態調整，都可能讓先前的條款判定需要重新確認。若缺少版本關聯與重審機制，企業容易拿舊版本的證據支持新版本，或忽略已失效的評估依據。

因此，合規證據應能回答「適用哪個版本、何時確認、由誰核查、什麼變動會觸發重審」。持續管理這些資訊，才能讓資料與產品狀態保持一致。

CRACoWi 是什麼？ONEKEY 參與了什麼？

CRACoWi 全名為 Cyber Resilience Act Compliance Wizard，是由歐盟「數位歐洲計畫」共同資助、歐洲資安能力中心（ECCC）支持的專案，目標是開發數位合規輔助工具，協助企業理解與管理 CRA 要求，尤其關注中小企業、製造商、經銷商與進口商的需求。

聯盟由四個歐盟國家的 14 家夥伴組成，ONEKEY 為其中之一，專案期程為 2024 年 9 月 1 日至 2027 年 8 月 31 日。這項跨組織合作將技術開發、實際使用情境與合規需求納入同一個專案框架。

在具體分工上，ONEKEY 主導 WP2，負責連網設備 CRA Compliance Wizard 的需求工程與部署。這讓 ONEKEY 的參與不限於活動展示，也涵蓋將合規需求轉成工具流程的專案工作。

盧布爾雅那會議：從工具開發走向實務驗證

聯盟於 2026 年 10 月 14 日在斯洛維尼亞盧布爾雅那召開第四次全體會議，討論 Wizard 功能、使用者流程，以及開發與驗證路線。10 月 15 日，聯盟參與 Cyber Day 2026，由 ONEKEY 與 Seven Shift 的代表展示 CRACoWi 工具。

專案最後一年的重點包含實際使用情境驗證、法規與標準進展，以及證據與可追溯性。這些是專案推進方向，不能直接視為所有功能已完成部署或取得認證。

ONEKEY Compliance Wizard 如何支援評估？

ONEKEY Compliance Wizard（合規精靈）將條款檢查與韌體分析結果連結，協助使用者查看缺口、核對判定依據、補充說明，並整理支援材料。其作用是讓技術評估更有依據，企業仍需完成必要的人工確認與組織流程。

逐項檢查條款，保留人工判定與理由

使用者可選擇包含 CRA、EN 18031-1、ETSI EN 303 645、IEC 62443-4-2 等在內的規範，逐條檢查平台建議，選擇接受建議或填寫自己的判定與理由。不同法規與標準的適用目的，仍應分別確認。

平台以顏色區分「違反要求」「未發現違反」「需要人工核查」及「不適用」等狀態。這些狀態反映特定條款的評估資訊；其中「未發現違反」不能延伸解讀為整個產品已通過 CRA 合規認證。

追查 CVE 與安全問題，讓改善工作有依據

對平台判定存在違反的條款，使用者可查看相關 CVE 與安全問題，了解該判定連到哪些技術發現。這有助於把條款缺口轉成可分派、可追蹤的工程調查與改善工作。

條款判定仍需人工檢查，因為工具只能根據韌體中可取得的資訊偵測相關問題。對供應商證明、內部程序或其他無法由韌體確認的要求，仍需補入適當資料。

標示待重審條款，匯出評估與佐證材料

韌體重新分析，或影響違反判定的問題與 CVE 狀態改變後，受影響條款會移至過期狀態，並區分建議是否改變。這能提醒團隊回到受影響項目重新核查，而非沿用原有結論。

完成資料整理後，可將平台資訊與已上傳的支援文件打包匯出，或以 CSV、JSON 匯出合規項目。材料包方便整理與交接，仍需檢查其內容是否符合特定產品的技術文件及評估程序需求。

進一步了解操作方式，可參考宏虹 ONEKEY Compliance Wizard 功能介紹 與 ONEKEY Compliance Wizard 官方說明。

從一款產品開始的四步驟檢查流程

建議先選一款面向歐盟市場的產品，以明確的韌體版本完成一輪評估，再把流程擴展到其他產品。以下為本文整理的導入建議，可用於討論資料需求與部門分工。

1. 確認範圍與責任：辨識產品、版本與企業角色，列出適用要求及研發、資安、品質等負責窗口。
2. 建立分析與證據基礎：整理韌體、元件清單、漏洞發現與現有文件，記錄各份證據對應的版本和日期。
3. 完成條款核查與改善：檢查平台建議，補充人工判定，將缺口轉成有負責人、期限及驗證方法的工作。
4. 納入版本與漏洞管理：定義重審條件，於版本更新或相關發現變動後重新確認，保存更新後的材料與決策紀錄。

這套流程的重點，是讓每項結論都能追到產品證據與負責人。對漏洞通報、供應鏈協作與維護安排等工作，也應建立相應程序，避免只完成平台中的評估表。