引言：CRA 正式上路，企業真正的倒數已經開始
在上一篇文章中，我們已經初步介紹歐盟《網路韌性法案》（Cyber Resilience Act, CRA）的適用範圍，以及其可能對企業營運帶來的整體影響。
近年來，隨著網路攻擊、資料外洩與供應鏈資安事件持續增加，企業不僅面臨更高的營運風險，也必須承擔更多來自監管層面的法遵壓力。從產品開發、軟體更新、第三方元件管理，到供應鏈安全與售後維運，網路安全已不再只是 IT 部門的議題，而是直接影響企業市場競爭力與國際布局的重要關鍵。
在這樣的背景下，歐盟推出 CRA，目的正是建立一套針對「具數位元素產品（Products with Digital Elements）」的系統性資安治理框架。
然而，對於已進入或準備進入歐盟市場的企業而言，現階段最急迫的問題，其實並不是停留在 CRA 原則性的理解，而是必須開始面對即將提前適用的「漏洞通報義務」。
根據歐盟官方時程：
- CRA 已於 2024 年 12 月 10 日正式生效
- 大部分核心義務將自 2027 年 12 月 11 日全面適用
- 但漏洞與嚴重資安事件通報義務，將提前自 2026 年 9 月 11 日開始適用
這也代表，企業真正需要開始建立執行能力的時間，其實已經非常有限。
一、為什麼漏洞通報義務是目前最急迫的 CRA 要求？
CRA 並非所有規範同步上路，而是依不同章節設有過渡期。其中，最早對企業形成實際法遵壓力的，就是漏洞與資安事件的通報義務。
歐盟委員會已明確指出，自 2026 年 9 月 11 日起，製造商必須針對：
- 已遭實際利用的漏洞（Actively Exploited Vulnerabilities）
- 嚴重影響產品安全的事件（Severe Incidents）
履行法定通報要求。
這代表在 CRA 全面適用之前，監管機關已要求企業先具備以下能力：
- 事件偵測能力
- 漏洞分析能力
- 內部升級與決策流程
- 對外通報能力
- 後續修復與追蹤能力
這樣的制度安排，也反映出 CRA 的核心監管思維：
CRA 不只重視產品上市前的合規，更強調產品上市後的持續安全治理能力。
對企業而言，漏洞通報不再只是「資安最佳實務」，而是具有法律效力的強制性法遵義務。若產品已進入歐盟市場，但企業尚未建立對應機制，一旦漏洞被實際利用，企業就可能立即面臨法遵風險與監管壓力。
二、哪些情況會觸發 CRA 的通報義務？
依 CRA 規定，製造商主要在兩種情況下需要履行通報義務。
1. 已被實際利用的漏洞
這並不只是單純「發現漏洞」而已。
企業必須進一步判斷：
- 是否已有攻擊行為發生
- 是否存在被利用證據
- 是否已進入真實攻擊場景
一旦漏洞進入「實際利用（actively exploited）」階段，通報義務就會正式被觸發。
這也意味著，企業未來不能只依靠傳統 CVE 管理，而必須建立更即時的威脅監測與事件判斷能力。
2. 對產品安全造成嚴重影響的事件
CRA 所定義的「嚴重事件」，涵蓋範圍其實比許多企業想像得更廣。
包括：
- 影響產品可用性（Availability）
- 影響真實性（Authenticity）
- 影響完整性（Integrity）
- 影響機密性（Confidentiality）
的重大安全事件。
此外，也包括：
- 惡意程式碼被植入產品
- 更新機制遭竄改
- 供應鏈元件受污染
- 產品安全機制失效
- 網路或資訊系統遭入侵
等情況。換句話說，CRA 關注的並不只是傳統資料外洩，而是整體產品生命週期中的安全可信度。
三、CRA 的通報時限有多嚴格？
CRA 對漏洞與事件的通報時效要求相當嚴格，並採取「分階段通報」機制。
以已遭利用的漏洞為例，企業通常需要：
- 先提交初步預警（Early Warning）
- 後續補充完整技術資訊
- 在修補措施或緩解方案完成後提交最終報告
嚴重事件同樣適用類似流程。
歐盟委員會也已明確指出，自 2026 年 9 月 11 日起，製造商必須通報：
“actively exploited vulnerabilities and severe incidents impacting the security of products with digital elements”
這代表 CRA 所重視的，並不是一次性的表單提交，而是：
- 即時性
- 持續更新
- 動態追蹤
- 完整處置紀錄
從企業管理角度來看，這會直接推動企業建立更成熟的事件應變流程。
企業不只需要快速發現問題，更必須在短時間內完成：
- 漏洞驗證
- 影響分析
- 受影響版本識別
- 處置方案評估
- 內部法遵審核
- 對外溝通確認
才能確保通報內容具備準確性與可執行性。
四、CRA 的通報機制有哪些重點？
在執行層面，歐盟已為 CRA 建立統一的通報框架。
根據歐盟委員會公開資訊，未來 CRA 的通報將透過：
Single Reporting Platform（單一通報平台）
進行。
這代表企業未來不需要面對分散、多頭的通報窗口，而是必須圍繞統一入口建立完整內部流程。
但這同時也意味著，企業需要更早完成：
- 法律主體確認
- 歐盟責任鏈盤點
- 跨國組織協作機制
- 跨部門權責分工
- 內外部通報流程整合
否則，即便企業具備技術修復能力，也可能因流程不清、責任歸屬不明，而錯過法定通報時限。
五、CRA 漏洞通報義務將如何影響企業營運？
從實際營運角度來看，CRA 將深刻影響企業的：
- 產品研發流程
- 資安治理架構
- 法遵管理制度
- 售後與維運機制
- 供應鏈管理能力
其中幾個最直接的影響包括以下：
建立更完整的漏洞治理機制
企業需要持續：
- 接收外部漏洞通報
- 監測資安情資
- 追蹤第三方元件漏洞
- 監控供應鏈風險
- 分析內部測試結果
強化產品影響分析能力
企業必須能快速識別：
- 受影響產品版本
- 元件依賴關係
- 客戶部署範圍
- 修補優先順序
這對許多缺乏 SBOM（Software Bill of Materials）管理能力的企業而言，將是一大挑戰。
建立標準化對外溝通機制
除了滿足監管要求外，企業也必須：
- 向客戶發布安全通知
- 提供修補建議
- 更新風險資訊
- 維持市場信任
因此，CRA 推動的並不只是單一法規合規，而是整體產品生命週期的安全治理能力。
尤其值得注意的是：
企業不能誤以為 CRA 只影響未來的新產品。
由於 Article 14 將提前自 2026 年 9 月 11 日適用，這代表：
既有已在歐盟市場流通的產品，也必須納入漏洞治理與通報準備範圍。
企業若等到 2027 年才開始準備，很可能已經來不及。
六、企業現階段應優先準備哪些工作？
1. 盤點 CRA 適用產品與法律主體
確認：
- 哪些產品屬於 CRA 範圍
- 哪些產品已進入歐盟市場
- 哪些法人需承擔責任
2. 建立漏洞通報閉環流程
流程應涵蓋：
- 漏洞發現
- 內部升級
- 事件分類
- 影響分析
- 法遵判斷
- 對外通報
- 客戶通知
- 後續追蹤
3. 建立必要制度文件與紀錄機制
包括：
- 通報模板
- 事件紀錄
- 內部審核流程
- 修補追蹤紀錄
- 溝通與公告文件
4. 建立跨部門協作能力
CRA 並不是單一 IT 部門能獨立完成的工作。
企業需要整合：
- 資安
- 法務
- 研發
- 產品
- 客服
- 售後
- 高階管理層
形成完整的事件應變體系。
結語：CRA 真正改變的，是企業的產品安全治理模式
CRA 的漏洞通報制度，反映出歐盟對數位產品安全治理思維的重大轉變。
監管重點已不再只是產品上市前的認證與審查，而是企業是否具備：
- 持續監測能力
- 即時應變能力
- 透明揭露能力
- 全生命週期安全治理能力
對於已布局歐盟市場的企業而言，CRA 不只是新的法規要求，更可能重新改變產品開發、維運與供應鏈管理模式。
而從現在到 2026 年 9 月之間，企業真正需要做的，已經不只是「理解 CRA」，而是開始建立能夠真正落地執行的漏洞治理與通報能力。
瞭解ONEKEY韌體安全與合規平台
ONEKEY 自動化韌體安全與 SBOM 管理平台
自動化掃描 × 漏洞合規化，打造穿透式物聯網資安防禦網
宏虹 ONEKEY 平台專為全球智慧製造與 IoT 供應鏈場景打造，透過無須源碼的二進位掃描與雲端自動化分析，協助企業在產品生命週期中即時掌握資安風險，建立可量化、可審核的軟體清單（SBOM），降低合規成本與資安風險。
全自動化二進位掃描： 無須取得原始碼，即可分析韌體並識別已知漏洞（CVE）。
零迷霧 SBOM 管理： 自動生成符合國際標準（SPDX/CycloneDX）的軟體物料清單。
即時漏洞關聯分析： 同步蒐集全球資安威脅情資，精準對應產品受威脅狀態。
合規性與認證支援： 提供符合歐盟 CRA 或美國行政命令的合規檢測報告。
數位孿生資安技術： 以無須設備實體的方式，進行虛擬化的穿透測試與驗證。
多產業應用場景： 適用於工業控制、醫療器材、車用電子與智慧零售設備。
