CRA歐盟網路韌性法案
(Cyber Resilience Act)

歐盟針對帶有數位元素的產品（如 IoT 設備、智慧硬體、軟體等）所提出的強制性資安法規。
要求製造商在產品生命週期內落後設計安全（Security by Design）、漏洞管理與安全更新，並在 2026 年 9 月起強制執行資安事件通報義務，
2027年12月所有義務全面適用。

核心理念與適用範圍：

適用對象：涵蓋所有直接或間接連接到網路或其他裝置的硬體、軟體、韌體及其核心雲端資料處理服務
（例如智慧家電、路由器、筆電、作業系統、App、工業控制器 PLC、連網玩具等）。
排除範圍：已受歐盟特定嚴格資安法規監管之產品，例如汽車（符合 UN R155/R156 等）、醫療器材（MDR/IVDR）、民航設備及國防軍用品。
責任核心：強調 Security by Design（安全設計）與全生命週期管理，製造商必須對產品從設計、生產、出貨到終止支援期間的資安負責。

製造商義務：

基本安全要求（Annex I）：出廠時預設安全（Default Secure）、縮小攻擊面、保護資料傳輸機密性與完整性、具備安全更新機制。
軟體物料清單（SBOM）：必須建立機器可讀格式的 SBOM（列出開源及第三方套件相依性），以及早追蹤已知重大漏洞。
漏洞管理與支援期承諾：必須提供明確的支援期（原則上至少 5 年，或與產品預期壽命相符），期間須免費且及時提供漏洞修補程式。
強制通報義務（24 / 72 小時）：
- 發現已被主動利用的漏洞或嚴重資安事件時，必須透過 ENISA 單一通報平台（SRP）向主管機關通報。
- 於 24 小時內提出早期預警，72 小時內提交更完整的事件說明。
技術文件與 CE 標記：編製符合性聲明（DoC）與技術檔案，檔案需保存 10 年，並加貼 CE 標誌以在歐盟合法販售。

歐盟網路韌性法案正式公佈號碼，
規範所有包含硬體與軟體之
「帶數位元件產品」

製造商需在知悉被利用的漏洞或資安事件後
24 小時內向 CSIRTs 及 ENISA
提交早期預警通報。

產品進入歐盟市場
必須取得 CE marking，並依產品風險等級
完成強制性符合性評估程序。

不符合基本安全要求者，最高可處
以 1,500 萬歐元或全球年營業額 2.5%
之罰鍰（以金額較高者為準）。