Cyber Resilience Act
製造商準備度檢查清單
通報義務現已適用 自 2026 年 9 月 11 日起
其餘義務 自 2027 年 12 月 11 日起
在為具數位元素的產品準備因應 CRA 時，請使用這份檢查清單指派負責人並蒐集佐證資料。
Cyber Resilience Act 指南
CRA 要求逐步說明
一份為開發具數位元素產品的團隊所準備的實務藍圖：要做什麼、由誰負責、需保存哪些佐證資料。法律內容請參閱什麼是 Cyber Resilience Act。您是為製造商供應元件的廠商嗎？請參閱供應商 SBOM 指南。
最後更新：2026 年 10 月 15 日
目前進度
- 通報義務現已適用。 自 2026 年 9 月 11 日起，製造商須通報遭積極利用的漏洞與嚴重資安事件，包括已上市的產品。
- 其餘規定自 2027 年 12 月 11 日起適用。 在此之前上市的產品，只有在經過重大修改時，才適用 CRA 的其餘規定。
- 指引已經發布。 執委會於 2026 年 7 月 27 日發布的不具拘束力指引 C(2026) 5252，說明了適用範圍、重大修改、支援期間與通報；施行規則 (EU) 2025/2392 則描述了重要與關鍵產品類別。
What the Cyber Resilience Act asks manufacturers to do
Regulation (EU) 2024/2847 的適用範圍、生效日期、通報期限，以及 SBOM 與漏洞處理義務所在的條文位置。
Petteri Pulkkinen和Erika Marttinen 於 Kubernetes Community Days Helsinki 2026，SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains 的 8:03 至 15:20。
實施藍圖：十個步驟
這些步驟大致依序進行，但對已上市的產品而言，步驟 5 到 8 最為優先，因為通報義務現在就適用於它們。
- 1
確認適用範圍與您的角色
列出您在歐盟市場提供的每一項具數位元素的產品，包括單獨銷售的軟體，以及產品運作所需的雲端後端。針對每一項產品，確認它不屬於排除範圍（醫療器材、車輛、航空、船舶設備、國防），以及您是它的製造商、進口商還是經銷商。
使用 CRA Checker 檢查產品 → - 2
為每項產品分類
大多數產品屬於預設類別。請將您的產品與重要（附件 III）及關鍵（附件 IV）清單比對；施行規則 (EU) 2025/2392 提供了這些類別的技術描述。類別決定您可以自我評鑑，還是需要經由指定機構評鑑或取得認證。
- 3
評估網路安全風險
為每項產品撰寫網路安全風險評估。它決定附件 I 的基本要求如何適用，並應納入技術文件。產品或威脅改變時，請更新評估。
- 4
設定支援期間
決定每項產品的漏洞處理期間：至少五年，除非產品的預期使用期間較短。在支援終止時告知使用者，並讓每一次資安更新至少保持 10 年可供取得。
- 5
從每個發布建置產生 SBOM
CRA 要求以常用、機器可讀的格式提供軟體物料清單（SBOM），至少涵蓋頂層相依套件。在產出版本的建置中產生它，而不是手動產生一次，才能讓它忠實反映出貨的內容。
CRACI 的角色： CRACI 在每次建置執行時記錄 SBOM，包括遞移相依套件與從快取還原的套件，並以 CycloneDX 或 SPDX 格式匯出。
- 6
監控已出貨的內容並及時修正
在整個支援期間監控已發布的版本（而不只是主要分支）是否出現新漏洞。及時修正漏洞，免費提供資安更新，並在可行時與功能更新分開發布。
CRACI 的角色： 出貨後，CRACI 會以新漏洞重新檢查受監控的 SBOM，資安團隊則研判發現項目，並將其交給負責修正的團隊。政策關卡可依發現項目阻擋建置。
- 7
公布漏洞揭露政策
為研究人員與客戶提供通報漏洞的聯絡窗口，以及協同漏洞揭露政策。更新推出後，公布其所修正漏洞的相關資訊。
- 8
演練 24 小時通報時限
自 2026 年 9 月 11 日起，遭積極利用的漏洞或嚴重資安事件必須透過 Single Reporting Platform，在 24 小時內提出早期預警、在 72 小時內提出通報，並提交最終報告。請指定由誰確認遭積極利用、由誰提交通報、由誰通知使用者。困難之處在於要在幾小時內得知哪些產品與版本包含有漏洞的元件。
CRACI 的角色： CRACI 的建置歷史會顯示哪些建置包含有漏洞的相依套件，其資產清冊檢視會顯示哪些版本部署在哪些產品上，而 CRACI 也會為您準備 CRA 通報的內容，供您提交。
- 9
將基本要求融入開發流程
出貨時不含已知可利用的漏洞，並採用預設安全的設定；保護資料與存取，限制攻擊面，並讓資安更新成為可能，在適用時預設自動更新。定期進行資安測試與審查。
CRACI 的角色： CRACI 對建置可下載的內容執行對外連線政策，政策關卡也可依發現項目阻擋建置。
- 10
彙整文件並通過符合性評鑑
彙整附件 VII 所述的技術文件，依您的類別進行符合性評鑑，擬定歐盟符合性聲明並加上 CE 標示。技術文件與聲明至少保存 10 年或支援期間，以較長者為準。
CRACI 的角色： CRACI 以 CycloneDX 或 SPDX 格式匯出 SBOM，其中包括在其元件中發現的漏洞，其 API 也會回傳 SBOM、網路追蹤與來源證明，供您納入技術文件。評鑑與聲明仍是您自己的流程。
要求及其背後的佐證資料
市場監督主管機關可以要求您提供技術文件。以下是每項要求所留下的佐證資料，以及 CRACI 從您的建置中記錄了哪些內容。
| 要求 | 出處 | 需保存的佐證資料 | CRACI 提供 |
|---|---|---|---|
| 網路安全風險評估 | 第 13 條、附件 I | 每項產品一份有文件記錄的評估 | 您自己的流程 |
| 發布時不含已知可利用的漏洞 | 附件 I 第 I 部分 | 發布建置的漏洞狀態 | 以資安公告檢查發布建置的 SBOM；政策關卡 |
| 軟體物料清單 | 附件 I 第 II 部分 | 每個版本一份機器可讀的 SBOM | 從每次建置記錄，CycloneDX 或 SPDX |
| 支援期間內的漏洞處理 | 第 13 條、附件 I 第 II 部分 | 發現項目、分級研判決策、修正、資安公告 | 持續重新評估、分級研判、VEX |
| 第三方元件的盡職調查 | 第 13 條 | 元件紀錄，包括外購軟體 | 廠商 SBOM 與您自己的 SBOM 一同監控；宣告的授權 |
| 通報遭利用的漏洞與嚴重資安事件 | 第 14 條 | 早期預警、通報、最終報告 | 準備通報內容，供您提交 |
| 支援期間 | 第 13 條 | 公布的支援終止日期 | 您自己的流程 |
| 技術文件與聲明 | 第 13 條、附件 VII | 保存 10 年或支援期間 | 為文件提供 SBOM 匯出與 API 資料 |
CRA 要求常見問題
團隊開始因應 CRA 時常問的實務問題
CRA 對製造商的主要要求有哪些？
依據網路安全風險評估符合附件 I 的基本要求、保存 SBOM、在至少五年的支援期間內處理漏洞、通報遭積極利用的漏洞與嚴重資安事件、保存技術文件、通過符合性評鑑，並加上 CE 標示。
我們應該從哪裡開始？
從適用範圍與通報開始。先找出 CRA 涵蓋哪些產品，再確認您能為遭積極利用的漏洞提出 24 小時早期預警，因為通報義務自 2026 年 9 月 11 日起已經適用，包括已上市的產品。其餘義務自 2027 年 12 月 11 日起適用。
CRA 技術文件包含哪些內容？
附件 VII 列出了這些內容，包括產品的網路安全風險評估、SBOM，以及製造商處理漏洞方式的相關資訊。技術文件至少保存 10 年或支援期間，以較長者為準，並應市場監督主管機關要求提供。
SBOM 必須公開嗎？
不必。SBOM 是技術文件的一部分，應市場監督主管機關要求提供。法規並未要求公開發布。
有關於適用 CRA 的官方指引嗎？
有。歐盟執委會於 2026 年 7 月 27 日發布了不具拘束力的指引 C(2026) 5252，其中包含 67 個實務範例，涵蓋遠端資料處理、自由與開源軟體、重大修改、支援期間、通報與風險評估。施行規則 (EU) 2025/2392 則描述了重要與關鍵產品類別。
小型企業會有不同待遇嗎？
義務相同，但微型與小型企業不會因錯過 24 小時早期預警期限而遭罰款，而且執委會的指引是以微型企業與中小企業為對象撰寫的。
工具能讓我們符合 CRA 嗎？
不能。符合 CRA 是製造商自己的流程，包括風險評估、符合性評鑑與聲明。CRACI 能將該流程所需的相當大一部分供應鏈可見性與佐證資料自動化：每次建置產生的 SBOM、發布後的漏洞追蹤，以及 CRA 通報。
取得您 CRA 流程所需的佐證資料
了解 CRACI 如何從每次建置記錄 SBOM、監控您已出貨的內容，並準備 CRA 通報供您提交