CRA

什麼是 Cyber Resilience Act？

Cyber Resilience Act（CRA，歐盟《網路韌性法》）是一項全面性的歐盟法規，為含數位元素的產品導入強制性的網路安全要求。CRA 於 2024 年通過，目標是在硬體與軟體產品的整個生命週期中提升其安全性。

主要目標

• 確保含數位元素的產品在設計上與預設狀態下都是安全的

• 建立持續提供安全更新與漏洞管理的框架

• 訂定包括 SBOM（軟體物料清單，Software Bill of Materials）在內的透明度要求

• 讓製造商為其產品的安全負起責任

適用對象

CRA 適用於投放歐盟市場之含數位元素產品的製造商、進口商與經銷商，涵蓋軟體、硬體與 IoT 裝置。在歐盟銷售或經銷這類產品的組織，都必須遵循 CRA 的要求。

時程

CRA 設有法規遵循的過渡期。組織應從現在開始準備，以便在期限之前符合各項要求。重要時程包括符合性評鑑義務，以及分階段實施的通報要求。自 2026 年 9 月 11 日起，製造商須透過 Single Reporting Platform 通報遭積極利用的漏洞與嚴重資安事件。