機械製造商的資安

自 2027 年起，配備控制器、操作員顯示器或資料連線的機械，將同時受到兩項歐盟法規的規範。兩者都從同一個問題出發：這台機械上逐一版本安裝了哪些軟體，而這些軟體裡面又有什麼。

1. 2026 年 9 月 11 日Cyber Resilience Act（CRA）對遭積極利用的漏洞與嚴重資安事件的通報義務開始適用。
2. 2027 年 1 月 20 日機械法規（Machinery Regulation）(EU) 2023/1230 開始適用，取代機械指令。
3. 2027 年 12 月 11 日Cyber Resilience Act (EU) 2024/2847 全面適用。

機械法規

附錄 III 的基本健康與安全要求中，有兩項涉及資安：

• 1.1.9，防止竄改與損毀（protection against corruption）。以直接或遠端方式將其他裝置連接到機械，不得導致危險情況。對機械符合基本健康與安全要求至關重要的軟體與資料，必須加以識別，並防止遭到意外或蓄意的竄改與損毀。機械必須能識別其安全運作所需的已安裝軟體，並隨時提供這項資訊。它也必須收集對該軟體或其組態進行合法或非法介入的證據。
• 1.2.1，控制系統的安全性與可靠性。控制系統必須能抵禦可合理預見、會導致危險情況的第三方惡意企圖。依據 1.2.1(f)，控制系統必須保存追蹤紀錄，記載機械上市後的介入行為以及所上傳的安全軟體版本，並於上傳後保存五年。

Cyber Resilience Act

具資料連線的機械，或單獨銷售的機械零組件，屬於具數位元素的產品。製造商必須對其整合的第三方元件善盡審慎查核義務、製作至少涵蓋頂層相依套件的 SBOM、在支援期間內處理漏洞（支援期間至少五年，除非產品的預期使用期間較短），並保存技術文件至少十年或至支援期間結束，以較長者為準。

不會自動涵蓋。Cyber Resilience Act 並未賦予對機械法規的符合性推定。其前言第 53 點指出，符合 CRA 的基本要求，可能有助於符合機械法規中關於防止竄改與損毀，以及控制系統安全性與可靠性的要求。前言同時指出，製造商必須證明這一點，例如在風險評估後採用調和標準，而且兩項法規的符合性評鑑程序仍然各自適用。

正在為 1.1.9 制定的調和標準是 EN 50742《Safety of machinery: Protection against corruption》。截至 2026 年 11 月，它仍是最終草案 FprEN 50742，涵蓋 1.1.9 及 1.2.1 的相關項目；在最終版本刊登於歐盟公報之前，它並不提供符合性推定。它結合 EN ISO 12100 的風險評估與 IEC 62443 的資安概念，並接受一致採用 IEC 62443-4-1、IEC 62443-3-3 與 IEC 62443-4-2，作為達成其防護目標的同等方式。IEC 62443-4-2 依資安能力等級，訂定控制系統元件的技術資安要求。在德國，2026 年 7 月的測試原則 GS-IFA-M25 採用 prEN 50742 的用語，將防止竄改與損毀轉化為 66 項測試準則。其中 T46 要求產品能依要求提供其已安裝的軟體版本與組態。要針對每一種組態回答這個問題，就需要記錄每個軟體版本包含了什麼。

機械法規有其自身的符合性推定，但途徑不同：依據 Cybersecurity Act，即 Regulation (EU) 2019/881 所採行的歐盟資安驗證方案。依此類方案取得的證書或符合性聲明，在其涵蓋 1.1.9 與 1.2.1 要求的範圍內，可推定符合這些要求。

因此，一次風險評估與一套佐證資料可以同時用於兩項法規，但您必須分別證明對各項法規的符合性。如果您的機械具有資料連線，請同時為兩者做好規劃。軟體佐證資料，也就是 SBOM、漏洞紀錄與更新歷史，正是兩者共通的部分。

2026 年 1 月，機械產業協會要求延後 1.1.9 與 1.2.1(f) 的適用，並於 2026 年 3 月要求其改自 CRA 的適用日 2027 年 12 月 11 日起適用。這只是請求，並非法律：截至 2026 年 11 月，並未通過任何延後措施。本頁所列日期均為法規中的日期。

• 營建、物料搬運、採礦與工業機械屬於機械法規的適用範圍；當機械或其零組件具有資料連線時，也適用 CRA。
• 農林用曳引機若屬於 Regulation (EU) No 167/2013 的範圍，則排除於機械法規之外，但安裝在其上的機械除外。CRA 的排除清單並未列出該法規，因此聯網的曳引機可能屬於 CRA 的適用範圍。
• 道路車輛若依 Regulation (EU) 2019/2144 取得型式認證，則排除於 CRA 之外。
• 單獨銷售的零組件。CRA 也適用於單獨上市的軟體與硬體元件。單獨銷售 ECU 或車載資通訊單元的供應商，本身即為 CRA 下的製造商。若該單元僅內建於機械中，則由機械製造商對整台機械承擔義務，並必須對供應商的元件善盡審慎查核義務。

本文為一般性資訊，並非法律意見。請自行確認您產品的分類。

一台機械內的軟體來自不同來源，而只有建置該軟體的團隊，才能可靠地說明其中包含什麼。根據我們從機械製造商聽到的情況，裸機 ECU 所含的開源元件很少，而 Linux、Android 與 Windows 軟體則包含大量開源元件。

少量多樣。一家機械製造商可能有數百個平台在市場上，每個平台每年只賣出少量機台，而且許多機械是依訂單配置。每一種配置都是不同的軟體組合，因此每次建置都有 SBOM，比每條產品線都有 SBOM 更重要。

使用壽命長。機械會服役十年以上，而供應商可能更換或倒閉。軟體版本包含什麼的紀錄必須在建置時就產生，因為多年後無法再重建。

供應商軟體占大宗，而供應商的 SBOM 品質往往不佳。我們聽過的供應商 SBOM 有缺漏元件、沒有 package URL 或 CPE、沒有授權資訊也沒有雜湊值，有些甚至是手寫的，無法通過 schema 驗證。對已燒錄的 ECU 進行二進位分析只是權宜之計：它是在猜測內容，而不是記錄內容。

風險集中在聯網的層級。許多 ECU 邏輯由模型產生，所含的開源元件很少。開源元件與網路暴露面集中在 Linux、連線與應用程式層，因此請先將心力投注在這些地方。

以下是一個示意範例：一個虛構輪式裝載機平台的軟體堆疊，從雲端一路到 ECU。

1. 雲端後端與配套應用程式自行開發。大部分為開源，且面向網路。Cyber Resilience Act。
2. 車載資通訊閘道器嵌入式 Linux，大部分為開源，連接行動網路。Cyber Resilience Act，以及適用於遠端連線的 1.1.9。
3. 操作員顯示器搭載 UI 框架的嵌入式 Linux 映像檔，大部分為開源，連接機械匯流排與維修工具。Cyber Resilience Act 與 1.1.9。
4. 機械控制器在供應商平台上執行的自有應用程式，與安全相關。1.1.9 與 1.2.1，以及可透過連線存取時的 Cyber Resilience Act。
5. 液壓、轉向與引擎 ECU供應商韌體，專有且由模型產生，開源元件很少，與安全相關。1.1.9 與 1.2.1；Cyber Resilience Act 則經由整台機械適用。

開源元件與網路暴露面位於最上面三層，而這通常也是您自有建置管線所在之處。請從這裡開始。

機械製造商現在會為所採購的軟體訂定 SBOM 要求，例如 package URL 或 CPE、授權、雜湊值，以及可通過驗證的格式，並退回未通過的檔案。如果您以 GitHub Actions 建置，CRACI 會從建置本身產生 SBOM，因此它列出的是實際進入版本的內容，包括任何 lockfile 都沒有列出的元件，且每個元件都附有 package URL 與宣告的授權。請將匯出的內容與客戶要求的完整欄位清單比對。進一步了解如何回應客戶的 SBOM 要求。