2026 年每日通報的 CVE 數量比前一年多 131%。

什麼是 Cyber Resilience Act？

這部歐盟法律為硬體與軟體產品訂定網路安全規則，以及它對製造這些產品的企業有哪些要求

Cyber Resilience Act（CRA），即規則（EU）2024/2847，是一部歐盟法規，為具數位元素的產品訂定強制性網路安全要求。這類產品是指連接到裝置或網路的硬體與軟體，從路由器、智慧家庭裝置，到應用程式、作業系統，以及單獨銷售的軟體元件都包括在內。它於 2024 年 12 月 10 日生效。自 2026 年 9 月 11 日起，製造商必須通報遭積極利用的漏洞與嚴重資安事件，法規其餘部分則自 2027 年 12 月 11 日起適用。

大部分義務由製造商承擔。製造商須評估網路安全風險、依照附件 I 的基本要求打造產品、保存軟體物料清單（SBOM）、在至少五年的支援期間內處理漏洞、通過符合性評鑑並加貼 CE 標示。進口商與經銷商則負責確認上述事項已經完成。罰鍰最高可達 1,500 萬歐元或全球年營業額的 2.5%。

CRACI 會自動處理這些義務所需佐證資料中相當大的一部分：它會把每次建置取用的元件記錄為 SBOM、在出貨後依據新漏洞重新檢查，並為您的技術文件匯出稽核佐證資料。當漏洞必須通報時，CRACI 會為您準備 CRA 通報的內容，供您提交。請參閱 CRACI 如何支援 CRA 法規遵循。

What the Cyber Resilience Act asks manufacturers to do

Regulation (EU) 2024/2847 的適用範圍、生效日期、通報期限，以及 SBOM 與漏洞處理義務所在的條文位置。

Petteri Pulkkinen和Erika Marttinen 於 Kubernetes Community Days Helsinki 2026，SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains 的 8:03 至 15:20。

重要時程

日期內容
2024 年 10 月 23 日 歐洲議會與理事會通過規則（EU）2024/2847
2024 年 11 月 20 日 刊登於歐盟官方公報
2024 年 12 月 10 日 生效
2026 年 6 月 11 日 符合性評鑑機構通知相關規定（第 IV 章）開始適用
2026 年 9 月 11 日 遭積極利用的漏洞與嚴重資安事件的通報（第 14 條）開始適用，已在市場上的產品亦包括在內
2027 年 12 月 11 日 法規其餘部分開始適用

CRA 的重點

強制性資安要求

產品在投放市場時以及整個支援期間，都必須符合附件 I 所列的基本網路安全要求。

以風險為基礎的分類

多數產品屬於預設類別。重要與關鍵產品則須採用更嚴格的符合性評鑑途徑。

漏洞處理

製造商須保存 SBOM、不延遲地修補漏洞，並在 24 小時內通報遭積極利用的漏洞。

CE 標示

完成符合性評鑑後，製造商須簽署歐盟符合性聲明並加貼 CE 標示。

文件與透明度

技術文件須保存至少 10 年或整個支援期間，並讓使用者得知支援何時終止。

市場監督

各國主管機關可要求提供文件、命令採取矯正措施或召回產品，並處以罰鍰。

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

CRA 影響哪些對象？

製造商

任何開發或製造具數位元素產品、或委託他人製造，並以自身名稱或商標上市的人，無論收費或免費。位於歐盟以外的製造商，只要銷售到歐盟，也在適用範圍內。

進口商與經銷商

進口商與經銷商在將產品於歐盟上市之前，必須確認產品已加貼 CE 標示，且製造商已履行其義務。

開源軟體

僅在商業活動過程中提供的開源軟體才在適用範圍內。開源軟體管理者適用較寬鬆的制度，而製造商仍須對其納入的開源元件負責。

軟體與 SaaS 供應商

以產品形式銷售的軟體在適用範圍內，產品運作所需的雲端後端也是。單純的軟體即服務則受 NIS2 規範，而非 CRA。

不在適用範圍內：已受歐盟醫療器材、體外診斷器材與車輛型式認證規則規範的產品、經認證的航空產品、船舶設備、相同的備用零件，以及專為國家安全或國防打造的產品（第 2 條）。

產品類別與符合性評鑑

每家製造商在將產品投放市場前，都必須進行符合性評鑑。評鑑途徑取決於產品所屬的類別。

類別範例符合性評鑑
預設類別 未列於附件 III 或 IV 的多數具數位元素產品 允許自我評鑑（內部控制）
重要產品，第 I 類（附件 III） 身分與存取管理、瀏覽器、密碼管理工具、VPN、作業系統、路由器與交換器、智慧家庭安全產品 僅在採用調和標準、共通規格或認證計畫時可自我評鑑；否則須由通知機構評鑑
重要產品，第 II 類（附件 III） 虛擬化管理程式（hypervisor）與容器執行環境、防火牆與入侵偵測系統、防竄改微處理器與微控制器 由通知機構進行第三方評鑑，或採用歐洲網路安全認證計畫
關鍵產品（附件 IV） 具備安全盒的硬體裝置、智慧電表閘道器、智慧卡與安全元件 執委會有要求時須取得歐洲網路安全證書；否則須進行第三方評鑑

基本要求

附件 I 訂有兩組基本要求。第一組涵蓋產品本身，並以有記錄的網路安全風險評估為基礎：

  • 產品投放市場時不得含有已知的可利用漏洞
  • 預設即安全的組態
  • 安全性更新，適用時預設自動更新
  • 防範未經授權的存取，並保護資料的機密性與完整性
  • 資料最小化、基本功能的可用性，以及有限的攻擊面
  • 安全且永久地移除使用者資料與設定

第二組涵蓋製造商如何處理漏洞：

  • 至少涵蓋最上層相依套件的 SBOM
  • 不延遲地修補漏洞，在可行時將安全性更新與功能更新分開
  • 定期進行安全測試與審查
  • 協同漏洞揭露（CVD）政策，以及通報漏洞的聯絡窗口
  • 在更新可用後公開揭露已修正的漏洞
  • 以安全方式免費發布更新，並附上資安公告訊息

製造商還必須訂定至少五年的支援期間（除非產品的預期使用期間較短）、讓每個安全性更新至少可取得 10 年，並將技術文件與歐盟符合性聲明保存至少 10 年或整個支援期間，以較長者為準（第 13 條）。

通報義務與時限

自 2026 年 9 月 11 日起，製造商須透過單一通報平台（Single Reporting Platform），同時向其主要歐盟成員國指定為協調者的 CSIRT 及 ENISA，通報遭積極利用的漏洞與嚴重資安事件（第 14 條）。這也適用於已在市場上的產品。

步驟遭積極利用的漏洞嚴重資安事件
早期預警 知悉後 24 小時內 知悉後 24 小時內
通報 72 小時內，附上產品、漏洞利用方式與任何緩解措施的詳細資訊 72 小時內，附上初步評估與任何緩解措施
最終報告 最遲於矯正或緩解措施可用後 14 天內 事件通報後一個月內

製造商也必須通知受影響的使用者，並在適當時通知所有使用者，提供他們可採取的緩解措施。要趕上 24 小時的時限，關鍵在於能在數小時內得知哪些產品與版本含有該有漏洞的元件，而這正是每個版本的 SBOM 的用途。

罰則

各成員國在以下上限內訂定罰則（第 64 條）。市場監督機關也可以命令採取矯正措施，或下架、召回產品。

違規事項行政罰鍰上限
基本網路安全要求（附件 I）與製造商義務（第 13 條與第 14 條） 最高 1,500 萬歐元或全球年營業額的 2.5%，以較高者為準
其他義務，包括進口商與經銷商的義務、符合性聲明、CE 標示、技術文件與符合性評鑑 最高 1,000 萬歐元或全球年營業額的 2%，以較高者為準
向通知機構或市場監督機關提供不正確、不完整或具誤導性的資訊 最高 500 萬歐元或全球年營業額的 1%，以較高者為準

微型與小型企業不會因錯過 24 小時早期預警期限而被處以罰鍰，開源軟體管理者則不會因任何違規而被處以罰鍰。

開源與 CRA

自由與開源軟體僅在商業活動過程中提供時才在適用範圍內，而將專案託管在開放的儲存庫或套件管理工具上，本身並不構成在市場上提供。開源軟體管理者，也就是支援供商業使用之開源專案的基金會等法人，必須具備有記錄的網路安全政策、與市場監督機關合作，並在其參與開發的範圍內通報遭積極利用的漏洞（第 24 條）。

對製造商而言，開源軟體與其他元件無異。製造商在整合時必須善盡盡職調查，將發現的漏洞通報給維護該專案的一方，並分享自行開發的修正（第 13 條）。這正是 SBOM 重要的原因：它記錄了每個版本發布中出貨了哪些開源元件、是哪些版本。

CRA 對開發團隊的意義

如今的產品大多是別人寫的程式碼：開源函式庫、從套件庫拉取的套件、容器基礎映像檔、第三方 SDK，以及組裝這一切的建置工具與 CI/CD 管線。SolarWinds 攻擊是經由建置系統發動的，而 Log4Shell 則是廣泛使用的函式庫中的漏洞；兩者都波及了最終產品。CRA 要求製造商為這一切負責，包括對其納入的第三方與開源元件善盡盡職調查（第 13 條）。

實務上，為 CRA 做準備的團隊會：

  • 掌握每個版本發布出貨的內容：在每次建置時，以 CycloneDX 或 SPDX 等機器可讀格式產生 SBOM，而不是只在發布時產生一次
  • 監控已發布的版本，而不只是主要分支，因為在支援期間內，發布後發現的漏洞仍必須不延遲地修補
  • 議定相依套件政策：如何挑選與審查新元件、更新多快導入，以及哪些檢測結果會阻擋版本發布
  • 演練 24 小時時限：由誰確認遭積極利用、由誰提出早期預警、由誰通知使用者
  • 隨時保存佐證資料，因為建置記錄、SBOM 與測試結果都會納入必須保存至少 10 年的技術文件

若要以逐步藍圖的方式了解各項要求，請參閱 CRA 指南。另請參閱 CRA 對 SBOM 的要求與 CRACI 如何支援 CRA 法規遵循。您是否為製造商供應元件？請參閱供應商 SBOM 指南。

Cyber Resilience Act 常見問題

針對製造商最常詢問的 CRA 問題，提供簡短的解答

什麼是 Cyber Resilience Act？

Cyber Resilience Act（CRA），即規則（EU）2024/2847，是一部歐盟法規，為投放歐盟市場的具數位元素硬體與軟體產品訂定強制性網路安全要求。它要求製造商從設計階段起，到至少五年的支援期間結束為止，對安全性負責，包括漏洞處理、SBOM，以及遭積極利用之漏洞的通報。

Cyber Resilience Act 何時適用？

它於 2024 年 12 月 10 日生效。第 14 條的通報義務自 2026 年 9 月 11 日起適用，符合性評鑑機構相關規定自 2026 年 6 月 11 日起適用，法規其餘部分則自 2027 年 12 月 11 日起適用。

CRA 是否適用於軟體與 SaaS？

以產品形式銷售或提供的軟體都在適用範圍內，包括應用程式、作業系統、韌體，以及單獨投放市場的軟體元件。雲端服務僅在作為產品的遠端資料處理時才適用，例如讓您控制智慧家庭裝置的雲端後端。單純的軟體即服務則改受 NIS2 規範（前言第 12 點）。

CRA 是否適用於開源軟體？

僅適用於在商業活動過程中提供的開源軟體。非商業性的開源專案不在其適用範圍內。開源軟體管理者（例如支援供商業使用之專案的基金會）適用較寬鬆的制度，且不會被處以罰鍰。將開源元件納入產品的製造商，仍須對這些元件負完全責任。

CRA 的通報要求有哪些？

製造商須透過單一通報平台（Single Reporting Platform），向其協調 CSIRT 與 ENISA 通報遭積極利用的漏洞與嚴重資安事件：24 小時內提出早期預警，72 小時內提出通報；漏洞須在修正後 14 天內、資安事件須在一個月內提出最終報告。製造商也必須通知受影響的使用者。

CRA 是否要求 SBOM？

是。附件 I 第 II 部分要求以常用且機器可讀的格式提供軟體物料清單（SBOM），至少涵蓋最上層的相依套件。它屬於技術文件的一部分，須應市場監督機關要求提供；不必公開發布。

CRA 的罰則為何？

違反基本要求或製造商義務者，最高可處 1,500 萬歐元或全球年營業額的 2.5%；違反其他義務者，最高 1,000 萬歐元或 2%；誤導主管機關者，最高 500 萬歐元或 1%。微型與小型企業不會因錯過 24 小時早期預警期限而被處以罰鍰。

CRA 是否適用於已在市場上的產品？

通報義務自 2026 年 9 月 11 日起適用於這些產品。除此之外，2027 年 12 月 11 日前投放市場的產品，只有在該日期之後經過重大修改，才會受 CRA 規範。

取得 CRA 流程所需的佐證資料

了解 CRACI 如何從您的建置記錄 SBOM、監控您已出貨的內容，並為您準備 CRA 通報以供提交

預約示範 確認 CRA 是否適用於您