歐盟CRA震撼來襲，製造業打國際盃別再靠補件過關
歐盟《網際韌性法》（Cyber Resilience Act，CRA）把含數位元素產品的資安責任，從自願性最佳實務推向上市前後都要被檢視的法定門檻。對台灣製造業而言，這不是遙遠的布魯塞爾新聞，而是訂單、標案與通路審查很快就會遇到的語言。產品若連網、具備資料處理或可遠端更新能力，從工業控制器、網通設備、智慧家電到嵌入式軟體，都可能被買主要求交代漏洞管理、安全更新期間、供應鏈成分與事件通報流程。CRA主要義務在2027年底全面適用，漏洞與重大事件通報則更早啟動，這意味著企業不能等到產品要出貨才把法務、品保與資安找來補文件；設計階段的威脅建模、元件清單、預設安全設定，會直接決定後續能不能留下可查證的證據。台灣法規也不是另一個抽屜：若企業被指定為資通安全管理法下的特定非公務機關，資安維護計畫、稽核與通報義務本來就跑不掉；個人資料保護法牽動客戶資料與事故通知；營業秘密法要求漏洞細節、測試報告與供應商合約被妥善分級保護；消費者保護與產品責任規範則讓安全更新與警示不能只做半套。製造業真正要面對的，是把歐盟合規語言轉譯成研發、採購、生產、客服都聽得懂的流程，並且讓台灣在地的資安治理、個資保護與營業秘密管理同步到位。只靠型錄寫一句資安設計，或把責任全推給上游晶片與軟體供應商，已經很難通過國際客戶的盡職調查。產品要賣進歐洲，合規證據必須能追溯、能更新、能在外稽時說清楚。
把CRA要求拆進產品生命週期，而不是留給法務收尾
CRA的合規起點不在文件夾，而在產品設計會議。製造業可先盤點哪些產品含數位元素、是否連網、是否處理個資、是否具備遠端更新與雲端服務，再依風險等級決定威脅建模、安全需求與測試深度。研發團隊需要把預設密碼、權限控管、加密通訊、更新簽章與漏洞修補機制寫進規格，採購團隊則要取得軟體料件清單與開源元件授權資訊，品保團隊要保留測試紀錄與版本追溯。若企業同時受資通安全管理法或客戶合約約束，資安維護計畫、存取控制、日誌留存與事故通報演練可與CRA技術文件整合，避免同一件事做兩套。產品上市前要能回答誰維護、維護多久、漏洞從哪裡通報、更新如何驗證；上市後要能證明修補沒有破壞相容性。這些證據不是法務單獨補得出來，而是研發、資安、品保與供應鏈共同留下的工作成果。把合規拆進需求、設計、驗證、量產與售後階段，才不會在客戶稽核前才發現缺料、缺紀錄、缺責任人。
供應鏈資安證據要能追溯，台灣法規下的資料保護也要同步
製造業的資安風險很少只在自己廠內，晶片、韌體、開源套件、雲端服務與委外開發都可能把漏洞帶進產品。面對CRA，供應商合約應要求提供軟體料件清單、漏洞通報窗口、修補時限、安全更新支援期間與事件協作義務；重要元件更要保留版本、來源、雜湊值與驗證紀錄，讓產品出問題時能快速定位。台灣法規下的資料保護也要一起看：個人資料保護法要求企業對個資事故有通知與防護措施，營業秘密法則提醒漏洞細節、測試報告與客戶拓撲圖不能任意對外揭露，供應商存取客戶資料時要有權限分級與稽核軌跡。跨境傳輸、遠端維護與售後日誌若含個資或營業秘密，應先確認蒐集目的、保存期限與接收對象，並以合約和技術措施降低外洩風險。採購單位不能只比價格與交期，資安證據要成為選商門檻；研發單位也不能把開源元件當成免費黑箱。供應鏈可追溯，出事時才能切割影響範圍，對外通報也才有可信依據。
從通報、標示到上市後監控，製造業可先做的合規清單
CRA把上市後監控拉進合規核心，企業需要建立產品資安事件回應小組，明確誰判斷漏洞、誰通知客戶、誰與歐盟主管機關或客戶窗口對接。若產品發生遭積極利用的漏洞或重大事件，通報時鐘會比一般客訴更緊迫，內部演練應涵蓋早期預警、詳細通報與後續報告的資料來源。產品標示與技術文件也要能對應實際版本，CE符合性聲明、使用說明、安全更新政策與支援終止日不能各自為政。製造業可先做四件事：建立產品與軟體版本清單，指定漏洞接收管道，訂出安全更新與終止支援規則，演練一次跨部門通報。業務端則要把合規成本納入報價與合約，避免承諾無法履行的更新年限。客戶問卷、經銷商稽核與歐盟進口商要求會愈來愈細，企業若能以同一套證據回應CRA、資通安全管理法與個資保護要求，就能減少重工。產品賣出去不是終點，漏洞監控、修補發布、客戶通知與文件更新才是國際市場信任的起點。
【其他文章推薦】
買不起高檔茶葉，精緻包裝茶葉罐，也能撐場面!
SMD electronic parts counting machine
哪裡買的到省力省空間，方便攜帶的購物推車?
空壓機這裡買最划算!
塑膠射出工廠一條龍製造服務
告別頻繁維修！5 個延長堆高機電池與壽命的日常保養祕訣