常見問題

若您的產品同時符合以下三項條件，且不屬於任何排除項目，CRA 即適用：

• 它是具數位元素之產品：軟體或硬體，包括單獨上市的元件，加上其運作所需的遠端資料處理
• 它在歐盟市場上供應：在商業活動過程中提供，不論有償或免費
• 其預定用途或可合理預見之使用，包含與裝置或網路之間的直接或間接連線

CRA 本身僅排除以下產品：

• 適用歐盟醫療器材、體外診斷醫療器材或機動車輛型式認證規定的產品
• 依歐盟法規 (EU) 2018/1139 取得認證的民用航空產品
• 適用指令 2014/90/EU 的船舶設備
• 用於替換相同元件，且依相同規格製造的備用零件
• 僅為國家安全或國防目的而開發或修改，或專門設計用於處理機密資訊的產品

其他產業法規本身並不會限制或排除產品的適用。這需要執委會制定授權法案，而且僅限於該法規的規定提供至少同等保護的情況。

歐盟授權規則 (EU) 2025/1535 即對適用歐盟二輪與三輪車輛及四輪車規定的產品作出此項排除，但設計為可踩踏的 L1e 類車輛除外。

免費並不會讓產品排除於適用範圍之外。CRA 涵蓋在商業活動過程中的供應，不論有償或免費。

法規本身並未定義「商業活動」，但前言提供了判斷指標，例如：就技術支援收取高於成本的費用、透過產品從其他服務營利，或為了安全性、相容性或互通性以外的理由要求提供個人資料。

備用零件只有在用於替換相同的元件，且依相同規格製造時，才不適用 CRA。

這包括供 CRA 適用前已於市場上供應之產品使用的零件，以及已經過 CRA 符合性評鑑的零件。

執委會不具拘束力的指引，僅將此規定適用於專為維修已在市場上的產品或延長其使用壽命而供應的零件。

一般級別，除非產品的核心功能符合列名類別：附件 III 的重要產品（19 類重要級別 I 或 4 類重要級別 II），或附件 IV 的 3 類關鍵級別產品。

僅是內嵌某項列名功能（例如防火牆）並不足夠。

歐盟執行規則 (EU) 2025/2392 說明各類別，而您的級別決定您的符合性評鑑途徑。

只有在商業活動過程中提供時才適用。前言指出，判斷標準在於製造商是否藉此營利，而非軟體如何開發或取得資金。

開源軟體管理者是指製造商以外、持續支援擬用於商業活動之開源軟體的法人，自 2027 年 12 月 11 日起依第 24 條負擔較輕的義務。

行政罰鍰不適用於開源軟體管理者。

獨立的線上服務本身並非具數位元素之產品。它只有作為某項產品的遠端資料處理時才適用，也就是必須同時符合以下各項：

• 它在遠端處理資料
• 其軟體由該產品的製造商設計與開發，或在製造商的責任下設計與開發
• 少了它，產品將無法執行其中一項功能

執委會不具拘束力的指引補充，僅在瀏覽器中執行的網頁應用程式以及僅提供資訊的網站不在適用範圍內，除非它們支援某項產品的功能。

適用，只要您的產品在歐盟市場上供應。

您可以透過書面授權，在歐盟境內指定一名授權代表，但不能將設計或弱點處理等核心義務交由其執行。

執委會不具拘束力的常見問題認為，位於歐盟境外的製造商必須有一家進口商、一名授權代表或一家履約服務提供者。

這些要求載於附件 I，自 2027 年 12 月 11 日起適用：

• 第 I 部分：針對產品本身的 13 項要求，例如預設即安全之組態，依您的資安風險評鑑而定，且僅於適用時為之
• 第 II 部分：八項弱點處理義務，例如不延遲地修補弱點，適用期間自產品投入市場起，至支援期間結束為止

需要。附件 I 第 II 部分要求以常用且機器可讀的格式建立軟體物料清單，內容至少須涵蓋最上層相依元件，不一定要涵蓋每一層巢狀相依元件。

您不必公開 SBOM，但市場監督機關可提出附理由的請求，要求您提供。

支援期間是您必須依附件 I 第 II 部分有效處理產品弱點的期間，包括透過資安更新。

支援期間至少須為五年；若產品的預期使用時間較短，則為該預期使用時間。

您必須在購買時載明支援期間的結束日期，至少包含月份與年份。

必須免費，除非您與企業使用者就客製化產品另有約定。此例外絕不適用於消費者。

支援期間內發布的每一項資安更新，都必須在發布後至少 10 年內，或在支援期間的剩餘期間內，維持可供取得，以兩者較長者為準。

自 2026 年 9 月 11 日起，您必須通報產品中遭積極利用的弱點，以及影響產品安全性的嚴重事件。

每一則通報都須透過 ENISA 的單一通報平台提交，同時送達被指定為協調者的 CSIRT 與 ENISA，並遵守以下期限：

• 早期預警：不得無故延遲，於知悉後 24 小時內
• 通報：不得無故延遲，於知悉後 72 小時內
• 最終報告（弱點）：修補或緩解措施可供使用後 14 日內
• 最終報告（嚴重事件）：事件通報後一個月內

不必。強制通報僅涵蓋遭積極利用的弱點與嚴重事件。若有可靠證據顯示，惡意行為者曾在未經系統擁有者許可的情況下，於該系統中利用某弱點，該弱點即屬遭積極利用。

基於善意發現且未遭惡意利用的弱點不必通報，但您可以自願通報。

已備妥修補並不會免除義務：早期預警仍須在 24 小時內提交。

已經上線。ENISA 的單一通報平台（portal.cra-srp.enisa.europa.eu）自 2026 年 9 月 11 日起開始運作，受理第 14 條規定的強制通報。

平台目前尚不受理第 15 條規定的自願通報；您可以向被指定為協調者的 CSIRT 提出。

無論平台顯示什麼，法定的 72 小時期限都自您知悉時起算。

技術文件與歐盟符合性聲明書，應在產品投入市場後至少 10 年內或支援期間內（以兩者較長者為準），保持可供市場監督機關取用。

使用者資訊與說明亦同，包括以線上方式提供者。

進口商應在同一期間內保存一份聲明書副本，並確保技術文件能在受請求時提供。

以自己的名稱或商標銷售產品的進口商，或對產品進行實質修改的進口商或經銷商，視為製造商。

您的義務取決於您的角色：

• 進口商：只將符合附件 I 的產品投入市場
• 進口商：在此之前，確認已完成符合性評鑑，且技術文件、CE 標誌、歐盟符合性聲明書與使用者資訊均已具備
• 進口商：在產品、其包裝或隨附文件上加註您的名稱與聯絡資訊
• 經銷商：確認 CE 標誌，並確認製造商與進口商已履行特定義務，例如提供使用者資訊與聲明書

CRA 自 2024 年 12 月 10 日起生效，並分階段適用：

• 公告機構相關規定（第 IV 章）：已自 2026 年 6 月 11 日起適用
• 通報義務（第 14 條）：已自 2026 年 9 月 11 日起適用，也涵蓋 2027 年 12 月 11 日前投入市場的產品
• 其餘規定，包括基本要求與 CE 標誌：自 2027 年 12 月 11 日起適用

行政罰鍰有三級上限，每一級為固定金額或前一會計年度全球年營業總額的一定比例：

• 1,500 萬歐元或 2.5 %，以兩者較高者為準：違反基本要求，或違反第 13 條與第 14 條規定的義務
• 1,000 萬歐元或 2 %，以兩者較高者為準：違反其他列舉的義務，包括授權代表、進口商與經銷商的義務
• 500 萬歐元或 1 %，以兩者較高者為準：向公告機構或市場監督機關提供不正確、不完整或誤導性的資訊

微型與小型企業未能在 24 小時早期預警期限內提交，不會因此被處以罰鍰，但仍須通報。

開源軟體管理者不會被處以行政罰鍰。

2027 年 12 月 11 日前投入市場的產品，只有在該日起經實質修改時，才需要符合 CRA；但第 14 條的通報義務已適用於這些產品（詳見下一題）。

依其他歐盟產品法規核發、涉及資安的歐盟型式檢驗證書與核准決定，在 2028 年 6 月 11 日前仍然有效，除非提前到期或該法規另有規定。

涵蓋。第 14 條適用於 2027 年 12 月 11 日前投入市場、且在適用範圍內的所有產品，因此自 2026 年 9 月 11 日起，您必須在一般期限內，通報這些產品遭積極利用的弱點與嚴重事件。

執委會不具拘束力的指引補充，支援期間結束後仍須持續通報；且若您在 2026 年 9 月 11 日前已知悉某弱點遭積極利用，則不必通報該弱點。

在符合性評鑑證明產品符合附件 I 之後，CE 標誌由您在產品投入市場前自行標示。各級別的途徑如下：

• 一般級別：可自行評鑑（內部管制程序，模組 A）
• 重要級別 I：僅在完整採用調和標準、共通規範或歐盟資安驗證機制時，才可自行評鑑；否則須由第三方評鑑
• 重要級別 II：須由第三方評鑑
• 關鍵級別：在第 8(1) 條適用時，採用歐盟資安驗證機制；否則採用重要級別 II 的第三方程序

硬體須在產品上以清楚可見、易於辨讀且不可抹除的方式標示 CE 標誌；若因產品性質而無法或不宜如此標示，則標示於包裝及隨附的聲明書上。軟體則標示於其聲明書或隨附網站上。

採用模組 H 時，CE 標誌之後須加註公告機構的識別號碼。

當更新構成實質修改時：也就是產品投入市場後所做的變更，影響其對附件 I 第 I 部分的符合性，或改變產品當初接受評鑑時的預定用途。

旨在降低風險的資安更新不屬於實質修改，只要預定用途維持不變。

此時產品須重新檢查其符合性，並於適用時重新進行符合性評鑑。執委會不具拘束力的指引表示，該評鑑可以聚焦於修改的部分，除非該變更損及整個產品的資安。

通報義務已自 2026 年 9 月 11 日起適用：若產品在適用範圍內，須能在知悉後 24 小時內提交早期預警。接著使用適用範圍檢核與產品分級查詢。

EN 40000 是為 CRA 制定的歐洲標準系列，每一部分都仍是草案：

• EN 40000-1-1 草案：資安詞彙
• EN 40000-1-2 草案：原則、產品風險管理與生命週期活動
• EN 40000-1-3 草案：弱點處理

您無法依草案取得認證，草案也不提供符合性推定。依第 27(1) 條，只有已在歐盟官方公報刊登編號的調和標準才能提供。

草案尚未定稿，不影響附件 I 的基本要求自 2027 年 12 月 11 日起適用。

不是。本網站及其工具是教育與文件資源，並非法律、法規或符合性評鑑意見。

它們不核發 CE 標誌或證書，工具結果只是可能結果，而非判定。