網路韌性法規指南

具數位元素之產品同時符合兩項條件時，即在 CRA 適用範圍內。第一，它在歐盟市場上供應，也就是在商業活動過程中提供，不論有償或免費。第二，其預定用途或可合理預見之使用，包含與裝置或網路之間的直接或間接資料連線。

CRA 本身僅排除以下產品：

• 適用歐盟醫療器材、體外診斷醫療器材或機動車輛型式認證規定的產品
• 依歐盟法規 (EU) 2018/1139 取得認證的民用航空產品
• 適用指令 2014/90/EU 的船舶設備
• 用於替換相同元件，且依相同規格製造的備用零件
• 僅為國家安全或國防目的而開發或修改，或專門設計用於處理機密資訊的產品

其他產業法規只能透過執委會的授權法案排除產品，而且僅限於該法規的規定提供至少同等保護的情況。歐盟授權規則 (EU) 2025/1535 即是其中之一：它排除適用歐盟二輪與三輪車輛及四輪車規定的產品，但設計為可踩踏的 L1e 類車輛除外。

線上服務只有作為某項產品的一部分，也就是作為該產品的遠端資料處理時，才在適用範圍內：它在遠端處理資料；其軟體由該產品的製造商設計與開發，或在製造商的責任下設計與開發；且少了它，產品將無法執行其中一項功能。

自由開源軟體只有在商業活動過程中提供時才適用；前言指出，判斷標準在於其製造商是否藉此營利。位於歐盟境外的製造商，只要其產品在歐盟市場上供應，即適用 CRA。製造商可以透過書面授權，在歐盟境內指定一名授權代表，但不能將設計或弱點處理等核心義務交由其執行。

附件 I 載明基本資安要求，自 2027 年 12 月 11 日起適用。第 I 部分以一項規定為起點：資安水準須與風險相稱。其 13 項具體要求依您的資安風險評鑑而定，且僅於適用時為之。

因此，風險評鑑要先做。您的技術文件須載明第 I 部分各項要求如何適用，並就不適用的要求提出明確理由。

第 II 部分訂定八項弱點處理義務，適用期間自產品投入市場起，至支援期間結束為止（見第 7 節）。其中包括不延遲地修補弱點、定期測試安全性、落實協同弱點揭露政策，以及建立軟體物料清單（SBOM）。SBOM 須採用常用且機器可讀的格式，內容至少涵蓋最上層相依元件。您不必公開 SBOM，但市場監督機關可提出附理由的請求，要求您提供。

在產品投入市場前，編製至少包含附件 VII 所列項目的技術文件，並至少在支援期間內視情況更新。產品須隨附附件 II 所定的使用者資訊，包括回報弱點的聯絡窗口，以及支援期間的結束日期。

技術文件與歐盟符合性聲明書須保持可供市場監督機關取用，使用者資訊則須保持可供使用者及這些機關取用；期間為產品投入市場後至少 10 年，或為支援期間，以兩者較長者為準。

第 32 條訂定各項程序。採用模組 A（內部管制程序）時，由您自行評鑑產品。模組 B 後接模組 C，以及模組 H，都有公告機構參與。在有可用且適用的歐盟資安驗證機制時，也可以改用該機制。各級別的途徑如下：

• 一般級別：上述任一程序皆可，因此您可以依模組 A 自行評鑑
• 重要級別 I：只有在您完整採用調和標準、共通規範，或保證等級達「實質」（substantial）以上的資安驗證機制時，才可採用模組 A；否則採用模組 B 後接模組 C，或模組 H
• 重要級別 II：模組 B 後接模組 C、模組 H，或在有可用且適用的機制時，採用保證等級達「實質」（substantial）以上的資安驗證機制
• 關鍵級別：符合第 8(1) 條所定條件時，採用歐盟資安驗證機制；否則採用重要級別 II 產品適用的程序之一

若附件 III 所列產品是自由開源軟體，其製造商可以採用任一程序，包括模組 A，前提是在產品投入市場時公開其技術文件。此選項不適用於關鍵級別產品。

證明符合規定後，依附件 V 所列內容，以產品投入市場或於市場上供應的每個會員國所要求的語言，出具歐盟符合性聲明書。製造商一經出具聲明書，即承擔產品符合規定的責任。隨產品提供的，須是聲明書副本，或載明完整聲明書確切網址的簡化聲明書。

請在產品投入市場前標示 CE 標誌。硬體須在產品上以清楚可見、易於辨讀且不可抹除的方式標示；若因產品性質而無法或不宜如此標示，則標示於包裝及隨附的聲明書上。軟體則標示於其聲明書或隨附網站上。採用模組 H 時，CE 標誌之後須加註公告機構的識別號碼。

CRA 分階段適用。公告機構相關規定與通報義務都已開始適用：

• 2024 年 11 月 20 日：刊登於歐盟官方公報
• 2024 年 12 月 10 日：生效
• 2025 年 10 月 29 日：歐盟授權規則 (EU) 2025/1535（2025 年 7 月 29 日通過）刊登於公報；自刊登之日後第 20 日起生效
• 2026 年 6 月 11 日：公告機構相關規定（第 IV 章）已自此日起適用
• 2026 年 9 月 11 日：第 14 條的通報義務已自此日起適用，ENISA 的單一通報平台也自此日起開始運作
• 2027 年 12 月 11 日：其餘規定，包括基本要求與 CE 標誌，自此日起適用
• 2028 年 6 月 11 日：依其他歐盟產品法規核發、涉及資安的歐盟型式檢驗證書與核准決定，在此日前仍然有效，除非提前到期或該法規另有規定

2027 年 12 月 11 日前投入市場的產品，只有在該日起經實質修改時，才需要符合 CRA 的要求；但第 14 條的通報義務已自 2026 年 9 月 11 日起適用於這些產品。依不具拘束力的藍色指南與執委會常見問題，就硬體而言，投入市場是以每一件產品計算；因此，舊型號中自 2027 年 12 月 11 日起投入市場的每一件新產品，都必須符合規定。

行政罰鍰有三級上限，每一級為固定金額或前一會計年度全球年營業總額的一定比例。違反基本要求，或違反第 13 條與第 14 條規定的義務，罰鍰最高可達 1,500 萬歐元或 2.5 %，以兩者較高者為準。

違反其他列舉的義務，包括與符合性聲明書、CE 標誌及符合性評鑑相關的義務，以及進口商與經銷商的義務，罰鍰最高可達 1,000 萬歐元或 2 %，以兩者較高者為準。向公告機構或市場監督機關提供不正確、不完整或誤導性的資訊，罰鍰最高可達 500 萬歐元或 1 %，以兩者較高者為準。開源軟體管理者不會被處以行政罰鍰。