歐盟有兩部資安法規，正在改變台灣廠商出口歐洲的條件。《網路韌性法》（Cyber Resilience Act，CRA，Regulation (EU) 2024/2847）是產品法規：在歐盟市場銷售、會與裝置或網路連接的軟硬體產品，製造商從設計、開發到整個支援期間都要符合資安要求；它在所有會員國直接適用，不像指令需要各國先轉化為國內法[1]。CRA 的主要義務從 2027 年 12 月 11 日起適用，但「遭積極利用的漏洞」與「嚴重事件」的通報義務已經從 2026 年 9 月 11 日開始適用，連 2027 年 12 月以前就已上市的產品也包括在內[1]。

《NIS2 指令》（Directive (EU) 2022/2555）規範的則是在歐盟提供服務或營運的中大型組織，涵蓋能源、運輸、醫療、數位基礎設施、製造業等領域，由各會員國轉化為國內法施行[2]。它原則上不直接管台灣公司，但要求這些組織管理供應鏈資安[2]，所以歐洲客戶會把要求寫進合約與問卷，最後落到台灣供應商身上。

這篇寫給把產品賣進歐盟的台灣製造商、軟體與 IoT 廠商，以及供貨給 NIS2 涵蓋產業之歐洲客戶的台灣供應商。內容依據歐盟官方法規文本與執委會、ENISA 的說明整理，不是法律意見；個案適用請洽熟悉歐盟產品法規的專業顧問。

CRA 管什麼：範圍、時程與角色

CRA 適用於在歐盟市場上提供、預期用途或可合理預見的使用方式包含與裝置或網路直接或間接資料連接的「具數位元素產品」，包括軟硬體產品及其遠端資料處理方案，也包括單獨上市的軟硬體元件[1]。遠端資料處理指製造商設計開發、產品少了它就無法執行某項功能的遠端處理，例如讓使用者遠端控制智慧家電的雲端功能；不支援產品功能的網站不在範圍內，SaaS 等雲端服務則歸 NIS2 規範[1]。已有專門法規的醫療器材、車輛與航空產品、船舶設備、相同規格的備品，以及專為國防或國家安全開發的產品排除在外；不是在商業活動中提供的開源軟體也不在範圍內[1]。執委會在 2026 年 7 月 27 日發布 CRA 適用指引，以 67 個實例說明適用範圍、開源軟體、重大修改、支援期間與通報義務；指引沒有法律拘束力，但可以用來判斷自家產品是否在範圍內[3]。中文資料可參考經濟部國際貿易署「全球商機資訊」在 2024 年 11 月刊出、駐歐盟代表處經濟組整理的 CRA 公告摘要[4]，細節仍以歐盟官方文本為準。

關鍵日期

CRA 於 2024 年 11 月 20 日刊登於歐盟公報，第 20 天即 2024 年 12 月 10 日生效；第四章關於公告機構（notified body，第三方符合性評鑑機構）的條文自 2026 年 6 月 11 日適用，第 14 條通報義務自 2026 年 9 月 11 日適用，其餘條文自 2027 年 12 月 11 日全面適用[1]。在 2027 年 12 月 11 日以前上市的產品，之後有重大修改才須符合 CRA 要求，但通報義務適用於所有在範圍內的產品，不論何時上市[1]。

無線產品另外要注意：無線電設備指令（RED）授權規則 (EU) 2022/30 的資安要求，已自 2025 年 8 月 1 日起適用於其涵蓋的無線電設備，對應的調和標準是 EN 18031 系列；執委會在 2025 年 12 月的 CRA FAQ 表示，CRA 涵蓋這些要求，並打算自 2027 年 12 月 11 日起廢止這份授權規則[5]。

台灣公司是哪個角色

  • 製造商：開發或製造產品（或委託他人設計製造），並以自己的名稱或商標銷售的人[1]。以自有品牌賣進歐盟的台灣公司就是製造商，即使在歐盟沒有據點。
  • ODM／OEM 代工：以歐洲客戶品牌上市時，客戶才是製造商；進口商或經銷商以自己的品牌上市，或對產品做了重大修改，也會被視為製造商[1]。代工廠不直接承擔製造商義務，但製造商整合第三方元件時必須盡到審慎義務，發現元件漏洞時要通報元件的製造或維護者[1]，這些要求自然會轉到代工廠身上。
  • 進口商與經銷商：在歐盟設立的進口商上市前，必須確認製造商已完成符合性評估、備妥技術文件、產品有 CE 標章、符合性聲明、使用說明、聯絡方式與支援期間結束日期；經銷商銷售前也要確認 CE 標章與必要文件；兩者得知產品有漏洞時都要通知製造商[1]。

在歐盟沒有據點的台灣製造商，仍要自己承擔第 13 條（製造商義務）與第 14 條（通報）。CRA 允許以書面委任一位歐盟授權代表，但依附件一設計產品、風險評估、處理漏洞、擬訂技術文件等核心義務不能委任出去[1]。

製造商的義務：從設計到支援期結束

基本資安要求與漏洞處理（附件一）

製造商要先做資安風險評估並寫成文件，在設計、開發、生產與維護各階段納入結果[1]。附件一第一部分要求產品依風險做到：上市時沒有已知、可被利用的漏洞；預設安全設定並可重設；能以安全更新修補漏洞，適用時預設啟用自動更新並可退出；以身分驗證與存取控制防止未經授權存取；以加密等方式保護資料的機密性與完整性；資料最小化；保護基本功能的可用性、抵禦阻斷服務攻擊，並降低產品本身對其他裝置或網路的影響；限縮攻擊面；記錄相關內部活動；讓使用者能安全、永久地刪除資料與設定[1]。

附件一第二部分則是漏洞處理流程[1]：

  • 以常用、機器可讀的格式產製軟體物料清單（SBOM），至少涵蓋最上層的相依元件
  • 依風險不延遲地修補漏洞；技術上可行時，安全更新與功能更新分開提供
  • 定期測試與審查產品安全
  • 更新釋出後公開已修補漏洞的說明、影響與嚴重程度；有正當理由時可延到使用者有機會更新後再公開
  • 制定並執行協調式漏洞揭露（CVD）政策，提供漏洞通報的聯絡地址
  • 安全散布更新，並及時、免費提供安全更新與說明（與企業客戶另有約定的客製產品除外）

SBOM 要放進技術文件，但 CRA 沒有要求公開，市場監督機關可以在必要時要求提供[1]。製造商還要指定單一聯絡窗口，讓使用者能直接、快速地聯繫，包括通報漏洞[1]。SBOM 的實務做法見供應鏈攻擊。

支援期間

支援期間要反映產品預期的使用時間，至少五年；只有預期使用時間不到五年的產品才能相應縮短[1]。購買時要清楚標示支援期間的結束年月；每個安全更新釋出後要保留可供取得至少 10 年或到支援期間結束，技術文件與符合性聲明也要保存至少 10 年或整個支援期間，都以較長者為準[1]。訂支援期間時可以參考所整合之核心第三方元件的支援期間，以及作業環境能否持續取得[1]；對台灣硬體廠來說，晶片 SDK、作業系統與第三方模組的原廠支援年限，會直接限制你能承諾多久。

技術文件、符合性評估與 CE 標章

上市前要擬訂技術文件，至少包括產品與設計說明、漏洞處理流程（含 SBOM 與 CVD 政策）、風險評估、決定支援期間的依據、採用的標準與測試報告；完成符合性評估後，簽署歐盟符合性聲明並貼上 CE 標章[1]。評估方式依產品類別而定：

  • 一般產品：大多數產品可以由製造商自我評估[6]。
  • 重要產品第一類（附件三）：例如身分與存取管理系統、瀏覽器、密碼管理工具、防毒軟體、VPN、SIEM、作業系統、實體與虛擬網路介面、路由器與交換器、具資安功能的微處理器、微控制器、ASIC 與 FPGA、智慧門鎖與監視攝影機等智慧家庭安全產品。完整採用調和標準、共同規格或「實質」等級以上的歐盟資安驗證方案時可以自我評估，否則要經公告機構評估[1]。
  • 重要產品第二類：hypervisor 與容器執行環境、防火牆、入侵偵測與防禦系統、防竄改微處理器與微控制器，必須經公告機構評估或取得歐盟資安驗證[1]。
  • 關鍵產品（附件四）：具安全模組的硬體裝置、智慧電表閘道器、智慧卡與安全元件，執委會以授權法規要求時須取得歐盟資安驗證，否則比照第二類[1]。

各類別的技術說明由執行規則 (EU) 2025/2392 訂定[6]。把附件三的產品（例如具資安功能的微控制器）整合進自家產品，並不會只因為這樣，就讓整個產品必須適用重要產品的評估程序[1]。

罰則與調和標準進度

違反附件一或第 13、14 條製造商義務，罰鍰上限是 1,500 萬歐元或前一會計年度全球年營業額 2.5%，取其高者；違反進口商、經銷商義務或符合性聲明、CE 標章等規定，上限是 1,000 萬歐元或 2%；回應公告機構或市場監督機關的要求時提供不正確、不完整或誤導的資訊，上限是 500 萬歐元或 1%[1]。

推定符合來自三種途徑：刊登於歐盟公報的調和標準、執委會訂定的共同規格，以及歐盟資安驗證方案的證書或符合聲明[1]。執委會已發出標準化請求 M/606，要求制定 41 項支援 CRA 的水平與垂直標準，優先處理重要與關鍵產品；2026 年 11 月 10 日又把所有垂直標準與部分水平標準的交付期限延後三個月[7]。重要產品第一類若沒有完整採用調和標準、共同規格或歐盟驗證方案，就必須走公告機構程序[1]，標準進度會直接影響驗證時程。

漏洞與事件通報：2026 年 9 月起已上路

製造商得知產品中有遭積極利用的漏洞（有可靠證據顯示惡意人士未經系統擁有者同意已加以利用），或發生影響產品安全的嚴重事件時，必須透過 ENISA 建置的單一通報平台（SRP），同時通報擔任協調者的 CSIRT 與 ENISA[1]。嚴重事件指影響或可能影響產品保護敏感或重要資料、功能之可用性、真實性、完整性或機密性的能力，或已導致、可能導致惡意程式碼被植入或執行於產品或使用者系統的事件[1]。通報分三階段[1]：

  1. 24 小時內，早期預警：說明已知產品在哪些會員國銷售；嚴重事件還要說明是否疑似由惡意行為造成。
  2. 72 小時內，通報：說明受影響產品、漏洞或事件的性質、已採取的措施，以及使用者可以採取的緩解措施。
  3. 最終報告：漏洞在修正或緩解措施可用後 14 天內提出；嚴重事件在 72 小時通報後一個月內提出，內容包括根本原因與緩解措施。

製造商也要通知受影響的使用者及可採取的緩解措施[1]。SRP 的漏洞欄位包括 CVE 與歐盟漏洞資料庫（EUVD）編號[8]，編號與分數怎麼判讀見看懂漏洞編號與分數。

沒有歐盟據點，要通報給誰

通報對象原則上是製造商歐盟主要營業據點所在國的 CSIRT。沒有歐盟據點的製造商，依序看代表你最多產品的授權代表所在國、把你最多產品上市的進口商所在國、銷售你最多產品的經銷商所在國，最後是你的產品使用者最多的會員國；前一項不適用時才看下一項[1]。選錯 CSIRT 時，通報可能被判定無效而必須重新提交；集團即使有多家子公司，同一個漏洞或事件也只通報一次，由製造商在集團內協調[8]。

SRP 目前的狀態

執委會表示 SRP 自 2026 年 9 月 11 日起運作[9]；ENISA 同日部署平台的初始營運能力，2026 年 11 月 4 日升級到 1.3 版[10]。本文撰寫時（2026 年 11 月 14 日），ENISA 狀態頁顯示平台可正常使用[11]。依 ENISA 的 FAQ，代表製造商提交通報的人員必須使用啟用多因素驗證的 EU Login 個人帳號，帳號可以事先申請；初始版本不提供 API，通報要在平台介面上填寫；2026 年 9 月 11 日以前就已得知遭利用的漏洞不必追溯通報，之後才得知的，即使漏洞早已存在也要通報[8]。

NIS2：不直接管台灣公司，卻會寫進合約

NIS2 要求會員國在 2024 年 10 月 17 日以前制定並公布國內法，並自 10 月 18 日起施行[2]。它原則上適用於附件一、二所列產業中規模達中型以上、在歐盟營運的組織；附件二的製造業包括醫療器材、電腦／電子／光學產品、電氣設備、機械設備、汽車與其他運輸設備的製造[2]。違反第 21 或 23 條時，各國罰鍰上限至少要達到 1,000 萬歐元或全球年營業額 2%（基要實體）、700 萬歐元或 1.4%（重要實體），取其高者[2]。對台灣公司來說有三種情況：

  • 在歐盟有子公司：子公司若屬上述產業且達規模門檻，本身就可能受規範，依所在國國內法辦理[2]。
  • 雲端、資料中心、託管服務（MSP）、託管資安服務（MSSP）等業者：未在歐盟設立但在歐盟提供服務，必須指定一位歐盟代表[2]。
  • 一般供應商：不直接受規範，但客戶的供應鏈義務會經由合約與問卷傳過來。

第 21 條與第 23 條：客戶會向你要什麼

第 21 條要求受規範組織採取資安風險管理措施，至少包括事件處理、營運持續、供應鏈安全、系統取得、開發與維護安全（含漏洞處理與揭露）、多因素驗證等；決定供應鏈措施時，要考量每個直接供應商的弱點、產品品質與資安實務，包括安全開發程序[2]。CRA 前言第 13 點也提到，這些措施可能要求組織採用資安要求比 CRA 更嚴格的產品[1]。

對雲端、資料中心、MSP、MSSP、線上市集與信任服務等業者，執行規則 (EU) 2024/2690 更具體列出合約應載明的事項：供應商的資安要求、發生影響客戶的事件時及時通知、稽核權或取得稽核報告的權利、處理漏洞的義務、對次承包商的要求；採購關鍵 ICT 產品時，還要訂出整個生命週期的安全更新要求，並取得軟硬體元件的說明[12]。其他產業的客戶不受這份規則拘束，但它很適合用來預估問卷會問什麼。

第 23 條要求受規範組織發生重大事件時，24 小時內提出早期預警、72 小時內提出事件通報、一個月內提出最終報告[2]。客戶要趕上 24 小時，就得盡快從供應商得知事件，簽約前先確認合約中的通知時限做得到。

各國轉化進度

實際的主管機關、通報窗口與細節依各國國內法而定。執委會的轉化進度頁（最後更新 2025 年 7 月 1 日）記載，2025 年 5 月 7 日執委會因 19 個會員國未通知完整轉化，向它們發出附理由意見[13]；這只是當時的狀態，請以該頁的各國分頁與當地主管機關公告為準。執委會也在 2026 年 1 月 20 日提出 NIS2 的針對性修正提案[14]，完成立法並生效以前，仍以現行指令與各國國內法為準。

台灣廠商的準備步驟

  1. 判斷角色與產品類別：列出賣進歐盟的產品，確認是否屬具數位元素產品、你是製造商還是代工、是否落在附件三或附件四（以執行規則 (EU) 2025/2392 的技術說明為準[6]），以及經由哪些進口商與經銷商銷售。這份清單決定符合性評估路徑，也決定要向哪一國的 CSIRT 通報[1]。
  2. 建立 PSIRT 與漏洞揭露政策：FIRST 定義的產品資安事件應變小組（PSIRT），負責識別、評估與處置自家產品的漏洞風險，而且應該是安全開發流程的一部分[15]。對外公布 CVD 政策與通報管道時，可參考 RFC 9116 的 security.txt：放在網站的 /.well-known/ 路徑下，必須有聯絡方式（Contact）與到期時間（Expires）欄位[16]。
  3. 演練 24 小時通報：指定誰判斷「已遭積極利用」、誰在 SRP 提交，事先申請 EU Login 帳號[8]，用一次桌上演練走完預警、72 小時通報到最終報告的流程。
  4. 產製 SBOM、訂出支援期間：在建置流程中為每個出貨版本自動產生 SBOM 並放進技術文件；檢查上游元件的原廠支援撐不撐得到你的支援期間[1]。
  5. 對照既有的 IEC 62443 與 ISO 27001：本文查閱的執委會與 ENISA 頁面，沒有說 IEC 62443 或 ISO 27001 證書可以直接當作 CRA 的符合證明；執委會指引只在評估第三方遠端服務時，把 ISO/IEC 27001:2022 或 27017:2015 的符合證據列為可重複使用的佐證之一[3]。比較實際的做法，是把既有的安全開發流程（例如 62443-4-1）、漏洞處理程序與文件，逐條對照附件一找出缺口。
  6. 準備 NIS2 客戶問卷：預先整理安全開發、漏洞處理、事件通知、稽核與次承包商管理的答案與證據[12]，不要對沒做到的控制回答「是」，做法見客戶要「資安認證」怎麼辦。

行動清單

  • 盤點賣進歐盟的產品，標出你的角色（製造商、代工、元件供應商）、產品類別，以及歐盟的進口商與經銷商。
  • 現在就準備好 CRA 通報能力：指定負責人、申請 EU Login 帳號並啟用多因素驗證、確認通報對象國的 CSIRT。
  • 成立 PSIRT，公布 CVD 政策與漏洞通報窗口，設立單一聯絡窗口。
  • 在建置流程中為每個出貨版本自動產生 SBOM；為每條產品線訂出支援期間（原則上至少五年），確認上游元件撐得到，並標示結束年月。
  • 對照附件一檢查預設設定、自動更新、存取控制、資料刪除與記錄功能，列出 2027 年 12 月前要補的項目。
  • 產品若屬重要或關鍵類別，追蹤 M/606 調和標準進度，預估公告機構的時程。
  • 建立回覆 NIS2 客戶問卷的答案庫與證據資料夾，確認合約中的事件通知時限做得到。
  • 需要外部協助檢視產品弱點時，可參考弱點評估服務；平時追蹤供應鏈資安通報。