製造商 CRA 合規：混合產品組合的實務指南

為什麼製造商的 CRA 合規比想像中困難

許多製造商賣的不只是硬體。同一家公司可能同時供應電腦、網路裝置、韌體、App、SDK 與線上服務。歐盟《網路韌性法案》（CRA，Regulation (EU) 2024/2847）要求他們判斷哪些項目在適用範圍內，以及如何出具宣告。一份案例研究針對混合產品組合探討了這個問題。核心結論很簡單：不要用「免費」「離線」「預載」「工具」這類標籤來判斷，而要看每個項目實際如何供應、做什麼事。判斷錯誤，可能造成有些項目漏掉宣告，有些項目重複作業。

第一步：確認軟體是否在適用範圍內

直接或間接的資料連接

CRA 涵蓋在商業活動中提供於歐盟市場、含數位元素的產品。只要產品的預期用途涉及與裝置或網路的直接或間接資料連接，就在範圍內。因此，安裝在一般電腦上的離線軟體，仍可能納管，因為它會透過作業系統間接連接。免費提供也不會讓產品脫離範圍。

線上服務與必要後端

只提供優惠或產品登錄的網站，通常不是獨立的 CRA 產品。但已交付產品所需的後端，例如遠端存取工具的帳號登入，則屬於該產品的一部分。它與產品一起評估與宣告，通常不另外出具宣告。

第二步：選對宣告單位

韌體與驅動程式

隨電腦交付的韌體、BIOS 與驅動程式，通常由整機的評估與 EU 符合性聲明（DoC）涵蓋。技術文件應註明軟體名稱與版本。可下載的更新檔，並不會自動成為另一項獨立產品。

獨立應用程式與工具

獨立供應的軟體需要自己的評估與 DoC，例如系統管理 App、路由器 App，以及離線圖像或機器視覺軟體。只在硬體 DoC 上加列 App 名稱，不能取代實際評估。兩者之間可以共用證據，但每項評估的範圍必須清楚。隨機交付給用戶的維修與診斷工具，隨裝置一併涵蓋，除非另行單獨供應。

SDK 與內部工具

提供給外部開發者的 SDK，應視為在範圍內，除非能證明適用排除，例如確屬自由開源、非商業性質的供應。只在同一法人內部開發與使用的工具，可能被排除。如果流向不明，應標示「待確認」，而不是「已排除」。一旦提供給外包商，結論就會改變。

重要時程：CRA 2027 年期限

CRA 主要產品義務自 2027 年 12 月 11 日起適用。在該日期前已上市的產品，須檢視之後是否有重大修改。第 14 條的通報義務自 2026 年 9 月 11 日起已經適用，也涵蓋已在市場上的產品。不要把宣告時程與通報時程混為一談。

建立可重複使用的證據檔案

針對每一項軟體，記錄產品名稱、版本、歐盟供應地區、製造商、授權、供應路徑、資料連接、必要後端、SBOM、風險評估、測試證據與更新責任。然後將每項標示為「適用」「符合條件時排除」或「待確認」。這讓研發、法務與合規團隊共用一份紀錄，也讓不確定性清楚可見。請把它當作持續更新的紀錄，只要市場、授權、供應路徑、後端責任、版本或法規狀態改變，就要更新。

重點整理（Key Takeaways）

• 先盤點所有軟體項目： 包含韌體、驅動、App、SDK、後端與內部工具。清單要對照實際出貨內容，而非產品型錄。
• 用供應事實判斷，不看標籤： 「免費」「離線」「預載」不能決定是否納管。請記錄每項如何到達客戶手中。
• 及早決定宣告單位： 標明每項屬於整機的一部分，還是獨立軟體，並保留與該選擇相符的證據。
• 盤點必要後端： 若已交付產品缺少某後端就無法使用某項功能，該後端應納入產品的評估範圍。
• 流向不明時，不要標示「已排除」： 內部工具與 SDK 在授權、接收對象與用途釐清前，一律標為「待確認」。
• 以 2027 年 12 月 11 日為基準規劃： 檢視哪些已出貨產品在該日後可能發生重大修改，並現在就建立第 14 條通報機制。
• 每個項目維護一份證據檔案： 由研發、法務與合規共用，並指定負責更新的人。

文章來源（Source of article）
案例研究：〈CRA Software Applicability and EU Declaration of Conformity Boundaries Across a Mixed Product Portfolio〉（版本 1.0，法規查核日 2026 年 10 月 21 日）。
Regulation (EU) 2024/2847（網路韌性法案）：https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R2847