CRA

【歐盟資安】歐盟數位產品 CRA 強制通報義務將於 2026 年 9 月 11 日正式實施

/在： , /通過：

歐盟 《網路韌性法案》（Cyber Resilience Act, CRA 不僅是法律規範，更是數位產品進入歐洲市場的「資安準照」。

企業應從現在起檢視產品的資安架構與通報流程，確保在 2026 年限前完成對接，以免面臨嚴厲制裁或產品下架風險。

1. 2026 年 9 月起全面強制：數位產品安全通報

歐盟已明確訂定，自 2026 年 9 月 11 日起，所有具備數位要素的產品（Products with digital elements）製造商，必須履行強制性的安全通報義務。

這說明著歐盟對數位產品生命週期監管的正式啟動，資安認證將成為企業合規的關鍵。

2. 「黃金時間」通報機制：24小時內啟動預警

新規定對通報時效有極其嚴格的要求，企業必須建立即時反應流程：

  • 24 小時內：得知「被積極利用的漏洞」或「嚴重安全事件」後，需發布早期預警（Early Warning）。
  • 72 小時內：提交正式的完整通報（Full Notification）。
  • 後續追蹤：漏洞修復後 14 天內（或嚴重事件發生後一個月內）須提交最終報告。

3. 一站式通報平台：SRP 簡化跨境合規成本

為了減輕企業負擔，ENISA（歐盟網路資訊安全局）正在開發「單一通報平台（Single Reporting Platform, SRP）」。

  • 製造商只需通報一次，資訊將自動分發給相關國家的 CSIRT（電腦安全緊急應變小組）及 ENISA。
  • 該平台預計於 2026 年 9 月 11 日正式運作，在此之前將進行測試。

4. 關鍵漏洞透明化：預防大規模網路威脅

CRA 要求通報的重點在於「被積極利用的漏洞（Actively Exploited Vulnerabilities）」。

這代表企業不能再隱匿已遭攻擊的安全弱點。

透過 CSIRT 網絡的資訊共享，能讓歐盟各國同步防禦，避免單一產品的漏洞演變成全歐洲的資安災難。

THE ONE 將協助企業達成 CRA 合規與技術準備

隨著法案生效日逼近，資安認證公司的重要性提升：

  • 合規評估：協助廠商檢核產品是否符合 CRA 的安全設計與報告要求。
  • 通報流程演練：協助企業建立能在 24/72 小時內完成調查與通報的技術能力。
  • 漏洞管理認證：確保製造商具備完善的漏洞修復與披露機制，以符合歐盟法律標準。

歐盟執委會官方最新消息:

https://digital-strategy.ec.europa.eu/en/policies/cra-reporting


如有任何問題，歡迎聯繫我們
電郵：Charles.liao@theonelab.co
電話：(02)8601-2828

CRA

【歐盟資安】歐盟《網路韌性法案》(CRA) 之執法新階段

/在： , /通過：

The ONE 提醒所有出口歐盟市場的製造商與品牌商：

不要只關注 CRA 上市前合規，更不要忽略上市後的市場監管與抽查風險。

歐盟近期已完成 CRA 市場監管合作機制的重要一步，顯示《Cyber Resilience Act》正由法規文本，逐步走向實際執行與跨國協調。

根據歐盟官方最新消息，CRA 行政合作小組（Administrative Cooperation Group, AdCo）已召開首次會議，並選出主席與副主席。
歐盟亦明確指出，這是為 CRA 執法工作做準備的重要進展。


CRA 採取的是產品上市後的監管模式，亦即產品進入歐盟市場後，主管機關可進行市場監控、要求改善，甚至採取限制措施。


這代表企業未來面對的，不只是「能否上市」，而是：

是否已建立好漏洞管理機制、事故應變流程、技術文件維護、支援期管理，以及面對後市場抽查時的應對能力。
尤其 CRA 的漏洞與重大事故通報要求，將自 2026 年 9 月 11 日 起開始適用，企業需要在知悉後 24 小時內提出 early warning，並於 72 小時內完成正式通報。

The ONE 可提供 CRA 相關顧問服務，協助客戶提早準備：

  • 從適用範圍評估與差距分析 (Gap Analysis)，
  • 到技術文件規劃、漏洞處理流程、應變流程，以及上市後監管 (Post-market Surveillance) 的準備工作

我們相信，愈早部署，愈能降低未來被抽查、被要求補件，甚至影響歐盟市場銷售的風險。

如貴公司正準備 CRA 導入，歡迎與 The ONE 聯絡。

我們可協助您更有系統地滿足 CRA 最新要求，為產品上市及上市後管理做好準備。

歐盟執委會官方最新消息:

https://digital-strategy.ec.europa.eu/en/news/cyber-resilience-act-eu-market-surveillance-group-elects-new-chair-and-vice-chair


如有任何問題，歡迎聯繫我們
電郵：Charles.liao@theonelab.co
電話：(02)8601-2828

CRA

【歐盟資安】歐盟《網路韌性法案》（CRA）第14條將於 2026 年提前生效

/在： , /通過：

漏洞與資安事件通報義務倒數，製造商準備好了嗎？

隨著歐盟《網路韌性法案》（Cyber Resilience Act, CRA）逐步邁向全面施行，數位產品製造商需要特別注意一項比整體法規更早生效的重要義務。

根據 CRA 第14條（Article 14），漏洞與資安事件的強制通報義務將於 2026 年 9 月 11 日 正式生效，早於 CRA 於 2027 年全面適用的時程。

這代表，自 2026 年起，凡是將「具數位元素產品（Products with Digital Elements）」投放歐盟市場的製造商，一旦發現已被利用的漏洞或重大資安事件，即須依法在極短時間內完成評估、通報與後續說明，否則將面臨合規風險與潛在處罰。

CRA 第14條的核心要求

當製造商「知悉」以下情況之一時，CRA 第14條即啟動分階段通報義務：

  • 已遭實際利用（actively exploited）的安全漏洞
  • 嚴重的資安事件（severe cybersecurity incident）

法規要求的通報時程包括：

  • 24 小時內：提交「初步預警通報（Early Warning Notification）」
  • 72 小時內：提交正式的漏洞或事件通報
  • 14 或 30 天內（依事件性質）：提交最終完整報告，內容須包含：
    • 事件影響分析
    • 已採取與計畫中的緩解措施
    • 風險控制與後續行動

值得注意的是，即使產品已完成認證或已上市多年，通報義務仍然適用，且並非選擇性要求。

製造商現在就該開始準備的關鍵事項

雖然通報義務於 2026 年才正式生效，但從實務角度來看，現在就必須開始準備。製造商應優先建立以下能力：

  • 漏洞監測與接收（Vulnerability Intake）機制
  • 明確定義「需通報漏洞」的內部判斷標準
  • 資安事件回應與升級（Escalation）流程
  • 符合法規期待的通報文件與範本
  • 明確指定負責與歐盟主管機關溝通的角色與窗口

若缺乏上述制度與流程，在真實資安事件發生時，要在 24 或 72 小時內完成合規通報，幾乎是不可能的任務。

我們如何協助 CRA 第14條合規準備

為協助製造商從「知道法規」走向「真正可執行」，我們提供 CRA 第14條的整備與實務支援服務，包括：

  • 漏洞通報流程與治理架構設計
  • 資安事件回應與升級流程顧問服務
  • 符合 CRA 要求的通報文件與範本
  • 持續性法規諮詢與通報支援服務

我們的目標，是協助製造商在符合法規要求的同時，降低合規風險，並讓研發與工程團隊能持續專注於產品本身。

CRA 的倒數計時已經開始。
提早準備的製造商，將能避免 2026 年通報義務上路時的倉促應對與合規風險。

如需了解 CRA 第14條整備與支援服務，歡迎聯繫：
📧 Charles.liao@theonelab.co