直答：選 CRA 顧問，第一個要問的不是「做過幾家」，而是「能不能按我的產品系列判定等級、按產品線判定供應鏈身份」。CRA 的工作量與評估路徑由這兩件事決定，判錯了，後面的技術文件與符合性評估都要重做。其次看顧問能否同時處理法遵、流程與資安技術，以及通報義務是否已經能運作。
市場上三種協助 CRA 的角色
| 角色 | 主要做什麼 | 適合解決 |
|---|---|---|
| 驗證與測試機構 | 產品測試、第三方符合性評估 | 重要產品第 II 類、關鍵產品，或無協調標準可用的第 I 類產品 |
| 資安工具商 | SBOM、弱點掃描、程式碼分析等工具 | 技術證據的產出與自動化 |
| 管理顧問 | 等級與身份判定、制度與流程建立、技術文件與證據準備 | 從法規判定到可稽核制度的整體規劃 |
三者角色不同，多數企業會搭配使用。挑顧問時，要確認對方清楚自己在這三者之間的定位。
九個判斷準則
| 準則 | 可以直接問任何顧問的問題 |
|---|---|
| 按產品系列判定等級 | 我的每個產品系列落在一般、重要第 I 類、第 II 類還是關鍵產品？依據是什麼？ |
| 按產品線判定供應鏈身份 | 自有品牌、ODM、OEM 各條產品線，我分別是製造商、進口商還是經銷商？ |
| 法遵、流程、技術同時涵蓋 | 誰負責法規判定、誰建制度、誰看技術證據？是同一個團隊嗎？ |
| 通報義務已能運作 | 2026 年 9 月 11 日已適用的 24 小時預警、72 小時通報，我的流程做好了嗎？ |
| 不等協調標準 | 協調標準還沒刊登，現在要依什麼準備？ |
| 處理疊加的法規 | 無線電產品的 RED 資安要求、機械法規、AI Act 怎麼和 CRA 一起規劃？ |
| 誰主導、是否外包 | 實際帶案的是誰？有什麼資格？會不會轉包？ |
| 具名案例與參考客戶 | 能否提供同產業、同規模的具名案例或參考客戶聯絡？ |
| 報價範圍是否清楚 | 報價包含哪些交付物？哪些不含？追加費用怎麼算？ |
什麼時候需要外部顧問
產品橫跨多個等級、同時有自有品牌與 ODM、OEM 產品線，或產品屬於重要產品第 I 類以上時，等級與身份的判定和評估路徑規劃最容易出錯，外部顧問的效益最高。若產品全部屬於一般類、已有成熟的安全開發流程與 SBOM，則可把外部資源集中在判定與關鍵節點的查核。產品屬重要產品第 II 類或關鍵產品、只缺第三方評估時，直接找公告機構或測試實驗室；只需要 SBOM 或弱點掃描等技術證據時，資安工具商可能更直接。
積穗科研對應這些準則的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。目前有 6 家企業正在進行積穗科研的 CRA 諮詢輔導。
- 按產品系列判定等級：依 CRA 附件 III、IV 與實施規則 (EU) 2025/2392 的技術描述逐項判定
- 按產品線判定供應鏈身份：逐線判定，並就 ODM、OEM 的合約配合條款提出建議
- 法遵、流程、技術同時涵蓋：三種專業在同一個團隊，同一套證據對應 CRA 與其他法規
- 通報義務已能運作：優先建立漏洞與事件通報程序，與符合性評估並行
- 不等協調標準：依已公開的標準草案準備，刊登後做差異比對與補強
- 處理疊加的法規：一併規劃 RED 轉 CRA、機械法規與 AI Act 第 12 條的銜接
- 誰主導、是否外包：副總、董事級顧問全程輔導，不外包；顧問團隊持有 ISO 主導稽核員資格
相關問題
- CRA 顧問費用怎麼估？ 依產品系列的等級分布、各產品線的供應鏈身份、兩者形成的組合數與現有流程成熟度而定。CRA 預算怎麼估
- CRA 合規要多久？ 由法定時點與公告機構排程決定。CRA 時程與不可壓縮的步驟
- 產品含 AI 功能怎麼辦？ CRA 第 12 條讓符合 CRA 的高風險 AI 產品，在網路安全部分推定符合 AI Act 第 15 條。ISO 42001 與 AI Act
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。