總經理看 EU CRA：歐洲訂單、罰則與誰負責，現在要決定什麼？

CRA 會不會讓我們的產品進不了歐洲？總經理要先盤點什麼？

會，若產品落在 CRA 範圍內而未準備。2027 年 12 月 11 日起，未符合基本網路安全要求、未完成符合性評估並標示 CE 的產品，不得投放歐盟市場。

先請產品線回答兩件事：

• 範圍：含數位元素的產品（軟體、含韌體的硬體，以及產品功能不可或缺的遠端資料處理）在範圍內；一般 SaaS 雲端服務不在 CRA 範圍，改適用 NIS2；型式認證車輛的零組件不適用 CRA（第 2(2)(c) 條）。
• 等級 × 身份：每個產品系列落在一般、重要第 I 類、第 II 類還是關鍵產品；每條產品線以製造商、進口商還是經銷商身份上市。

真正決定工作量的是兩者的組合數，不是產品數量。

違反 CRA 的罰則有多重？由公司承擔還是總經理個人承擔？

• 罰鍰上限：違反附件 I 基本要求與第 13、14 條，最高 1,500 萬歐元或全球年營業額 2.5%，取其高者（第 64 條）。
• 對象：CRA 的義務主體是「製造商」這個法律主體（第 13 條）。法規由各成員國的市場監督機關執行；產品不符合要求時，機關可要求業者矯正、撤出市場，或在合理期間內召回（第 54 條第 1 項）。
• 個人責任：總經理個人是否另負責任，涉及各國國內法與公司內部授權，由法律顧問依個案判斷。

總經理實務上能掌握的，是讓產品上市決策、支援期決定與通報授權都有書面紀錄，證明公司已建立制度、不是臨時應付。

CRA 該由哪個部門負責？總經理要指派誰？

CRA 沒有指定部門，義務落在製造商這個法律主體。實務上建議這樣分：

資訊部門管的是公司內部系統，產品資安不應預設交給它，因為研發流程、元件清單與上市決策都不在資訊部門手上。總經理指派時記住兩條原則：每一項工作只能有一個最終負責人；「最終負責」與「獨立確信」不要落在同一人身上。

CRA 通報義務已經開始，總經理現在要先確認什麼？

第 14 條通報義務自 2026 年 9 月 11 日起已適用，涵蓋已在歐盟上市的產品。製造商知悉遭主動利用的漏洞或嚴重事件後，要經 ENISA 單一通報平台：

• 24 小時內提出早期預警
• 72 小時內完成通報
• 最終報告：漏洞為修補措施可用後 14 天內；事件為通報後一個月內

總經理要確認三件事：

1. 誰有權拍板通報：窗口若無權決定是否通報，24 小時就守不住，授權要事先給。
2. 夜間與假日的聯絡鏈：時限從知悉起算，不看上班時間。
3. 客戶合約：ODM、OEM 合約中的通報配合時限，要和法定時限對得上。

我們做 ODM、OEM，歐洲品牌客戶要我們配合 CRA，接單前要談清楚什麼？

先分清楚誰是法定製造商：

接單前，合約要明定交付範圍、支援期與通報配合時限。支援期原則上至少 5 年，是持續性的承諾，會影響報價與人力。同一款產品你若也以自有品牌在歐盟銷售，這部分你就是製造商。合約條款由法務或法律顧問審閱。

CRA 要怎麼向董事會報告？預算怎麼編？

預算分四塊：內部人力、顧問輔導費、外部驗證費用（僅限須第三方評估者）、持續成本。支援期內的漏洞處理與通報是每年都在的經常性支出，不是一次性專案，應先保留這部分人力。

董事會報告：把 CRA 列為法遵風險，納入既有的風險管理政策與定期報告，不另起一套：

• 上市上櫃公司風險管理實務守則第 13、15、18 條：董事會核定風險管理政策並監督；推動單位至少每年一次彙整提報；風險類別含法遵風險。
• 公開發行公司建立內部控制制度處理準則第 3 條：法令遵循是內控目標之一。

上述準則與守則適用於公開發行或上市櫃公司；非公開發行公司不受此規範，可自願參考。

積穗科研怎麼協助總經理處理 EU CRA？

積穗科研由副總、董事級顧問全程親自輔導、不外包；只做輔導，不做驗證發證。

• 先判定：產品是否在 CRA 範圍、屬於哪一類、走哪條符合性評估路徑，並逐條產品線判定供應鏈身份。
• 再建置：附件 I 要求的漏洞處理流程、SBOM、附件 VII 技術文件，並備妥第 14 條通報流程。
• 工作範圍分三包：分類與差距診斷、SBOM 與漏洞證據補強、技術文件與通報作業整合，讓你看清哪些要買、哪些已經有。
• 實績：截至 2026-10，EU CRA 網路韌性法合規輔導案件（依保密協議不具名）共 6 家。

延伸閱讀：EU CRA 合規輔導、CRA 由哪個部門主導、CRA 時程、CRA 預算怎麼估、CRA 顧問怎麼選。

申請免費機制診斷