資安長面對 EU CRA：誰主導、24 小時通報、SBOM 與預算怎麼排？

CRA 該由資安長主導，還是產品事業單位？

CRA 的義務主體是「製造商」這個法律主體（第 13 條），沒有指定部門。

（R＝執行、A＝最終負責、C＝事前諮詢、I＝事後告知）

產品資安或法遵單位屬第二道防線，提供專業與監督，資安長多在這個位置；資訊部門管的是公司內部系統，產品資安不應預設交給它。每一項工作只能有一個 A，「最終負責」與「獨立確信」不要落在同一人。

CRA 第 14 條 24 小時早期預警，要怎麼接進既有的資安應變程序？

遭主動利用的漏洞與嚴重事件，經 ENISA 單一通報平台同時通報被指定為協調者的 CSIRT 與 ENISA：24 小時內早期預警、72 小時內通報；最終報告漏洞為修補措施可用後 14 天內，事件為通報後一個月內。

• 加一條路徑，不另建一套：管控指引第 34 條的程序處理公司自身資通系統的事件；CRA 處理產品中的漏洞，觸發條件與對外窗口要分開寫。
• 窗口要有授權：窗口若無權決定是否通報，24 小時守不住。
• 並列時限：同一事件可能同時觸發 GDPR、NIS2，由同一事件分類步驟判斷。

非公開發行公司不受管控指引規範，可以自願參考。

我們已有 ISO 27001 或 IEC 62443 證書，CRA 是不是就過了？

不是。CRA 看「這個產品」是否符合附件 I；27001 看組織的制度。任何 ISO／IEC 證書都不等於 CRA 符合，IEC 62443 認證也不等於推定符合：推定符合只來自刊登於歐盟公報的協調標準、共同規格或指定認證方案（第 27 條）。

符合性評估路徑：

• 一般產品：製造商依附件 VIII 模組 A 自行評估。
• 重要產品第 I 類：採用協調標準、共同規格或歐盟資安認證方案時才能自評，否則須公告機構。
• 重要產品第 II 類與關鍵產品：須公告機構或歐盟資安認證參與。

截至 2026 年 8 月，尚無 CRA 協調標準刊登，應先依已公開的標準草案準備。

SBOM 與漏洞處理要做到什麼程度？開源與供應商元件怎麼管？

附件 I 第二部分要求：以通用、機器可讀格式製作至少涵蓋頂層相依性的 SBOM（第 1 點）；無延遲處理並修補漏洞（第 2 點）；建立並執行 CVD 政策（第 5 點）；提供通報聯絡地址（第 6 點）；安全更新可用時無延遲散布（第 8 點）。依 JRC 與 ENISA 的對映，ISO/IEC 30111 對應八項中的五項，SBOM、定期測試與更新安全派送要另行補齊。

• 元件：整合第三方元件（含開源）要做盡職調查（第 13 條第 5 項），發現元件漏洞要通知其製造或維護者（第 6 項）。
• 支援期：至少五年（預期使用時間較短者依其時間），期間內持續處理漏洞。
• 掃描結果：掃描命中不直接當成已確認漏洞，要能追溯到產品版本與處置。

CRA 時程怎麼排？哪些步驟不能壓縮？

五個階段前後相依：分類與角色判定、網路安全風險評估、補齊基本要求與技術文件、符合性評估、支援期營運。

不能壓縮：第 1 步錯了，後面全部重做；第 4 步若須第三方，時程取決於公告機構排程。通報流程現在就必須能運作，應與符合性評估並行，不要排在後面。

預算有限，資安長應該先委託哪一段？報價取決於什麼？

服務頁把 CRA 委託分成三段，可分段委託、分項報價：

報價取決於：產品系列與版本數、可取得的 SBOM 與修補證據、既有測試及程序可重用程度、文件語言與評估路徑、客戶要求與內部人力及期限。不含實際修補、測試實驗室或第三方評估費。

積穗科研怎麼協助資安長處理 EU CRA？

• 先判定：產品是否在 CRA 範圍、屬於哪一類、走哪條符合性評估路徑。
• 建流程：附件 I 要求的漏洞處理流程、SBOM、附件 VII 技術文件，並備妥第 14 條通報流程。
• 落到單位：協助產品線把責任矩陣與通報流程落到實際的單位與授權。
• 分工：積穗科研是輔導顧問、不做評鑑（CRA 第 39 條第 4 項禁止評鑑機構提供顧問服務）；副總、董事級顧問全程親自輔導、不外包。
• 實績：截至 2026-10，EU CRA 網路韌性法合規輔導案件（依保密協議不具名）共 6 家。

延伸閱讀：EU CRA 合規輔導、CRA 由誰主導、CRA 時程、CRA 預算、CRA 顧問怎麼選。申請免費機制診斷