風控長看 EU CRA：市場准入風險、通報義務與監督角色怎麼排？

CRA 在風險地圖上是什麼風險？衝擊怎麼估？

依《上市上櫃公司風險管理實務守則》第 18 條，CRA 屬法遵風險；對產品出口歐盟的公司，它實質上是市場准入風險：不符合要求的產品不得投放歐盟市場。

衝擊評估的輸入：

• 第 64 條罰則：違反基本要求最高 1,500 萬歐元或全球年營業額 2.5%（取其高者）
• 受影響的產品線與在歐盟的營收
• 客戶要求與商譽損失，這些通常比罰則更早發生

此守則以上市上櫃公司為對象；非公開發行公司不受此守則規範，可自願參考。

2026 年 9 月 11 日起的通報義務，風控長要確認哪些事？

第 14 條通報義務自 2026 年 9 月 11 日起適用，而且涵蓋 2027 年 12 月 11 日前已在歐盟上市的產品（第 69 條第 3 項、第 71 條第 2 項）。知悉遭主動利用的漏洞或嚴重事件後，經單一通報平台：24 小時內早期預警、72 小時內通報；最終報告為漏洞修補措施可用後 14 天內、事件通報後一個月內。

風控長要確認三件事：

• 通報窓口事先取得授權，否則 24 小時守不住
• 既有資安事件通報程序裡已加一條第 14 條的對外路徑，觸發條件與對外窗口分開寫
• 通報流程沒有被排在符合性評估之後

CRA 該由誰主導？風控長在三道防線中的位置是什麼？

CRA 沒有指定部門，義務主體是「製造商」這個法律主體（第 13 條）。實務上：

• 最終負責：對產品設計與上市決策有權責的產品事業單位
• 第二道：產品資安或法遵單位提供專業、監控與挑戰
• 第三道：內部稽核做獨立確信

風控長與風險管理推動單位的接點，是把 CRA 列為法遵風險，納入既有的風險管理政策與定期報告（守則第 13、15、18 條）。原則：每一項工作只能有一個最終負責；「最終負責」與「獨立確信」不要落在同一人身上。

CRA 有證書嗎？向董事會報告合規狀態要看什麼？

CRA 沒有一張獨立的「CRA 證書」。數位元素產品要完成符合性評估、簽署歐盟符合性聲明，再加貼 CE（第 28、30、32 條）：

董事會報告可按產品線呈現：類別判定、評估路徑、技術文件與漏洞處理流程的完成情形。ISO 27001 是組織層面的資安管理標準，不是 CRA 的協調標準。

時程上有哪些不在公司掌控內的風險？

• 協調標準：截至 2026 年 8 月，尚無 CRA 協調標準刊登於歐盟公報；重要產品第 I 類若無協調標準可用，就要把公告機構排進計畫與預算
• 公告機構排程：需第三方評估時，時程取決於公告機構，不在企業掌控內
• 無線電產品換軌：RED 授權規則 (EU) 2022/30 自 2027 年 12 月 11 日起失效，之後無線電產品的資安改依 CRA
• AI 功能：產品同時受 EU AI Act 規範時，風險評估與技術文件要一併涵蓋

建議做法是依已公開的標準草案先設計與準備，標準正式刊登後再做差異比對。

積穗科研怎麼協助風控長處理 EU CRA？

• 先判定：產品是否在 CRA 範圍、屬於哪一類、走哪條符合性評估路徑（如型式認證車輛零組件即排除）
• 建立要件：附件 I 要求的漏洞處理流程、SBOM 與附件 VII 技術文件，並備妥第 14 條通報流程
• 一套文件：以 CRA、NIS2 與 EU AI Act 的共同要求建立單一文件體系，一次建置支撐多法稽核
• 角色分開：積穗科研是輔導顧問、不做評鑑；副總、董事級顧問全程親自輔導、不外包；上線後提供 90 天追蹤

EU CRA 合規輔導、CRA 由誰主導、CRA 合規要多久、CRA 顧問怎麼選。申請免費機制診斷