研發長（CTO）要把哪些要求放進研發流程？8 項要求逐項說明

直答：研發長要放進研發流程的，有三類要求。第一類是公司內部的：公開發行公司的內部控制要涵蓋研發循環，包括基礎研究、產品設計、技術研發、產品試作與測試、研發記錄與文件保管，以及智慧財產權的取得、維護及運用；研發成果要受營業秘密法保護，必須有合理保密措施。第二類是產品要進歐盟市場的：EU CRA 第 13 條要求製造商依網路安全風險評估，在規劃、設計、開發、生產、交付與維護各階段落實附件 I 的基本要求，並處理元件（含開源元件）的漏洞。第三類是客戶與產業要求的：車用的 ISO/SAE 21434 與 TISAX 原型保護、工控的 IEC 62443-4-1、漏洞揭露與處理的 ISO/IEC 29147 與 30111、AI 產品的 ISO 42001 與 EU AI Act。研發長的工作，是把這些要求掛進既有的開發流程，而不是另建一套。

研發長在法規裡的責任

證交所 ESG 評鑑：研發長要準備的指標

ESG 評鑑自 115 年起取代公司治理評鑑，評鑑對象是上市櫃公司。指標 S-10 問公司是否制訂並揭露與營運目標連結的智慧財產管理計畫及執行情形，且至少一年一次向董事會報告；導入台灣智慧財產管理系統（TIPS）、ISO 56001 或類似標準並經第三方驗證者，總分另加一分（115、116 年度文字相同）。

逐項說明：研發長要判定什麼、怎麼掛進開發流程、要多久

EU CRA 歐盟網路韌性法

• 先判定：產品是否在 CRA 範圍、屬於哪一類、走哪條符合性評估路徑。
• 研發流程要加的事：依風險評估落實附件 I 第一部分的基本要求；建立附件 I 第二部分的漏洞處理流程，包括以常用、機器可讀格式編製的 SBOM；附件 VII 技術文件。
• 期限：第 14 條通報義務自 2026 年 9 月 11 日起適用；其餘主要義務自 2027 年 12 月 11 日起全面適用。
• 深入：EU CRA 合規輔導、CRA 由誰主導、CRA 時程

IEC 62443-4-1 安全開發生命週期

• 對研發長的意義：IEC 62443-4-1 規範組織的安全開發生命週期（SDL）；取得 4-2 產品認證前，組織必須先完成 4-1 認證。IEC 62443 認證本身不等於推定符合 CRA（CRA 第 27 條）。
• 時程（服務頁所列）：4-1 SDL 組織認證通常 6–9 個月；4-2 產品認證 4–8 個月（不含 4-1）。
• 深入：IEC 62443、IEC 62443 顧問怎麼選

ISO/SAE 21434 車輛資安工程

• 對研發長的意義：核心是 TARA（威脅分析與風險評估），由此導出資安目標與需求，貫穿開發與驗證；適用於車輛電子電氣系統從概念、開發、生產、運作、維護到除役的整個生命週期。
• 怎麼掛進既有流程：已有 ASPICE 或 ISO 26262 流程的組織，可以把 21434 掛在既有開發框架上增量導入；與 26262 整合時，資安分析結果回饋安全危害分析。
• 深入：ISO/SAE 21434、21434 顧問怎麼選

ISO/IEC 29147 與 30111 漏洞揭露與處理

• 對研發長的意義：29147 管對外的通報受理與公告，30111 管對內的驗證、分級、根因分析、修補開發與測試。依 JRC 與 ENISA 的對映，30111 對應 CRA 附件一第二部分漏洞處理八項中的五項；SBOM、定期測試與安全派送更新要用其他標準或程序補齊。
• 建議：兩者成對導入，避免交接處留下稽核缺口。
• 深入：ISO/IEC 29147、ISO/IEC 30111

ISO 42001 與 EU AI Act

• 先判定：每個 AI 系統在 EU AI Act 下的角色（提供者或部署者）與風險等級。
• 研發要準備的：高風險 AI 的技術文件、資料治理、準確性與穩健性；ISO 42001 驗證不等於 EU AI Act 合規。
• 時程（服務頁所列）：EU AI Act 高風險 AI 合規通常 6–9 個月，整合 ISO 42001 驗證 9–12 個月。
• 深入：EU AI Act、ISO 42001

營業秘密保護

• 對研發長的意義：研發資訊要有分級與機密標示、保密約定具體指明範圍、知悉人員受限且有存取紀錄、對外揭露前有保密合約；光簽保密契約不足以單獨構成合理措施。
• 時程（服務頁所列）：通常 3–6 個月；最後模擬一件離職帶料事件，從日誌到證據保全跑一次並修正缺口。
• 深入：營業秘密保護制度輔導、營業秘密顧問怎麼選

ISO 56001 創新管理系統

• 對研發長的意義：ISO 56001:2024 是 ISO 56000 系列第一份可驗證的要求標準；智財依 ISO 56005 並連動營業秘密保護。ESG 評鑑 S-10 對 ISO 56001 第三方驗證另加一分。
• 時程（服務頁所列）：通常 6–9 個月；已有 ISO 9001 或 27001 的組織約 5–7 個月。要選 2–3 個進行中的創新專案跑完整流程，這段無法壓縮。
• 深入：ISO 56001、ISO 56001 顧問怎麼選

TISAX 原型保護

• 對研發長的意義：車廠要求的 TISAX 評估範圍可以包含原型保護；評估等級由評估目標決定、不能自選。2027 年 1 月 1 日起委託的評估一律適用 VDA ISA2027；範圍含原型保護且 2027 年後委託者，需預留依 ISA2027 重構文件的時間。
• 深入：TISAX 評估輔導、TISAX 顧問怎麼選

怎麼接上你現有的制度

公開發行公司的內部控制已涵蓋研發循環；新的研發要求要接進研發循環既有的控制點，而不是另建一套。內控處理準則適用於公開發行公司；非公開發行公司不受此準則規範，可以自願參考。

積穗科研的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

• 誰主導：副總、董事級顧問全程親自輔導、不外包
• 掛進既有流程：先確認既有的開發框架（例如 ASPICE、ISO 26262），再把新要求增量掛上去
• 成對導入：29147 與 30111 一起導入；62443-4-1 先於 4-2
• 第一步：第一次機制診斷免費

相關問題

• 內部控制的研發循環包括哪些項目？ 依公開發行公司建立內部控制制度處理準則第 7 條第八款，研發循環包括對基礎研究、產品設計、技術研發、產品試作與測試、研發記錄與文件保管、智慧財產權之取得、維護及運用等之政策及程序。營業秘密保護制度輔導
• EU CRA 對研發流程有什麼要求？ CRA 第 13 條要求製造商依附件 I 第一部分的基本要求設計、開發與生產產品，並在規劃、設計、開發、生產、交付與維護各階段納入網路安全風險評估的結果；發現元件（含開源元件）漏洞時，要通報元件的製造或維護者，並處理修補。EU CRA 合規輔導
• 員工在職務上開發的技術，營業秘密歸誰？ 依營業秘密法第 3 條，受雇人於職務上研究或開發的營業秘密，歸雇用人所有（契約另有約定者除外）。要受法律保護，仍須符合第 2 條的秘密性、經濟價值與合理保密措施。營業秘密保護制度輔導
• 所有研發成果都算國家核心關鍵技術嗎？ 不是。國家核心關鍵技術須經認定，並經行政院公告生效；兩岸人民關係條例第 9 條的進入大陸地區審查，也只適用於受政府委託、補助或出資達一定基準、從事涉及經認定之國家核心關鍵技術業務的人員。營業秘密保護制度輔導
• IEC 62443-4-1 和 4-2 要先做哪一個？ 先做 4-1：取得 4-2 產品認證前，組織必須先完成 4-1 安全開發生命週期認證。IEC 62443
• 研發導入 ISO/SAE 21434，要重做開發流程嗎？ 不必。已有 ASPICE 或 ISO 26262 流程的組織，可以把 21434 掛在既有開發框架上增量導入，核心是 TARA。ISO/SAE 21434

申請免費機制診斷