研發長因應 EU CRA：開發流程、SBOM 與上市時程要改什麼？

研發長面對 EU CRA，開發流程要在哪些關卡加什麼？

CRA 第 13 條第 1、2、6 項要求：依附件 I 第一部分的基本要求設計、開發與生產；評估網路安全風險並納入規劃、設計、開發、生產、交付與維護；發現元件漏洞時通報元件維護者並修補。可以這樣掛進既有關卡：

公開發行公司的內部控制已涵蓋研發循環（內控處理準則第 7 條第八款），新要求接進既有控制點即可；非公開發行公司不受此準則規範，可以自願參考。

產品上市時程：哪些日期與步驟會卡住研發排程？

• 2026 年 9 月 11 日：第 14 條通報義務已適用，也及於 2027 年 12 月 11 日前已上市的產品，通報流程現在就要能運作。
• 2027 年 12 月 11 日：主要義務全面適用，此後上市的範圍內產品須完成符合性評估並加貼 CE 標誌。
• 不能壓縮的步驟：產品分類與角色判定錯了，後面全部重做；須第三方評估時，時程取決於公告機構的排程。
• 協調標準：截至 2026 年 8 月，尚無 CRA 協調標準刊登於歐盟公報；應依已公開的標準草案（prEN 40000 系列等）先設計，刊登後再做差異比對。
• 無線電產品：(EU) 2022/30 自 2027 年 12 月 11 日起失效，之後無線電產品的資安改依 CRA，技術文件要換軌。

服務頁未列固定月數：時程依產品類型與既有基礎而定，於免費機制診斷後個案估算。

SBOM 與開源元件：研發要做到什麼程度？

• SBOM：附件 I 第二部分第 (1) 點要求以通用、機器可讀格式製作，至少涵蓋頂層相依性。
• 第三方元件盡職調查：第 13 條第 5 項要求整合第三方元件（含開源）時做盡職調查，通常由採購或供應鏈搭配研發。
• 元件漏洞：第 13 條第 6 項要求發現元件漏洞時，通知該元件的製造或維護者。
• 掃描命中不等於結論：掃描命中不直接當成已確認漏洞；要能從產品版本追溯到元件、判定與處置，並以 VEX 或等效說明交代受影響性。
• 支援期：支援期至少 5 年，期內須依附件 I 第二部分有效處理漏洞（第 13 條第 8 項）。

技術文件：附件 VII 要準備什麼，怎麼和產品版本對得上？

技術文件依 CRA 第 31 條與附件 VII 建置，逐項對應附件 I 基本要求；第 13 條也要求把網路安全風險評估文件化、寫入技術文件，並在支援期內更新。研發長要確保三件事：

1. 對照索引：要求、風險、控制、測試與技術文件之間有對照索引。
2. 版本一致：抽樣追查時，文件與產品版本一致。
3. 同一套保管規則：技術文件、SBOM 與漏洞處理紀錄，沿用研發記錄與文件保管的既有規則。

產品同時適用 EU AI Act 時，文件架構可一併支撐 AI Act 技術文件，一份文件滿足雙法稽核，避免重複建置。

工程人力怎麼分：研發、PSIRT、產品管理各做什麼？

CRA 沒有指定由哪個部門負責，義務主體是製造商。依第 13、14 條拆工作：

最終負責應落在對產品設計與上市決策有權責的產品事業單位；資訊部門管公司內部系統，產品資安不應預設交給它。通報窗口要事先取得授權，否則 24 小時早期預警的時限守不住。

客戶稽核時研發要交出什麼？ODM、OEM 與自有品牌有差嗎？

以自有品牌上市就是製造商，要負擔完整義務。ODM、OEM 的品牌客戶是製造商，但客戶會向你要證據：

• ODM：風險評估、技術文件素材、SBOM 與漏洞處理支援。
• OEM：元件 SBOM、生產端安全與零組件查核證據。

合約要明定範圍、支援期與通報配合時限。另外，CRA 沒有獨立的「CRA 證書」：範圍內產品要完成符合性評估、簽署 EU 符合性聲明，再加貼 CE 標示。ISO 27001 是組織層面的資安管理標準，不是 CRA 的協調標準；IEC 62443 認證本身也不等於推定符合 CRA（第 27 條）。

積穗科研怎麼協助研發長處理 EU CRA？

積穗科研是輔導顧問、不做符合性評鑑（CRA 第 39 條第 4 項禁止評鑑機構提供顧問服務），由副總、董事級顧問全程親自輔導、不外包。服務頁所列做法：

1. 先判定產品是否在 CRA 範圍、屬於哪一類、走哪條符合性評估路徑。
2. 依 IEC 62443-4-1 的安全開發實踐落地，包含 SBOM 建立。
3. 建置附件 VII 技術文件、漏洞處理流程與第 14 條通報流程。
4. 上線後提供 90 天追蹤。

研發部門也可以分段委託：分類與差距診斷、SBOM／漏洞證據補強、技術文件與通報作業整合。

深入：EU CRA 合規輔導、研發長要放進研發流程的要求、CRA 由誰主導、CRA 時程、CRA 顧問怎麼選。申請免費機制診斷