我們是不是法定製造商？ODM、OEM 合約要怎麼分配 CRA 責任？
| 經營模式 | CRA 身份 | 合約要談清楚的事 |
|---|---|---|
| 自有品牌 | 製造商 | 完整製造商義務：風險評估、技術文件、符合性評估、CE、支援期漏洞處理與通報 |
| ODM（你設計並製造，客戶貼牌） | 品牌客戶是製造商 | 你要提供的風險評估、技術文件素材、SBOM 與漏洞處理支援；明定範圍、支援期與通報配合時限 |
| OEM（客戶設計，你製造） | 品牌客戶是製造商 | 元件 SBOM、生產端安全與零組件查核證據；明定通報配合時限 |
同一款產品若你也以自有品牌在歐盟銷售，這部分你就是製造商。ODM、OEM、自有品牌混合的公司，每條產品線的身份要逐一判定（服務頁的身份判定對應第 13、19、20、21、22 條）。
法務審約的判斷框架：配合義務寫成具體交付物與時限；支援期與產品預期使用期間一致；因對方設計或元件造成的不符合，責任與補償怎麼分。可接受的條件由法律顧問依個案判斷。
違反 CRA 會面臨哪些罰則與主管機關措施？
罰鍰（第 64 條，取其高者）：
| 項次 | 違反 | 上限 |
|---|---|---|
| 第 2 項 | 附件 I 基本要求，或第 13 條製造商義務、第 14 條通報義務 | 1,500 萬歐元或全球年營業額 2.5% |
| 第 3 項 | 第 18–23、28、30、31、32、33 條等所列義務 | 1,000 萬歐元或 2% |
| 第 4 項 | 回應公告機構、市場監督機關要求時提供不正確、不完整或誤導資訊 | 500 萬歐元或 1% |
市場措施：CRA 由各會員國的市場監督機關執行；對不符合的產品，可要求採取矯正措施、撤出市場，或在合理期間內召回（第 54 條第 1 項）。
第 4 項提醒法務長：回覆主管機關的每一份資料都要經過核對。罰則之外，客戶要求與市場准入通常更早發生。
通報義務已經適用：24 小時早期預警由誰決定？法務要準備什麼？
第 14 條自 2026 年 9 月 11 日起適用，包含 2027 年 12 月 11 日前已在歐盟上市的產品：
| 階段 | 遭主動利用的漏洞 | 影響產品安全的重大事件 |
|---|---|---|
| 早期預警 | 知悉後 24 小時內 | 知悉後 24 小時內 |
| 通報 | 知悉後 72 小時內 | 知悉後 72 小時內 |
| 最終報告 | 修補或緩解措施可用後 14 天內 | 72 小時通報後一個月內 |
在歐盟沒有主要營業據點的製造商，依第 14 條第 7 項的順序決定向哪一國的協調者 CSIRT 通報；還要告知受影響的使用者（第 14 條第 8 項）。依執委會指引草案，2026 年 9 月 11 日前已知悉遭利用的漏洞不需追溯通報。
分工上，通報由產品資安（PSIRT）主責，法務、客服與高階主管配合。法務要事先準備：誰有權在 24 小時內送出、對外說明與使用者告知的核定流程，以及判斷「不通報」時留下的紀錄。
開源與供應商元件：採購合約要放哪些條款？
- 第 13 條第 5 項：整合第三方元件（含開源）時要做盡職調查。服務頁建議把這項盡職調查寫進供應商評鑑項目與採購契約。
- 第 13 條第 6 項：發現元件漏洞時，要通知該元件的製造或維護者。
- 支援期：依產品預期使用期間訂定，原則上至少 5 年；每個安全更新提供後，至少保留 10 年或到支援期結束，取較長者。
採購合約的判斷框架：供應商提供 SBOM 與漏洞資訊的義務與時限、元件的支援期是否涵蓋你對客戶承諾的支援期、停止支援時的通知與替代方案、配合你第 14 條通報的時限。公開發行公司的採購循環已有供應商管理控制點（內控處理準則第 7 條），條款應接上既有循環；非公開發行公司可自願參考。
產品出事被客戶或使用者求償，CRA 和新產品責任指令有什麼關係？
- CRA 是行政法規：罰則是第 64 條的行政罰鍰與市場措施。
- 損害賠償：歐盟新《產品責任指令》(EU) 2024/2853 涵蓋軟體與 AI 系統，適用於 2026 年 12 月 9 日起上市的產品；損害賠償依該指令轉化後的各會員國法律處理。
- 證據：CRA 的風險評估、技術文件、SBOM、漏洞處理與通報紀錄，是說明產品在上市時與支援期內做了什麼的紀錄。是否構成缺陷、責任如何分配，由法院與法律顧問依個案判斷。
對客戶的合約，法務長要對照：保固與安全更新承諾是否和支援期一致、責任上限是否排除資安缺陷、和上游供應商的補償條款能否接得上。
主管機關或客戶要調閱資料時，哪些文件要保存多久？有證書可以代替嗎？
- 技術文件與歐盟符合性聲明：至少保存 10 年或支援期，取較長者（第 13 條第 13 項）。
- 安全更新：每個安全更新提供後，至少保留 10 年或到支援期結束，取較長者（第 13 條第 9 項）。
- 漏洞處理與通報紀錄：協調漏洞揭露政策、漏洞處理程序與通報演練紀錄，是服務頁所列的交付物。
沒有證書可以代替：CRA 沒有一張獨立的「CRA 證書」，要依產品類別完成符合性評估並標示 CE。ISO 27001 不是 CRA 的協調標準；取得 IEC 62443 也不等於推定符合，推定符合只來自刊登於歐盟公報的協調標準、共同規格或指定認證方案（第 27 條）。
積穗科研怎麼協助法務長處理 EU CRA？
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們。
- 誰主導：副總、董事級顧問全程親自輔導、不外包；積穗是輔導顧問、不做評鑑
- 分類與身份判定：按產品系列判定等級、按產品線判定供應鏈身份（製造商、進口商、經銷商；自有品牌、ODM、OEM），每個組合都有判定依據與條文對應
- 通報機制先行：建立第 14 條 24／72 小時通報與使用者告知流程，完成桌上演練，留下演練紀錄與通報範本
- 文件與證據：SBOM 與元件查核紀錄、支援期訂定依據、技術文件與歐盟符合性聲明
- 可分段委託：不含實際修補、測試實驗室或第三方評估費；合約的最終法律意見由律師出具
- 實績：截至 2026-10，EU CRA 網路韌性法合規輔導案件（依保密協議不具名）共 6 家
- 第一步：第一次機制診斷免費
其他角色怎麼看這項服務
同一角色的其他服務
- 法務長看 ISO 37001：代理商行賄、檢舉調查與合約條款怎麼管？
- 法務長看營業秘密保護：員工帶料、提告與證據保全要先準備什麼？
- 法務長看 GDPR 與 ISO 27701：處理者契約、跨境傳輸與調查怎麼應對？
- 法務長看 EU AI Act 與 ISO 42001：角色、AI 合約與責任
- 法務長看 NIS2：管轄、個人責任、主管機關調查與客戶條款怎麼處理？
- 法務長看 DORA：第 30 條合約、稽核權與退出條款怎麼談？
- 法務長看 ERM：法遵風險怎麼進風險地圖、怎麼證明法遵制度有效？
- 法務長看 TISAX：車廠合約、參與條款與評估結果分享怎麼處理？
- 法務長看 ISO 27001：客戶資安條款、稽核權與事件責任怎麼談？