直答：產品經理要在開發時程裡，先確認每個產品系列要符合哪些法規、走哪條評估路徑、上市前要完成哪些文件。產品要進歐盟市場時，EU CRA 第 13 條要求製造商在產品上市前完成技術文件與符合性評估，簽署歐盟符合性聲明並標示 CE；上市時不得有已知可被利用的漏洞，並以安全的預設設定提供；支援期內要有效處理漏洞，支援期原則上至少五年，預期使用時間較短者依預期使用時間。產品含高風險 AI 時，EU AI Act 第 16 條要求提供者建立品質管理系統、完成符合性評估、簽署符合性聲明、標示 CE 並登錄。自有品牌、ODM 與 OEM 的角色不同，義務也不同，要先釐清。
產品上市前要確認的事（EU CRA）
| 決策 | 原文重點 | 產品經理要做的 |
|---|---|---|
| 產品類別與評估路徑 | 一般產品可採內部控制（模組 A）自行評估；重要產品第 I 類未完整適用調和標準時，以及第 II 類與關鍵產品，須經第三方程序 | 依產品系列判定類別，排進時程 |
| 支援期（第 13 條第 8 項） | 支援期至少五年；預期使用時間少於五年者，依預期使用時間 | 在產品規劃時訂定支援期，並對應安全更新的資源 |
| 上市時的狀態（附件 I 第一部分） | 上市時不得有已知可被利用的漏洞；以安全的預設設定提供 | 把弱點掃描與預設設定審查列為上市關卡 |
| 漏洞處理（附件 I 第二部分） | 以常用、機器可讀格式編製 SBOM；及時修補並提供安全更新；建立協調漏洞揭露政策 | SBOM 與安全更新機制隨產品交付 |
| 上市前文件（第 13 條第 12 項） | 上市前編製第 31 條技術文件，執行第 32 條符合性評估，再依第 28 條簽署歐盟符合性聲明、依第 30 條標示 CE | 技術文件與評估，納入上市里程碑 |
| 時間 | 第 14 條通報義務自 2026 年 9 月 11 日起適用；其餘主要義務自 2027 年 12 月 11 日起全面適用 | 2027 年 12 月 11 日後上市的產品，要依全部要求準備 |
逐項說明：產品經理要判定什麼、上市前要完成什麼、要多久
EU CRA 歐盟網路韌性法
- 先判定：產品是否在 CRA 範圍（例如型式認證的車輛零組件即排除）、屬於哪一類、自有品牌或 ODM、OEM 的角色。
- 上市前要完成：附件 VII 技術文件、符合性評估、歐盟符合性聲明與 CE 標誌；漏洞處理流程與 SBOM。
- 時程：依產品類別與企業現有基礎而定，免費診斷後提供估算。
- 深入：EU CRA 合規輔導、CRA 時程、CRA 預算、CRA 由誰主導
EU AI Act 歐盟人工智慧法
- 先判定：產品裡的 AI 系統在 EU AI Act 下的角色（提供者或部署者）與風險等級。
- 高風險 AI 提供者要做的（第 16 條）：符合第 2 節要求；建立符合第 17 條的品質管理系統；上市前完成第 43 條符合性評估；簽署歐盟符合性聲明；標示 CE；依第 49 條第 1 項登錄。
- 時程（服務頁所列）：高風險 AI 合規通常 6–9 個月，整合 ISO 42001 驗證 9–12 個月。
- 深入：EU AI Act、EU AI Act 顧問怎麼選
ISO/IEC 29147 與 30111 漏洞揭露與處理
- 對產品經理的意義：CRA 要求的是結果：協調漏洞揭露政策、通報聯絡地址、修補，以及安全更新可用後公開已修補漏洞的資訊。29147 管通報受理與公告，30111 管內部驗證、分級與修補。
- 典型交付：security.txt 與通報信箱或表單、受理與回覆 SLA、CVD 政策、公告模板與發布流程。
- 深入：ISO/IEC 29147、ISO/IEC 30111
IEC 62443-4-2 工控產品
- 對產品經理的意義：工控與 OT 產品的技術資安要求；取得 4-2 產品認證前，組織必須先完成 4-1 SDL 認證。IEC 62443 認證本身不等於推定符合 CRA。
- 時程（服務頁所列）：4-2 產品認證 4–8 個月（不含 4-1）。
- 深入：IEC 62443
ISO/SAE 21434 車用產品
- 對產品經理的意義：適用於車輛電子電氣系統從概念、開發、生產、運作、維護到除役的整個生命週期；標準本身沒有官方認證制度，更關鍵的是通過車廠的開發案稽核。
- 深入：ISO/SAE 21434
ISO 42001 AI 管理系統
- 對產品經理的意義：客戶要求證明 AI 產品的治理時，ISO 42001 是可驗證的管理系統標準；但證書不能替代 EU AI Act 的符合性評估、歐盟資料庫登錄、授權代表與第 50 條透明度。
- 時程（服務頁所列）：已有 ISO 27001 的組織通常 4–6 個月；從零開始約 6–9 個月。
- 深入：ISO 42001
TISAX 原型保護
- 對產品經理的意義：車廠把原型交給供應商時，可能要求 TISAX 評估範圍包含原型保護；2027 年 1 月 1 日起委託的評估一律適用 VDA ISA2027。
- 深入：TISAX 評估輔導、TISAX 時程
怎麼接上你現有的制度
產品開發已有里程碑與上市審查；新要求要放進既有的關卡，而不是另開一條流程。
| 既有關卡 | 新要求怎麼融進去 |
|---|---|
| 產品規劃與立案 | 判定 CRA 類別與評估路徑、AI 系統風險等級；訂定支援期 |
| 設計審查 | CRA 附件 I 基本要求的風險評估；車用產品的 TARA |
| 上市審查 | 無已知可被利用的漏洞、安全的預設設定、SBOM、技術文件、符合性聲明與 CE |
| 上市後維護 | 漏洞處理與安全更新、協調漏洞揭露、CRA 第 14 條通報 |
積穗科研的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 誰主導：副總、董事級顧問全程親自輔導、不外包
- 依產品系列判定：依產品系列判定 CRA 等級與供應鏈身份，將安全設計、SBOM 與漏洞處理納入開發流程
- 一份技術文件：以 CRA、NIS2 與 EU AI Act 的共同要求建立單一文件體系；同時適用 EU AI Act 的產品，一份技術文件回應兩部法規的稽核
- 第一步：第一次機制診斷免費
相關問題
- EU CRA 的支援期要訂多久？ 依 CRA 第 13 條第 8 項，支援期至少五年；產品預期使用時間少於五年者，依預期使用時間。支援期內要有效處理產品及其元件的漏洞。EU CRA 合規輔導
- 產品上市前，CRA 要完成哪些文件？ 依第 13 條第 12 項，上市前要編製第 31 條的技術文件，執行第 32 條的符合性評估程序；完成後依第 28 條簽署歐盟符合性聲明，並依第 30 條標示 CE。EU CRA 合規輔導
- 產品上市時，CRA 對漏洞有什麼要求？ 附件 I 第一部分要求產品上市時不得有已知可被利用的漏洞，並以安全的預設設定提供；第二部分要求以常用、機器可讀格式編製 SBOM、及時修補並提供安全更新，以及建立協調漏洞揭露政策。ISO/IEC 30111
- CRA 什麼時候開始適用？ 第 14 條通報義務自 2026 年 9 月 11 日起適用，且涵蓋已在歐盟上市的產品；其餘主要義務自 2027 年 12 月 11 日起全面適用。CRA 時程
- 產品含高風險 AI，提供者要做什麼？ 依 EU AI Act 第 16 條，提供者要確保符合第 2 節要求、建立第 17 條的品質管理系統、上市前完成第 43 條符合性評估、簽署歐盟符合性聲明、標示 CE，並依第 49 條第 1 項登錄。EU AI Act
- 有 IEC 62443 認證，就符合 CRA 嗎？ 不等於。IEC 62443 認證本身不產生 CRA 的符合性推定；推定符合只來自刊登於歐盟公報的協調標準、共同規格或指定的認證方案（CRA 第 27 條）。IEC 62443
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。