我的產品在不在 EU CRA 範圍？產品經理要先判定哪三件事？
CRA 管的是含數位元素的產品：軟體、含韌體的硬體，以及產品功能不可或缺的遠端資料處理。依產品系列逐一判定：
- 是否在範圍：例如型式認證的車輛零組件即排除；一般 SaaS 雲端服務不在 CRA 範圍，改適用 NIS2。
- 屬於哪一類：等級看產品的核心功能，同一大類裡的產品可能落在不同等級，邊界案例依實施規則 (EU) 2025/2392 的技術描述逐項對照。
- 以什麼身份上市：以自有品牌或商標上市即為製造商；ODM、OEM 的品牌客戶是製造商。
同一家公司常同時有多個等級與身份，每一種組合各需一條評估路徑。
產品類別會不會讓上市延後？評估路徑怎麼排進產品時程？
會，差別在要不要排第三方：
| 產品類別 | 評估路徑 |
|---|---|
| 一般產品 | 可採內部控制（模組 A）自行評估 |
| 重要產品第 I 類 | 採用協調標準、共同規格或歐盟資安認證方案時才能自我評估，否則須找公告機構 |
| 重要產品第 II 類、關鍵產品 | 一律須第三方評估 |
須第三方時，時程取決於公告機構的排程，不在企業掌控內。截至 2026 年 8 月，尚無 CRA 協調標準刊登於歐盟公報，第 I 類產品現在就要把公告機構排進計畫。支援期多長、要不要延後上市，都是產品決策。
上市審查要檢查哪些項目？產品規格與技術文件要備齊什麼？
把下列項目列為上市關卡：
- 上市時的狀態（附件 I 第一部分）：不得有已知可被利用的漏洞，並以安全的預設設定提供。
- 漏洞處理（附件 I 第二部分）：以常用、機器可讀格式編製 SBOM，及時修補並提供安全更新，建立協調漏洞揭露政策。
- 上市前文件（第 13 條第 12 項）：第 31 條技術文件、第 32 條符合性評估，再依第 28 條簽署歐盟符合性聲明、依第 30 條標示 CE。
CRA 沒有一張獨立的「CRA 證書」；能對客戶出示的是符合性聲明、CE 標示，以及背後的技術文件。
支援期要訂多久？對客戶與通路要怎麼標示與承諾？
支援期是產品規劃時就要決定的對外承諾：
- 長度（第 13 條第 8 項）：至少五年；預期使用時間少於五年者，依預期使用時間。支援期內要有效處理產品及其元件的漏洞。
- 標示（第 13 條第 19 項）：支援期結束日（至少含年、月）須於購買時清楚標示。
- 更新保留（第 13 條第 9 項）：支援期內發布的每項安全更新，至少保留 10 年或至支援期結束，以較長者為準。
- 提供方式：安全更新除客製化產品另有約定外應免費提供，並附說明告知使用者應採取的行動。
支援期內的漏洞處理是每年都在的持續成本，不是一次性專案。
已經在賣的產品也要管嗎？CRA 什麼時候會卡住出貨？
兩個日期要分開看：
- 2026 年 9 月 11 日：第 14 條通報義務起適用，且涵蓋 2027 年 12 月 11 日前已在歐盟上市的產品。知悉遭主動利用的漏洞或嚴重事件後，24 小時內早期預警、72 小時內通報，經 ENISA 單一通報平台提交。
- 2027 年 12 月 11 日：其餘主要義務全面適用。落入範圍而未符合基本網路安全要求、未完成符合性評估並標示 CE 的產品，不得投放歐盟市場；違反基本要求最高可處 1,500 萬歐元或全球年營業額 2.5%，取其高者。
已上市產品要先備妥通報流程；2027 年 12 月 11 日後上市的產品，要依全部要求準備。
我們做 ODM 或 OEM，對品牌客戶要承諾什麼？
ODM、OEM 的法定製造商是品牌客戶，但客戶會把證據要求轉給你：
| 經營模式 | 客戶常要求 | 合約要寫清楚 |
|---|---|---|
| ODM（你設計並製造，客戶貼牌） | 風險評估、技術文件素材、SBOM 與漏洞處理支援 | 範圍、支援期與通報配合時限 |
| OEM（客戶設計，你製造） | 元件 SBOM、生產端安全與零組件查核證據 | 通報配合時限 |
同一款產品若你也以自有品牌在歐盟銷售，這部分你就是製造商。客戶的產品等級越高，要你交付的證據就越多。
積穗科研怎麼協助產品經理處理 EU CRA？
積穗科研依產品系列判定 CRA 等級與供應鏈身份，將安全設計、SBOM 與漏洞處理納入開發流程。服務頁列出三項可分段委託的工作：
- 分類與差距診斷：適用、分類、評估路徑的判定依據
- SBOM／漏洞證據補強：從產品版本到元件、判定與處置的可追溯紀錄
- 技術文件與通報作業整合：技術文件對照索引與通報演練紀錄
同時適用 EU AI Act 的產品，一份技術文件回應兩部法規的稽核。積穗科研是輔導顧問、不做評鑑，由副總、董事級顧問全程親自輔導、不外包。截至 2026-10，EU CRA 網路韌性法合規輔導案件（依保密協議不具名）共 6 家。