獨立董事必看：EU 網路韌性法下的合規風險與董事會決策指引

掌握 CRA 合規，從治理框架到罰則防護，一步到位。

【新聞觀察】

如果你是公司獨立董事，同時兼任經營層的關鍵決策者，你每天要對市場准入、營收成長與股東價值負責，還得確保公司治理評等不被扣分。現在，歐盟《網路韌性法案》（CRA）正式生效，所有投放 EU 市場的具數位元素之產品都必須符合全新安全設計、預設安全與全生命週期的要求。對你而言，第一個念頭往往是：『我們的產品會被歸類為哪一類？如果屬於重要的數位產品（Class I 或 Class II），是否需要第三方驗證？若不合規，我們面臨的罰款到底有多嚴重？』 CRA 的罰則結構在 Art.64(2) 明確指出，違反基本安全要求或製造商義務，可被處以最高 15,000,000 歐元，或事業上一會計年度全球營收的 2.5%，取其較高者；若僅違反進口商、經銷商或 CE 標誌相關規定，罰金上限則為 10,000,000 歐元或 2% 營收。這樣的金額在財務報表上會以或有負債列示，直接侵蝕股東權益，也可能觸發投資人對公司治理的質疑。 更讓人睡不著的是，Art.14 規定的通報時序——24 小時內早期預警、72 小時內正式通報、隨後提交最終報告——若未能即時上傳至 ENISA 建置的單一通報平臺（SRP），除了罰金外，還會被視為治理失職，獨立董事在監督層面將直接承擔問責。再者，Art.13 要求製造商在產品預期使用期間內提供安全更新，若你公司的支援政策僅依照歷史慣例而非明確的「預期使用期間」制定，可能被認定為違規，罰則同樣適用最高級別。這些風險不只是合規部門的問題，而是直接關聯到董事會的聲譽、公司在 EU 市場的准入資格以及未來融資成本。

【積穗洞察】

我們觀察到，許多企業在面對 CRA 時常陷入兩個誤區：一是過度依賴自我認證，以為只要內部測試合格就能免除第三方驗證；二是把合規視為 IT 部門的技術任務，而忽略了治理層面的決策與資源配置。事實上，CRA 明確將重要數位產品（Class I、Class II）排除自自行認證，必須透過型式驗證或實地檢查取得「符合性」標章。因此，董事會需要先建立一套『產品風險分級與合規路徑』的判斷框架： 1. **辨識產品類別**：根據 CRA 附錄將所有投放 EU 的硬體、韌體或軟體元件分類，確認是否屬於「重要的數位產品」；若是，即進入必須第三方驗證流程。 2. **評估支援期間與安全更新承諾**：以產品預期使用期限為基礎，制定書面的安全維護計畫，並在董事會層面批准資金與人力配置。這不僅滿足 Art.13，也避免因支援不足被視為違規。 3. **建立通報流程**：將 Art.14 的 24/72 小時時限寫入公司危機管理 SOP，指定單一聯絡窗口（例如資安主管）負責 SRP 上線報送，同步在董事會上設定每月一次的合規進度檢視。 4. **風險與罰則映射**：利用 Art.64 的罰金上限，將可能的或有負債量化（以全球營收比例計算），納入財務模型，讓董事會能在投資決策時即看到合規成本。 5. **第三方驗證機構選擇與監管**：根據產品類別挑選符合 EU 認可的 notified body，並在合約中加入交付成果、審計權限及違約金條款，以降低驗證失敗風險。 6. **跨部門治理機制**：將法務、資安、研發與供應鏈納入同一個 CRA 合規委員會，定期向董事會報告進度與問題，確保資訊不斷流通且決策透明。 這套框架的核心在於把技術合規轉化為治理議題，使獨立董事能在風險評估、資本配置和聲譽管理上直接介入，而不是僅作被動監督。從我們的觀察來看，最常見的盲點是忽視了「支援期」的彈性定義——許多公司誤以為 CRA 設有固定五年下限，實則要求依產品預期使用期間自行確定，只要能在該期限內提供安全更新，即符合規範。這一點如果不清楚，就可能過度投入資源於短期支援，或相反地因未明確承諾而被罰。 因此，我們建議董事會先以「合規影響評估（Compliance Impact Assessment）」的方式，把 CRA 相關義務映射到現有的治理結構上，找出缺口、設定優先順序，再逐步推動資源投入。這樣既能符合 EU 市場准入要求，又不會在財報上產生不可預見的或有負債。

【行動建議】

針對你目前掌握的權限與責任，我們整理了五個具體行動步驟，讓董事會可以快速落實 CRA 合規，同時降低罰則風險與財務衝擊： 1. **立即成立 CRA 合規委員會**：由資安主管、法務長、研發負責人以及一位獨立董事擔任主席，確保跨部門資訊流通。首會議程應包括產品分類清單與初步風險分級。 2. **啟動產品風險分級工作坊**：利用 CRA 附錄指引，把所有投放 EU 的數位元件逐一評估，標示出 Class I、Class II 以及非重要產品。將結果以圖表方式呈報董事會，以便即時決策是否需要第三方驗證。 3. **簽訂第三方型式驗證或實地檢查合約**：針對已確定的 Class I/II 產品，挑選 EU 認可的 notified body，並在合約中加入交付時間表、審計權限與違約金條款。此舉能提前掌握驗證進度，避免因驗證延遲而錯過市場上市窗口。 4. **制定《安全更新與支援政策》**：以產品預期使用期間為基礎，明確列出每年安全漏洞修補的資源配置、更新頻率以及支援終止條件。將此政策納入董事會批准的年度營運計畫，並在財務報表中披露相關或有負債。 5. **建置 24/72 小時通報 SOP 並測試**：指定單一聯絡窗口負責 SRP 上線報送，並每半年演練一次漏洞發現與通報流程，確保在 24 小時內完成早期預警、72 小時內提交正式通報。演練結果應列入董事會風險管理報告。 為什麼這些步驟特別適合由積穗協助？ - **深耕 EU 法規**：我們的資安法規團隊持續追蹤 CRA、GDPR、NIS2 及 DORA 的最新解讀，能即時提供合規指引。 - **跨域治理顧問經驗**：積穗已協助多家跨國製造商建立董事會層面的資安治理框架，熟悉如何將技術要求轉化為治理決策。 - **第三方驗證網絡**：我們與 EU 認可的 notified bodies 保有長期合作關係，可快速安排型式驗證或實地檢查，縮短上市時間。 - **風險量化工具**：透過我們開發的罰則影響模型，能將 Art.64 的最高罰金轉換為財務或有負債數值，直接嵌入你的財務規劃與投資者說明文件。 只要依照上述行動計畫落實，你不僅可以在董事會層面掌握 CRA 合規進度，還能向股東證明公司具備完整的風險管理能力，避免因罰款或市場禁入而衝擊營收與聲譽。若需要更深入的合規診斷或專案推動，我們提供免費的 CRA 影響評估報告，協助你快速定位關鍵缺口並制定行動藍圖。

常見問題

Q: 如果公司違反 CRA 最嚴重會被罰多少？

A: 最高可達 15,000,000 歐元，或全球營收的 2.5%，以較高者計算（Art.64(2)）。

Q: 董事會應如何在治理層面掌握 CRA 合規進度？

A: 成立跨部門合規委員會、制定產品風險分級、定期向董事會報告通報與驗證狀況。