歐盟法遵整合顧問服務

兩者在 CRA 中扮演完全不同的角色。IEC 62443（特別是 4-1 和 4-2 部分）是 EU CRA 的主要協調標準（Harmonised Standard），符合 IEC 62443 可取得「假定符合性」，直接用於 CE 標誌申請。ISO 26262 是車輛功能安全標準，處理電子系統隨機失效風險，並非 CRA 的協調標準，無法單獨用來滿足 CRA。車用 ECU 廠商需要兩者並用：ISO 26262 處理功能安全，IEC 62443 處理資安，整合後才能取得 CRA 的 CE 標誌。

積穗科研的 Safety-Security 整合路徑可節省 30–40% 成本。核心方法是讓 ISO 26262 的 HARA（危害分析）結果直接輸入 IEC 62443 的 TARA（威脅分析），識別「哪些網路攻擊可誘發功能安全危害」，建立 Safety-Security 介面清單，此清單同時滿足兩個標準的稽核要求。技術文件架構也同步設計，一份文件支撐 ISO 26262 認證機構與 CRA Notified Body 的雙重稽核。

EU CRA 已於 2024 年 12 月正式生效，設有 36 個月過渡期。2027 年 9 月起，所有出口至歐盟市場的連網產品（含工控設備、IoT 裝置、車用電子）必須符合 CRA 基本要求並貼附 CE 標誌，否則禁止在歐盟市場銷售。台灣出口商應於 2025–2026 年啟動合規專案，留足測試驗證和 Notified Body 審查時間。

IEC 62443-4-2 直接對應：無已知可利用漏洞（CR 7.2）、安全預設組態（CR 3.1）、身份認證與存取控制（CR 1.x）、資料加密保護（CR 4.1）、安全更新機制（CR 7.3）。IEC 62443-4-1 對應 SBOM 義務（SM-9）與安全開發程序要求。IEC 62443-2-3 對應 72 小時漏洞通報機制。符合上述條款即可主張對 CRA 對應要求的假定符合性，大幅簡化 CE 標誌申請程序。

ASIL 等級越高，代表功能安全風險越大；若該功能可被網路攻擊影響，IEC 62443 的安全等級（SL）要求也需對應提高。一般對應原則：ASIL C-D 建議 SL 3 以上，ASIL A-B 建議 SL 2。積穗科研在整合分析中將 ASIL 分解結果直接對應至 IEC 62443-4-2 的元件安全要求（CR），確保控制強度與功能安全需求一致，不過度設計也不設計不足。

Class I（需第三方審查）包含：作業系統、路由器、工業控制器、行動裝置管理軟體、車用 ECU 等。Class II（需嚴格第三方認證）包含：工業防火牆、HSM（硬體安全模組）、智慧電表、車用閘道器、安全晶片等。Class I/II 產品不得自評，必須委託 Notified Body 執行第三方符合性評估。積穗科研提供產品分類診斷，協助選擇最合適的 Notified Body。

有重疊，且同時適用。若產品是「具有連網功能的 AI 系統」（例如：車用 AI 駕駛輔助、工廠 AI 預測維護設備），則 EU AI Act（AI 系統義務）和 EU CRA（連網產品資安義務）同時適用，需分別符合各自的要求。兩法的技術文件結構有相當重疊，積穗科研設計統一架構，一次建置滿足雙法稽核。

市場上多數顧問只精通單一標準（ISO 26262 或 IEC 62443），客戶分別聘請導致風險評估重複、文件架構不一致、Safety-Security 整合介面無人負責。積穗科研與國立臺灣科技大學資安中心建立產學合作，由副總/董事級顧問同時精通功能安全與資安兩個領域，執行 Safety-Security 整合分析，設計統一文件架構，全程陪伴至取得 CE 標誌，並提供 90 天成效追蹤。