助製造商應對2026年9月11日起強制實施的漏洞與事件通報義務
歐盟《網絡韌性法案》（Cyber Resilience Act, CRA），正式編號為 Regulation (EU) 2024/2847，是歐盟首部涵蓋所有含有數位元素產品的橫向性網絡安全法規。該法案將網絡安全要求從自願性建議提升為強制性法規義務，涵蓋硬件產品、軟件應用程式及相關遠端數據處理服務。CRA 要求製造商在產品設計階段即融入「安全內建」（security by design）原則，並在整個產品生命週期中承擔網絡安全責任。
關鍵實施時程
CRA 已於 2024 年 12 月 10 日正式生效，義務將分階段實施：
| 日期 | 里程碑 | 緊急程度 |
|---|---|---|
| 2026年9月11日 | 第14條強制通報義務生效 — 製造商必須開始通報被積極利用的漏洞及嚴重安全事故 |  |
| 2027年12月11日 | CRA 全面實施 — 所有含數位元素的產品必須符合網絡安全要求方可投放歐盟市場 | |
值得注意的是，2026年9月的通報義務適用於仍在支援期內的既有產品，包括已在歐盟市場上的 legacy 產品。
第14條：最嚴峻的合規挑戰
CRA 第14條要求製造商在發現以下情況時必須進行通報：
- 被積極利用的漏洞 — 存在實際攻擊證據或概念驗證（PoC）在流通中
- 嚴重安全事故 — 如惡意代碼注入、大規模數據洩露、設備大規模中斷
通報時限極為嚴苛：
| 時限 | 要求 |
|---|---|
| 24小時內 | 早期預警通報（向國家 CSIRT 及 ENISA） |
| 72小時內 | 詳細事故報告（影響、範圍、緩解措施） |
| 14天／1個月內 | 最終報告（修復完成或事故結案後） |
對於全球佈局的團隊而言，時區差異、週末發生的事故、以及多語言通報要求，都構成巨大的營運壓力。
不合規的後果
- 罰款：最高可達全球年營業額的 2.5% 或 1,500 萬歐元（以較高者為準）
- 市場執法措施：產品禁令、強制召回、撤出歐盟市場
- 其他後果：沒收非法所得、市場准入限制、消費者集體訴訟
CMA Testing：端對端第14條合規自動化解決方案
CMA Testing現推出符合法規要求的自動化漏洞通報雲端服務，專為應對第14條所帶來的營運與技術挑戰而設計：
- SBOM 自動化生成與管理：自動生成或匯入軟體物料清單（SBOM），即時串接全球漏洞資料庫，10分鐘內完成全面的影響分析
- VEX 智能過濾：整合漏洞可利用性交換（VEX）機制，自動過濾 60% 以上的誤報，在維持合規準確性的同時大幅減輕通報工作量
- AI 驅動的通報自動化：內建 AI 合規助理，自動生成符合 ENISA 要求的英文通報報告（早期預警、詳細報告、最終報告），一鍵人工確認後直接提交至 ENISA 平台，確保可靠地滿足 24小時／72小時 通報時限
- 端對端可視性與協調披露：即時儀表板顯示合規截止日期與通報狀態；整合協調漏洞披露（CVD）入口，統一內外部通報渠道
- 稽核-ready 合規與 24/7 監控：完整活動日誌記錄確保監管可追溯性；自動化合規記錄歸檔；24/7 監控與警報確保零通報缺口
立即行動
CRA 第14條是一項零過渡期、零豁免的要求。所有已在歐盟市場上的數位產品必須在 2026年9月11日 前建立合規的通報機制。
CMA Testing憑藉在合規與認證領域的深厚經驗，致力協助製造商以高效、準確、可擴展的方式應對 CRA 合規挑戰。
歡迎聯絡我們
香港總部：
- 電話：(852) -26988198
- 郵箱：info@cmatesting.org
譽標檢測（深圳）有限公司：
- 電話：(86) 0755-88350808
- 郵箱：info.sc@cmatesting.org
聯合廠商會檢定中心（上海）有限公司：
- 電話：(86) 021-64330500
- 郵箱：info.sh@cmatesting.org
