歐盟《資安韌性法》2027 年強制執行 台灣廠商如何應對？
※如欲轉載本文，請與北美智權報聯絡
吳碧娥╱北美智權報 編輯部
歐盟的《資安韌性法》（Cyber Resilience Act，CRA）已於2024年12月10日正式生效，並於2027年全面上路，歐盟將對網路供應鏈提供強制性網路安全標準，並課予數位產品製造商在網路安全方面的義務，以提高產品安全性之透明度。值得注意的是，相關的產品製造商最早將於2026年就必須遵守強制性的通報義務，違反者恐將面臨巨額罰款。
根據《CRA》規定，未來數位產品要銷售到歐盟國家，製造商及其授權代理商、進口商與經銷商必須符合法遵義務，產品設計、開發與生產須符合資安要求（cybersecurity requirements），且製造商須遵循漏洞處理要求，產品始得進入歐盟市場。而為證明數位產品已符合資安及漏洞處理要求，製造商須依數位產品類別，對產品執行合規評估程序：若屬於重要數位產品（無論I類或II類）及關鍵數位產品應透過第三方進行驗證，一般數位產品得由製造商自行評估。通過合規評估程序後，製造商須提供「歐盟符合性聲明」（EU declaration of conformity），並附標CE標誌以標示產品符合規範。
《CRA》將從2026年6月11日開始適用「通知合格評估機構」的相關規定，成員國須確保2026年12月11日前，歐盟境內有足夠數量的指定合規性評估單位，其餘主要規定將於2027年12月全面生效，製造商須確保其產品符合《CRA》的資安要求 。
如為2027年12月11日前已於歐盟市場上提供的產品，將適用製造商通報義務並不受其他條文規範，除非在2027年12月11日後該產品有重大調整（substantial modification）；至於2027年12月11日後才在歐盟市場上提供的產品，則所有條文均適用。
《CRA》重點規範
國家資通安全研究院國合治理中心研究員李婉萍指出，CRA重點規範包括：
- 產品基本資安要求：產品於生命週期各階段需符合基本資安要求（essential cybersecurity requirements），包含產品資安機制的相關要求，與漏洞處理兩個面向，舉例來說，產品資安機制例如防止漏洞與不當操作、漏洞應對與更新機制、存取控制與資料保護、可用性與系統靭性；漏洞處理相關要求包括識別與紀錄、漏洞修補、測試與評估、漏洞披露政策和安全更新機械制。
- 認驗證機制與標章：部分產品須通過合規評估（conformity assessment）與CE標章相關義務。
若未能達到《CRA》相關規範，業者最高可被處以1,500萬歐元，或前一會計年度之全球年營業額2.5%之行政罰缓，必須特別注意以免不慎受罰。
《CRA》主要規範對象之法定義務
《CRA》主要規範對象包括製造商、開源軟體管理者、進口商及經銷商四大類別。
- 製造商：開發或製造產品，或委託他人設計、開發或製造，並以自身名稱或商標進行市場銷售，無論是營利或免费提供；
- 開源軟體管理者：對預期商用的自由與開源軟體之開發，持續、系統化支持其開發；
- 進口商：設立於歐盟境內，將標示有設立於歐盟境外之業者名稱或商標的產品投放至歐盟市場；
- 經銷商：在不影響產品性質的情況下，於歐盟市場提供產品。
製造商
製造商重點義務包括風險評估及通報義務。製造商必須針對產品特性與漏洞處理兩面向進行基本資安要求的風險評估，要提供合規性評估、歐盟合規性聲明及CE標章等技術文件，製造商通報義務必須持續履行，包括漏洞利用和對產品資安產生影響的重大事件。
開源軟體管理者
《CRA》希望能促進開發者自願通報漏洞，涵蓋漏洞紀錄、處理以及修補相關事項，並促進開源社群（open-source community）分享已發現漏洞的資訊，當開源軟體管理者參與產品開發時，或是發生響產品安全的重大事件，會波及開源軟體管理者提供的網路與資訊系統時，開源軟體管理者應履行法定通報義務。
進口商與經銷商
進口商與經銷商重點義務包括產品合規、必要文件以及告知義務三大面向，雖然進口商與經銷商之義務不盡相同，但均須符合以下規範：
- 產品合規：確保產品已標示歐洲合格認證推章（CE標章）
- 必要文件：依要求提供產品合規性的文件
- 告知義務：發現漏洞時，應即時告知製造商；若發現產品存在重大資安風險，須立即告知製造商與市場監理單位（MSA）；若發現製造商已停止經營，須告知市場監理單位，並盡可能告知使用者。
另外，就屬於歐盟《AI法》所定義的高風險AI系統（high-risk Al systems）之產品，應遵守歐盟《CRA》的產品基本資安要求。製造商的風險評估應特別納入以下內容：
- 未經授權第三方試圖變更系統用途、行為或效能之資安風險；
- 包含資料下毒（data poisoning）或對抗攻擊（adversarial attacks）等AI特有漏洞；
- 依據歐盟《AI法》應納入考量的基本權利風險（如果相關）。
李婉萍指出，若符合歐盟《CRA》的產品基本資安要求，在根據歐盟《CRA》發布的合規性聲明中，聲明達成歐盟《AI法》所要求的資安保護水準，則可被視為符合歐盟《AI法》的資安要求。
《CRA》誕生於高度互聯且涉及複雜地緣政治關係的全球數位環境，隨著歐盟在網路安全威脅日益加劇，《CRA》實施將使得全球製造商皆需進行相應調整，以符合歐盟嚴格的網路安全要求。台商可以先盤點產品與出貨國別，確定哪些需遵循《CRA》合規，並開始進行產品資安風險評估與漏洞管理制度、建立技術文件與通報流程，未來歐盟將如何應對《CRA》，亦值得台灣廠商後續保持關注。
資料來源：
- 2025/5/7，「AIoT資安法規趨勢研討會」李婉萍簡報
- 2024/12/3，Cyber Resilience Act: MEPs adopt plans to boost security of digital products.
作者： 吳碧娥 現任： 北美智權報主編 學歷： 政治大學新聞研究所 經歷： 北美智權報資深編輯 驊訊電子總經理室特助
經濟日報財經組記者
東森購物總經理室經營企劃
延伸閱讀&電子報訂閱連結：
【詳細內容請見《北美智權報》380期；歡迎加入NAIPNews網站會員，或以系統訂閱《北美智權報》】
延伸閱讀
相關新聞
USPTO打詐！鎖定虛偽優惠聲明及問題簽名文件
USPTO宣布，利用不實優惠資格聲明短繳規費者，將依法加徵欠繳金額至少三倍的罰款，而非署名人親簽的簽文，亦是其打詐查察重點。若官方認定事涉違規，視情節輕重，可合併執行多重處分，包括但不限於所涉案件USPTO程序中止、代理人移送懲戒之類。
從G 1/24、G 2/24與G 1/23看歐洲專利局擴大上訴委員會的角色演化
歐洲專利局擴大上訴委員會（Enlarged Board of Appeal, EBA）在2024年間受理了三件重大法律問題移送案 ─ G 1/24（主張解釋）、G 2/24（介入人地位）與G 1/23（專利延長請求的權利性問題），三案分別由不同技術上訴委員會提出，涵蓋主張解釋標準、當事人適格與行政-司法程序間接軌問題，體現了當前EPC體系中各種潛在制度張力的集體浮現。
歐洲專利局上訴委員會2024年報告分析
2024年對歐洲專利局（EPO）上訴委員會（Boards of Appeal, BoA）而言，是深化改革後邁向效率與品質雙軌並行的重要轉捩點。自組織架構改革完成以來，BoA首次訂下更積極的目標：至2025年底，使未結案件中，僅有不超過10%超過24個月的存續時間。2024年年報不僅呈現此新目標下的具體進展，也從案件處理、內外部對話、法務品質、數位轉型等面向，揭示歐洲專利審判機制的全面革新。
日本專利局揭示AI領域全球專利競爭態勢：中國壓倒性領先 日本醫療應用另闢蹊徑
日本專利局（JPO）於2025年6月發布最新報告《AI関連発明の申請動向調査（国際編）》（下稱《報告》），深入分析自2015年起全球人工智慧（AI）相關技術在八大子領域的專利申請趨勢，包括AI核心技術、圖像／影像處理、自然語言處理、神經網路、卷積神經網路（CNN）、遞迴神經網路（RNN／LSTM）、深度強化學習以及Transformer架構技術。報告以INPADOC專利家族為單位，結合XLSCOUT資料庫，對中、美、韓、日等主要技術強國的專利活動進行總體與微觀解析，試圖勾勒出日本在全球AI專利競爭中的定位與潛在優勢。
日本智財權審判制度運作與實務透析：2024年《審判及上訴實務研究會》綜合報告
日本專利局（JPO）審判暨上訴部自2006年起，每年均召集企業智慧財產權實務操作者、專利律師、律師及專利局行政法官等多方代表，組成「審判暨上訴實務研究會」(Trial and Appeal Practitioner Study Group) (下稱《研究會》)。此《研究會》旨在透過對具代表性之審判及法院裁判案件進行多角度分析，進而形塑審查與審判判斷的準則及將其細緻化，以提升日本智慧財產制度的透明度與預測性。
從地緣政治看世界大學排名變化
在中美貿易戰與俄烏戰爭之後，地緣政治開始以各種形勢影響全球政經局勢、產業脈動及科技發展，連國際教育也深受地緣政治所牽動。近年來，許多國家移民政策的重大變化，已實質影響國際間的學術合作與研究資金流動，地緣政治緊張會改變學生簽證核發、學者聘任與移動自由，而各國教育機構實施「上限」或試圖減少國際學生人數的做法，都可能降低世界大學「國際化程度」這項排名指標，傳統留學目的地國的主導地位亦將面臨更多來自國內外的挑戰。
贊助廣告
商品推薦
udn討論區
- 張貼文章或下標籤，不得有違法或侵害他人權益之言論，違者應自負法律責任。
- 對於明知不實或過度情緒謾罵之言論，經網友檢舉或本網站發現，聯合新聞網有權逕予刪除文章、停權或解除會員資格。不同意上述規範者，請勿張貼文章。
- 對於無意義、與本文無關、明知不實、謾罵之標籤，聯合新聞網有權逕予刪除標籤、停權或解除會員資格。不同意上述規範者，請勿下標籤。
- 凡「暱稱」涉及謾罵、髒話穢言、侵害他人權利，聯合新聞網有權逕予刪除發言文章、停權或解除會員資格。不同意上述規範者，請勿張貼文章。
FB留言