REGULATION (EU) 2024/2847
2027 年 12 月 11 日起，沒有做到 CRA 的數位產品不能在歐盟市場銷售。
CRA 是歐盟對「具數位元素產品」的橫向強制性資安法規，涵蓋設計、開發、生產、漏洞處理、更新與市場監管。這一頁把法規要求整理成製造商實際要做的事，每一段都標明法源條號。
Regulation (EU) 2024/2847 — Cyber Resilience Act，歐盟第一部針對產品資安的橫向強制法規。
適用於所有「具數位元素產品」（products with digital elements），也就是任何在預期用途或合理可預見使用中會與裝置或網路直接、間接連線的軟硬體產品。不分產業別，先看產品有沒有數位元素。（Art. 2(1)、Art. 3(1)）
不是出貨前做一次測試就結束。從安全設計、風險評估、SBOM、安全測試，到上市後的漏洞處理、安全更新、通報義務與支援期結束（EOL），每個階段都有對應義務。（Art. 13、Annex I Part II）
製造商責任最重（Art. 13、14）；進口商、分銷商各有查核義務；非歐盟製造商必須指定歐盟境內的授權代表（Art. 18）。
產品要通過符合性評鑑、備妥技術文件（Annex VII）、簽署 EU 符合性聲明（Annex V），才能加貼 CE 標示上市。（Art. 28-32）
罰鍰上限採「固定金額」與「全球年營業額比例」取其高者計算。
| 違反 Annex I 必要資安要求，或 Art. 13、Art. 14 的製造商義務 | EUR 15,000,000 或全球年營業額 2.5% | Art. 64(2) |
| 違反其他義務（授權代表、進口商、分銷商、DoC、CE 標示、技術文件、評鑑程序等） | EUR 10,000,000 或全球年營業額 2% | Art. 64(3) |
| 向公告機構或市場監管機關提供不正確、不完整或誤導的資訊 | EUR 5,000,000 或全球年營業額 1% | Art. 64(4) |
實際裁罰金額由各會員國依違規性質、嚴重性、持續時間等情節決定（Art. 64(5)）。
法定日期出自 Art. 71(2)；標示為「規劃」者是標準制定的預期進度，不是法定日期。
歐洲議會與理事會於史特拉斯堡簽署。
刊登於歐盟官方公報。
公布後第 20 日生效。
第四章（Art. 35-51）適用，會員國可開始指定公告機構（Notified Body），製造商可著手申請。
Art. 14 提前適用：被積極利用的漏洞與嚴重資安事件必須向 CSIRT 與 ENISA 通報。
EN 40000 系列水平標準與 ETSI EN 304-6xx 垂直標準目前多為成熟草案，預計 2026 年底前定案。
製造商、進口商、分銷商的全部義務生效；此日之後投放市場的產品都必須符合 CRA。
無線產品現在受 RED 資安要求管，2027-12-11 起改由 CRA 接手。
Delegated Regulation (EU) 2022/30 由 Delegated Regulation (EU) 2026/339 廢止，廢止生效日為 2027-12-11，與 CRA 全面適用日銜接。2025-08-01 至 2027-12-10 之間投放市場的無線電設備仍受 RED 3.3(d)(e)(f) 市場監督，相關記錄要留存。
範圍與排除全部規定在 Article 2；Article 3 是名詞定義。
| 產品類別 | 是否適用 CRA | 法源 | 說明 |
|---|---|---|---|
| 具數位元素產品 | 適用 | Art. 2(1) | 任何硬體或軟體產品，其預期用途或合理可預見使用包含與裝置或網路的直接或間接連線（IoT 裝置、智慧型手機、電腦系統、應用軟體、嵌入式軟體等）。 |
| 醫療器材 | 不適用 | Art. 2(2)(a) | 受 Regulation (EU) 2017/745 涵蓋者。 |
| 體外診斷醫療器材 | 不適用 | Art. 2(2)(b) | 受 Regulation (EU) 2017/746 涵蓋者。 |
| 車輛與其型式核准系統 | 不適用 | Art. 2(2)(c) | 受 Regulation (EU) 2019/2144 涵蓋者，例如 ADAS、車載通訊系統。 |
| 航空產品 | 不適用 | Art. 2(3) | 已依 Regulation (EU) 2018/1139 取得認證者（EASA 體系）。 |
| 海事設備 | 不適用 | Art. 2(4) | 落入 Directive 2014/90/EU 範圍者，例如船舶導航與安全通信設備。 |
| 已有其他歐盟部門法規者 | 可能部分限縮或排除 | Art. 2(5) | 其他歐盟法規已涵蓋 Annex I 的全部或部分風險，且防護水準相同或更高時，得由委員會以授權法案限縮或排除適用。 |
| 備用零件 | 不適用 | Art. 2(6) | 僅用於替換相同元件、且依相同規格製造者。 |
| 國防與機密資訊產品 | 不適用 | Art. 2(7) | 專為國家安全或國防目的開發／修改，或專門設計用於處理機密資訊者。 |
| 涉及國安之資訊揭露 | 不得要求 | Art. 2(8) | 本法規之義務不得導致提供會危害會員國國安、公共安全或國防重大利益的資訊。 |
落入除外清單不等於沒有資安義務——通常是改由該產品自己的專屬法規規範。
分級決定評鑑路徑：級別越高，第三方介入越深。分級清單見 Annex III 與 Annex IV，技術描述見 Commission Implementing Regulation (EU) 2025/2392。
未列於 Annex III 或 Annex IV 的產品都屬此類，也是絕大多數產品的落點。
可自我評估（Module A）
風險較高但仍可能自評的重要產品。
完全套用協調標準可自評，否則需公告機構
風險更高，一律需要公告機構介入。
必須 Module B+C 或 H，或歐洲資安認證
風險最高，優先採用歐洲資安認證方案。
歐洲資安認證方案（Art. 8(1)）
分級是「產品功能」而非「產業別」決定的——同一家公司的不同產品可能落在不同級別，要逐機型判斷。
程序規定於 Art. 32，各模組內容規定於 Annex VIII（Part I = Module A、Part II = B、Part III = C、Part IV = H）。
| 產品類別 | 可用程序 | 模組 | 說明 |
|---|---|---|---|
| 一般類 Default | 內部控制（自我評估） | Module A | 製造商自行確認符合 Annex I，備妥技術文件即可，不需公告機構。 Art. 32(1)(a) |
| EU 型式檢查 + 生產內部控制 | Module B + C | 由公告機構審查樣品與文件。 Art. 32(1)(b) | |
| 全面品質保證 | Module H | 適用具品質管理系統的製造商，須公告機構核可。 Art. 32(1)(c) | |
| 歐洲資安認證方案 | EU certification | 在可用且適用時，得以歐洲資安認證方案取代上述模組。 Art. 32(1)(d)、Art. 27(9) | |
| 重要類 Class I | 完全套用協調標準 → 可自評 | Module A | 完全套用協調標準、共同規範或等級至少 substantial 的歐洲資安認證方案時，可沿用一般類的程序。 Art. 32(2) |
| 未套用或僅部分套用、或標準尚不存在 | Module B + C 或 H | 此時就這些必要要求必須走公告機構程序。 Art. 32(2)(a)(b) | |
| 重要類 Class II | EU 型式檢查 + 生產內部控制 | Module B + C | 一律需要公告機構。 Art. 32(3)(a) |
| 全面品質保證 | Module H | 須公告機構核可品質系統。 Art. 32(3)(b) | |
| 歐洲資安認證方案（至少 substantial） | EU certification | 等級依 Regulation (EU) 2019/881。 Art. 32(3)(c) | |
| 關鍵類 Critical | 歐洲資安認證方案 | Art. 8(1) | 優先適用；委員會得以授權法案要求關鍵產品取得認證。 Art. 32(4)(a) |
| 不符 Art. 8(1) 條件時 → 回退 Class II 程序 | Module B + C 或 H | 沒有可用認證方案時的回退機制。 Art. 32(4)(b) | |
| 自由與開源軟體 | 得採用一般類的任一程序 | Module A / B+C / H | 落入 Annex III 類別的 FOSS 製造商，在技術文件等條件符合下可採 Art. 32(1) 的程序。 Art. 32(5) |
CRA 把資安工作攤到產品的每一個階段，而不是集中在出貨前那一次測試。
自 2026-09-11 起適用。通報對象為指定的協調 CSIRT 與 ENISA，並透過 Art. 16 建立的單一通報平台提交。
何謂「嚴重」事件：對產品保護敏感或重要資料／功能之可用性、真實性、完整性、機密性的能力造成或可能造成負面影響；或已導致或可能導致惡意程式碼被植入或執行於產品、或使用者的網路與資訊系統（Art. 14(5)）。
套用協調標準可推定符合 Annex I（Art. 27）。水平標準訂通用要求，垂直標準針對特定產品類別細化。以下標準多數仍為草案，編號與內容以正式公告為準。
由 CEN/CENELEC JTC 13 WG9 制定，適用所有產品類別。
prEN 40000-1-2 是 Annex I 的水平協調標準，涵蓋產品整個生命週期，核心內容包括：預設安全設計、縱深防禦、使用記憶體安全程式語言、不依賴安全混淆、以使用者為中心設計、生命週期管理，以及產品情境建立→風險評估→風險處置→監測審查→溝通記錄的風險管理框架。
由 ETSI TC CYBER WG EUSR 制定，對應 Annex III 各產品類別，目前多為成熟草案。
文件不是附屬品——市場監管機關要看的就是這幾份。
技術文件與 EU 符合性聲明自產品個體投放市場起保存至少 10 年，或於宣告之支援期內持續保存，取較長者（Art. 13(13)）。
以 2027-12-11 全面適用日回推，越早開始，越不會被公告機構的排程卡住。
⚠ 2026-09-11 起 Art. 14 漏洞與事件通報義務就先適用，通報機制要優先準備，不能等到 2027 年。
耕興資安實驗室提供 CRA 範圍判定、Annex I 差距分析、產品安全測試、SBOM 與漏洞管理，以及技術文件與符合性評鑑準備。
相關服務：EU CRA 諮詢輔導 · EU CRA 產品安全測試
本頁內容依 Regulation (EU) 2024/2847 及相關歐盟法規整理，供一般性參考，不構成法律意見。標準編號與制定進度可能變動，實際適用請以歐盟官方公報（EUR-Lex）與各標準組織的正式公告為準。