常見問答

分類依產品的核心功能而定，而非其所包含的每一項功能。若核心功能符合附件 III 所列的某一類別，則產品為「重要」（第 I 或第 II 類）；若符合附件 IV，則為「關鍵」；否則為「預設」。諸如身分管理或 VPN 等僅作為一項功能納入的能力，除非屬於產品的核心目的，否則不會使產品成為「重要」。若有多個類別可能適用，則適用較嚴格的等級。 Art. 7

在商業活動之外開發的非商業性開源軟體大致不在適用範圍內。開源軟體管理者負有一套較輕度且量身打造的義務。在商業活動過程中供應的開源元件則可能落入適用範圍。

獨立的服務一般不在 CRA 範圍內。然而，產品執行其功能所必需的遠端資料處理解決方案，被視為該產品的一部分，屬於適用範圍。不受 CRA 規範並不代表不受任何監管：網頁與雲端服務可能適用其他歐盟規則，特別是針對受涵蓋行業中的中型與大型實體的 NIS2（Directive (EU) 2022/2555），以及針對個人資料的 GDPR。 Art. 3(2)

是。CRA 適用於投放 EU 市場的產品，不論製造商設立於何處。EU 境外的製造商必須確保有一位設立於聯盟境內的經濟營運者就相關義務負責。

它們分屬附件 I 的兩個部分：產品必須具備的安全性質（預設安全、機密性、完整性、可用性、最小化攻擊面、安全性更新），以及製造商必須運作的漏洞處理流程（SBOM、修補、協同揭露）。 附件 I

需要。製造商必須識別並記錄產品中所含的元件，包括以常用、機器可讀的格式編製一份軟體物料清單。 附件 I · II(1)

支援期間是製造商必須提供安全性更新的這段時間。它必須反映產品合理預期的使用期間：預設五年，預期使用期間較短時較短，較長時則較長。 Art. 13(8)

正遭主動利用的漏洞及影響產品安全的嚴重事件，須通報 ENISA 與相關 CSIRT。預警須於察覺後 24 小時內提出，其後再提交較完整的通報與最終報告。 Art. 14

本法已於 2024 年 12 月 10 日生效。通報義務自 2026 年 9 月（21 個月後）起適用，而大部分義務則自 2027 年 12 月（36 個月後）起適用。 Art. 71

違反基本要求或製造商義務者，可處最高 €15,000,000 或全球年度總營業額 2.5% 之罰鍰，以較高者為準。其他違規行為及提供不正確資訊則適用較低的罰鍰上限。

是的，自 2026 年 9 月 11 日起，也就是 Article 14 義務本身開始適用之日。該平台已上線，網址為 portal.cra-srp.enisa.europa.eu；您須選擇「授權代表」(Assigned Representative) 角色，並以已啟用多因素驗證的 EU Login 帳戶登入。ENISA 於 2026 年 9 月 10 日在其 SRP FAQ 中公布了該網址，並同時發布了 AR 使用手冊與平台條款及條件。有四項功能並未隨之推出：Article 15 下的自願通報、通報 API、針對主動被利用的漏洞的知悉欄位，以及自知悉時起算（而非自提交早期預警時起算）的 72 小時計時器，這意味著在法定期限尚未屆滿之前，畫面上的時鐘可能就顯示該申報已逾期。該平台目前僅提供英文版本。請參閱 通報指南. Art. 14 · 16

執委會的標準化委託 M/606 已於 2025 年獲 CEN、CENELEC 與 ETSI 接受，涵蓋約 41 項標準（橫向與產品特定標準）。繼執委會於 2026 年 7 月針對 M/606 提出修正草案，將 2026 年期限延後兩個月後，兩項核心橫向標準（安全開發與漏洞處理）現預計於 2026 年 10 月 31 日前完成，垂直產品標準於 2026 年 12 月 31 日前，其餘橫向標準則於 2027 年 10 月 30 日前，皆趕在 2027 年 12 月全面適用之前。遵循一項已引用的協調標準即可獲得符合性的推定。 附件 I

依您的產品等級執行符合性評鑑途徑，彙編技術文件，編製並簽署 EU 符合性聲明，然後加貼 CE 標誌。預設產品可自我評鑑；重要與關鍵產品則須採用更嚴格的途徑。 Art. 28 · 32

先以 CRA 快速檢測確認適用範圍與等級，再依為您角色所撰寫的指南進行，並運用合規矩陣追蹤各項基本要求至完成。

Art. 14 通報義務開始強制執行。自該日期起，製造商須透過單一通報平台向 ENISA 及相關 CSIRT 通知主動被利用漏洞及嚴重事件。這是 CRA 最早生效的主要義務，遠早於 2027 年 12 月 11 日的全面適用。請參閱 通報指南. Art. 14 · 71

否。僅 主動被利用的漏洞 與 嚴重事件 影響您產品安全的情況須依 Art. 14 通報。您在漏洞被利用前發現並修復的漏洞，透過您的一般漏洞處理流程（而非通報管道）處理。 通報指南 說明測試標準及截止期限。 Art. 14

透過 ENISA 的單一通報平台進行，該平台自 2026 年 9 月 11 日起上線，網址為 portal.cra-srp.enisa.europa.eu，並會將您的通報轉送至 ENISA 與相關的國家 CSIRT。您須在知悉後 24 小時內提交早期預警，在 72 小時內提交較完整的通報，並於漏洞的矯正措施可用後 14 天內提交最終報告；若為嚴重事件，則於 72 小時通報後一個月內提交最終報告。登入須透過啟用多因素驗證的 EU Login。請參閱逐步 通報指南. Art. 14 · 16

一般而言，僅憑此點並不能避開。執委會指引釐清，在使用者裝置上執行的軟體（已下載的應用程式、瀏覽器擴充功能、本機安裝的用戶端）屬於具數位元素的產品，而僅透過瀏覽器使用的網頁應用程式，或僅呈現資訊的網站則不是。遠端服務僅在屬於產品執行其功能所必需的遠端資料處理時，才納入規範範圍。不受 CRA 規範並不等於不受任何監管：僅限網頁的服務仍可能適用 NIS2（針對中型與大型提供者）以及 GDPR。 Art. 3 詳見 執委會指引概覽.

這可能改變結論，因為 CRA 規範的是產品，而非服務。同一套程式碼若封裝為可安裝的應用程式（包括 Capacitor、Electron 或類似的建置版本），便會在使用者裝置上執行，屬於具數位元素的產品，因此適用 CRA。若僅以漸進式網頁應用程式（PWA）形式在瀏覽器中提供，則屬於網路服務，作為產品一般不在 CRA 範圍內；其所連接的後端，僅在屬於產品執行其功能所必需的遠端資料處理時才被納入。有兩點需要注意：僅限網頁的服務並非不受監管（NIS2 可能適用於中型與大型提供者，GDPR 則適用於個人資料），而且產品與服務之間的界線可能模糊，因此應將「以 PWA 交付」視為一項架構決策，而非保證豁免。 Art. 3 詳見 執委會指引概覽.

僅當更新屬於 重大修改：指以您風險評估尚未涵蓋的方式改變產品網路安全風險的變更。一般安全更新通常不屬於重大變更。若更新屬於重大變更，經修改的產品將被視為重新上市，且須針對受影響部分進行新的符合性評估。 Art. 3(30) 該 執委會指引 訂明該判斷標準。