歐盟《網路韌性法》初探（八之一）

EU Cyber Resilience Act（CRA）
Regulation (EU) 2024/2847 + Corrigendum B / C1 / C2 / C3

適合產業界、驗證業、資訊安全、網路安全及軟/硬/韌體工程師、企業管理者或法規政策研究人員，具備大學教育背景但對歐盟法規未盡熟悉的亞洲讀者閱讀。 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢歐盟專業法律及資安顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱歐盟CRA官方網站和EUR-Lex資料庫。 © All Rights reserved。 版權聲明。CC BY-SA 4。0。

目錄索引

此份心得整理旨在以深入淺出的方式，全面解析歐盟CRA條例，分成十八章，涵蓋歐盟 CRA條例的立法背景、法律架構、適用範圍、關鍵術語、產品分類、技術文件、符合性模組和程序、市場監督、處罰機制、國際比較及實務指引等面向，結合亞洲企業視角進行比較分析；幫助讀者掌握這場正在重塑全球資訊科技與法規治理攀比較勁角力格局的重大變革。

章節	標題	頁碼（參考）
第一章	立法背景與歷史沿革	3
第二章	法律架構與主要規範架構	4
第三章	更正文件 B/C1/C2/C3 說明	5
第四章	關鍵術語與定義	5
第五章	適用範圍與排除產品	7
第六章	附錄 III & IV — 重要及關鍵產品分類	9
第七章	經濟營運者的義務與責任	10
第八章	技術文件（附錄 VII）	12
第九章	使用資訊（附錄 II）	13
第十章	符合性評鑑與第三方稽核（附錄 VIII）	13
第十一章	調和標準與產品測試	14
第十二章	主管機關與市場監督	15
第十三章	安全保障機制	16
第十四章	處罰規定	16
第十五章	歐洲PDE產品策略佈局	17
第十六章	市場規模與就業人口展望	18
第十七章	國際比較：美/英/瑞/日/中	19
第十八章	風險評估、陷阱與改善建議	21
附錄	文獻參考	23

第一章　立法背景與歷史沿革

1.1　問題的起源：為什麼需要 CRA？

想像一個場景：您剛購入一台連網智慧音箱，設置完成後靜靜地放在客廳。然而，幕後的駭客早已透過製造商從未修補的漏洞，悄悄監聽您的對話，甚至入侵同一網路上的電腦、門鎖與家電。這並非科幻情節，而是過去十年中在全球頻繁發生的真實威脅。

歐盟委員會（European Commission）在 2022 年的評估報告中指出：歐盟市場上有超過一半的連網硬體產品從未收到製造商提供的安全更新；其中，消費性 IoT 設備（物聯網裝置）因價格競爭激烈，製造商往往在產品上架後便停止提供軟體支援。主要觸發原因是2021年Log4j大規模漏洞事件，該事件暴露了全球數位供應鏈幾乎完全沒有任何責任機制的狀況。根據 ENISA（歐洲網路資訊安全局）統計，2021 年至 2022 年間，歐盟境內每年因網路攻擊造成的直接損失超過 5,000 億歐元，其中有顯著比例源自具有已知、未修補漏洞的PDE產品，其中近六成涉及「預設弱密碼」、「未修補漏洞」或「缺乏安全更新機制」等本可提前預防的資訊安全狀況。

更嚴重的是，一旦關鍵基礎設施（如：區域電力網、飲用水處理系統、交通控制中心）使用的設備存在資安缺陷，可能導致大規模基礎架構停擺甚至引發更大範圍的公共危機。

在歐盟，一項具有里程碑意義的新法規——《網路韌性法》（Cyber Resilience Act, 簡稱 CRA），於 2024 年正式通過並頒布為EU Regulation 2024/2847，並陸續發布了多項文字調整和技術性修正案（Corrigenda B、C1、C2 和 C3）（已納入前述歐盟官網CRA版本），以確保該歐盟條例在各成員國官方語言呈現的條文清晰程度與執行過程的一致性。

1.2　立法里程碑

時間點	重要事件
2020年12月	歐盟發布《EU 網路資訊安全策略》，首次提出對數位產品設立網路資訊安全基準要求
2022年9月	歐盟委員會正式提出 CRA 草案（COM(2022)454）
2023年7月	歐洲議會與理事會達成政治協議，納入開源軟體除外條款
2024年3月	歐洲議會以壓倒性多數通過最終版本
2024年10月	歐盟理事會正式採納
2024年11月20日	刊載於歐盟官方公報（OJ L 2024/2847）
2024年12月10日	正式生效（Entry into Force）
2026年6月11日	符合性評鑑機構通報規定開始適用
2026年9月11日	漏洞主動地利用通報義務開始適用
2027年12月11日	全部核心義務全面適用

1.3　立法的政治背景

CRA條例是歐盟數位十年戰略的核心支柱，其誕生背後有深刻的政治邏輯。歐盟長期以來在數位產品的市場准入規範上奉行「最低限度調和」原則，導致各成員國標準不一，形成監管套利空間（regulatory arbitrage）。部分亞洲製造商為了降低成本，刻意選擇符合標準最寬鬆的國家作為歐盟的首個市場進入點。CRA條例定位在「水平橫跨條例」（horizontal regulation），正是為了打破這一困境，無論產品在哪個成員國上市，所有數位產品都必須達到相同的網路資訊安全基準。

此外，俄烏戰爭爆發後，歐盟迅速認識到工業控制系統（ICS）、關鍵基礎設施（critical infrastructure）的網路資訊安全脆弱性，進一步強化了立法的政治意志。CRA 因此在推進速度上遠超過一般歐盟立法程序，從提案到正式通過僅歷時約兩年。

很多批評者和支持者都同意，CRA條例遠遠不僅止於技術性的安全條例，這是歐盟一個非常明確的產業戰略決策：

l   歐盟體認到自己幾乎完全依賴歐盟境外製造商供應幾乎所有的數位硬體和軟體；

l   歐盟認為傳統的貿易法規已經不足以管理數位產品的風險；

l   CRA條例刻意設計成為可以對全球供應鏈行使管轄權的架構；

l   同時歐盟也公開表示預期CRA條例將會和當年的《通用資料保護條例》（GDPR 2016/679）一樣，成為全球的實務標竿。

歐盟的數位產業戰略本身也是CRA條例最具爭議的部分，支持者認為這是保護消費者唯一可行的方法，批評者認為這是貿易保護主義。

第二章　法律架構與主要規範架構

2.1　CRA 的法律性質：定位在條例（Regulation）而非指令（Directive）

在開始說明CRA條例之前，有必要先解釋三個歐盟法律體系的基本原則。幾乎所有關於CRA條例的誤解，多半可以歸根於讀者從自己國家的法律體系類比到歐盟法規體系：

1. 歐盟立法原則：關鍵差異在歐盟有兩種主要立法工具：「指令」（Directive）與「條例」（Regulation）。指令是種架構要求，各成員國須在指定期限內自行制定且轉換為國內法加以落實；而條例則是「直接適用」（directly applicable），一旦在歐盟官方公報（EU Official Journal）發布，20個日曆日後，便自動在所有 27 個成員國同步生效，無需個別成員國另行轉化為國內法。CRA 的法律位階定位在條例，便意味著無論是在德國、法國、荷蘭還是捷克，企業所面對的法律條文雖然是該成員國的官方語言，但法律本體、經濟營運者的義務及產品責任，在整個歐盟境內完全相同。

2.  CRA條例是產品責任法（product liability），不是網路管制法：此類型條例的約束對象，一貫地是把產品放到歐盟市場的人（如經濟營運者的私人或法人），不會向一般個人使用者（如一般消費者）設定約束。

3.  歐盟新立法架構（New Legislative Structure）原則：並不是「政府審核通過就免責」的單純概念。所有法律設定的經濟營運者義務及產品責任，皆須由經濟營運者承擔，政府僅係保持行政管理、事後監督和依法處罰的權力。就算營運者已經完成所有法定驗證事項，主管機關仍然可以基於新浮現的危害或風險措施，即時地做出整體性評估；而一旦認定營運者的產品不符合條例或法規要求，即可做出相應的處置。

（未完，見續篇）

企業合規與反賄賂管理系統整合初輯（三之三）

（續前篇）

ISO 37001:2025 及 ISO 37301:2021

適合讀者：大學以上程度｜法規、合規、反賄賂、符合性、中小企業（100人以下）實務產業界從業人員 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢專業符合性、反賄賂顧問或相關驗證機構。文中提及資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱ISO官方網站和歐盟資料庫。 © All Rights reserved。 版權聲明。CC BY-SA 4。0。

8. 營運控制與反賄賂實務 (Operational Control & Anti-Bribery)

營運控制是落實 ISO 37001 條款 8 的核心。此處不僅是文件的堆砌，而是對每一筆交易的動態監管。

8.1 商業夥伴的盡職調查實作 (條款 8.2 與 Annex A.10)

對於中小企業（SME），盡職調查深度應與風險掛鉤。調查因素包含：

• 合法性查證： 檢查公司註冊文件、實益擁有人 (UBO) 資訊。
• 能力評估： 該夥伴是否具備履行合約所需的實際資質與經驗？(Annex A.10.3)
• 紅旗信號識別： 夥伴是否堅持在「稅務天堂」付款？是否要求支付異常高額的佣金？是否拒絕簽署反賄賂承諾書？

8.2 財務控制：職能分離的藝術 (條款 8.3 與 Annex A.11)

即使只有 50 人的公司，也應遵循「三權分立」原則：

1. 發起人： 業務人員提出採購或付款申請。
2. 審核人： 部門主管或符合法規人員確認必要性。
3. 執行人： 財務人員核對單據後匯款。 禁止同一人完成從「採購申請」到「款項支付」的全流程。

8.3 非財務控制：透明的採購流程 (條款 8.4 與 Annex A.12)

• 三方比價原則：除非有充分理由，否則重大採購應至少有三家供應商參與。
• 決策委員會制：對於高價值的合同授予，應由至少兩人共同簽字，以減少單一決策者的腐敗機會。

8.4 禮品、招待、捐贈與類似利益 (條款 8.7 與 Annex A.15)

企業應制定具體的「限額清單」。例如：

• 日常招待：單人餐費不超過新台幣 2,000 元，且需記錄在案。
• 敏感時機：在投標、談判期間，嚴禁接受任何形式的招待。
• 慈善捐贈：必須確保受贈方為合法的公益組織，嚴防捐贈成為賄賂公職人員家屬的掩護（Annex A.15.4）。

連接語：制度再嚴密也難免出現偏差，如何識別並矯正偏差決定了系統的生命力。

圖一：實務可行性評估

9. 實例分析、常見失誤與矯正措施 (Case Study & Corrective Actions)

9.1 案例分析：Facilitation Payments 的紅線 (Annex A.2.2.1)

某 50 人規模的電子組裝廠在拓展新南向市場時，面臨海關人員索取「加班費」以加快清關。該廠負責人認為這是當地常態（便利支付），遂予以支付。在 ISO 37001 架構下，此種行為係視為「賄賂」，因為該行為係誘使官員履行其應盡職責。

• 矯正建議： 根據條款 10.2，企業應立即停止此支付，並修改符合法規的作業手冊。應要求員工在面臨此類要求時，要求對方提供「官方收據」，若無法提供則予以拒絕。
• 例外情形： 若官員以威脅人身安全為由索賄（勒索支付，Extortion），則人員安全優先。但在事後必須立即向符合法規職能報告並正確記錄於賬目中（Annex A.2.2.3）。

9.2 中小企業常見的三個管理失誤

1. 管理階層豁免： 制度只管基層，老闆卻可以「彈性處理」應酬，這將徹底瓦解符合法規文化。
2. 形式化盡職調查： 僅讓商業夥伴簽一份倫理聲明書，卻未核實其背後的實質利益擁有者。
3. 缺乏追蹤機制： 對於稽核中發現的異常支付，僅作口頭訓誡，未進行根本原因分析（Root Cause Analysis）。

連接語： 透過矯正措施提升韌性後，最後一步是透過正式的查證與報告為利益相關者提供信心。

10. 查證、確證方式與符合法規報告 (Verification & Reporting)

符合法規管理必須具備「可稽核性」（Auditability），即使是 100 人以下的中小企業，仍須賴此建立國際信譽的基礎。

10.1 風險導向的內部稽核 (條款 9.2)

中小企業不需要聘請龐大的稽核團隊，但必須確保稽核的「客觀性與公正性」。

• 方法建議： 採用「風險導向抽樣」。針對新進入的市場、大額訂單、以及佣金比例異常的合同進行專項稽核。稽核員必須「不能稽核自己的工作」（條款 9.2.4）。

10.2 符合法規報告的必要內容

每年度產出的符合法規報告應包含：

• 不符合項統計： 包含此前偏差事項及其矯正措施的執行現況。
• 風險評鑑更新： 特別是針對氣候變遷、利害相關或數位化工具引入後的風險變更。
• 舉報處理結果： 匿名案件的數量與處理進度（前提是保護相關人等的隱私權）。

10.3 查證 (Verification) 與確證 (Validation) 的區別

• 查證： 確認「組織是否有按規定簽名？」（過程符合法規要求）。
• 確證： 確認「目前的簽名審批流程真的能攔截賄賂嗎？」（結果有效果）。

連接語： 查證後的持續追蹤是保持系統生命力的關鍵，特別是面對標準的改版時程。

11. 後續追蹤事項與持續改進 (Follow-up & Continual Improvement)

持續改進（Clause 10.1）不是目標，而是過程。符合法規系統必須隨著業務的擴張而同步進化。

11.1 管理評審後的關鍵追蹤

在每年度的管理評審後，最高管理者應追蹤以下事項：

1. 資源充足性： 兼職的符合法規人員是否已經超越負荷界限？
2. 技術有效性： 人工智慧（AI） 監控工具是否產生過多偽陽性訊號？
3. 第三方管理： 商業夥伴的符合法規承諾是否如期履行？

11.2 ISO 37001:2025 的轉換時程 (IAF MD 30:2025)

根據國際認可論壇 (IAF) 的正式時程，企業必須注意以下關鍵節點：

• 2025年2月28日：ISO 37001:2025正式發布
• 2025 年 10 月 10 日：IAF MD 30:2025發布並生效；
• 2025 年 11 月 30 日： 驗證機構 (CB) 需向AB提交自我聲明。
• 2026 年 2 月 28 日： 認可機構(AB)完成對驗證機構(CB)的轉換決定。
• 2026 年 8 月 31 日起： 所有「初次認證」與「重新認證」稽核必須僅能採用 ISO 37001:2025。
• 2027 年 2 月 28 日： 過渡期結束的最終期限。所有ISO 37001:2016 版證書失效。
• 特別提醒： 關於氣候變遷的「修正案ISO 37001:2016/amd 1:2024」已於2024年2月發布，已併入2025年版，該版本要求組織確定氣候變遷是否為相關議題，不可等待 2027 年。

連接語： 掌握了時程後，即可對整份報告進行戰略性總結。

12. 總結 (Conclusion)

對於員工人數在 100 人以下的企業而言，建立整合的符合法規與反賄賂管理系統絕非「成本負擔」，而是一項高品質的「戰略資產」。透過將 ISO 37301:2025 的治理架構與精準控制相結合，中小企業可以向全球客戶傳遞一個明確的訊號：即便組織的體量及規模有限，但組織在誠信與專業治理上與國際標準齊頭並進。

符合法規是降低「不確定性」的唯一途徑。當企業建立了堅固的誠信 DNA，員工在誘惑面前將更有底氣，商業夥伴也將更願意建立長期且深度的合作關係。實務上給予企業經營者的最後戰略建議是：「始於高層，行於業務，重於文化」。 不要等到競爭對手都拿到了證書才開始行動，及早開始就是將符合法規轉化為競爭力的最佳時刻。

13. 引用參考文件 (References)

• ISO 37001:2025 - 反賄賂管理系統：要求及使用指南 (第 2 版)。
• ISO 37301:2021 - 合規管理系統：要求及使用指南。（參見GB/T 35770-2022）
• ISO 37001:2016/Amd 1:2024 – 增補氣候變遷修正條款。
• IAF MD 30:2025 - ISO 37001:2025 轉換要求。
• ISO 37000:2021 - 組織治理：指南。
• 聯合國反腐敗公約 (UNCAC)。
• OECD 反賄賂公約。

（本篇完）