2026年5月21日 星期四

東晉陶淵明《形影神》組詩與古希臘哲學之比較研究——以生命、名譽與自然超越為核心

一、引言

陶淵明(約365–427年)(圖1)為東晉末年著名隱逸詩人與思想家,其《形贈影》《影答形》《神釋》三首組詩,合稱《形影神》,以擬人對話形式探討肉身、聲譽與精神三者之關係,實為中國哲學史上罕見之哲理詩體文本。此組詩不僅承襲先秦道家與兩漢儒家之思想遺緒,亦融合魏晉玄學「自然」與「達生」之議題,提出一種獨特的生死觀與存在態度。
CC BY-SA 4。0。
內文引用人工智慧網路平臺提供資訊,經由整合篩選與文字調整。


陶淵明的《形、影、神》三首詩代表了他對生命本質與人生態度的深刻哲學思考。詩中「」指肉身的有限與必然的消逝,「」象徵理想與功名的虛幻與追求,「」則代表超越形影、與天地自然契合的精神境界。詩以擬人化對話形式,表達形體與理想矛盾及精神超脫的思想,反對佛教靈魂不滅和道教長生不死的觀念,提倡順應自然和積善立功的儒家立世態度的融合和超越。

此三首詩的思想理念可見老莊哲學對自然與生命的尊重,「形」與「影」的辯證反映了對人生短暫與理想追求的矛盾感知,而「神」則是達到與天地同化的「道法自然」境界。陶淵明以詩文形式闡釋人生追求「行樂」、「立善」與「順化」三境界,呈現深具進步性且融合三教批判的生命哲學。

此文旨在系統分析《形影神》所蘊含之哲學理念,並對照古希臘哲學中具有相近關懷之思想流派,包括伊比鳩魯主義(Epicureanism)、斯多噶主義(Stoicism)與部分前蘇格拉底自然哲學,從哲學立場、思考方法、文本形式及核心著作等面向進行比較,以揭示東西方古典文明於「如何面對有限生命」這一根本問題上之異同與共鳴。

二、《形影神》三詩之哲學內涵

(一)《形贈影》:肉身有限與及時之樂
「天地長不滅,山川無改時。草木得常理,霜露榮悴之。謂人最靈智,獨復不如茲。……願君取吾言,得酒莫苟辭。」

「形」自述生命短促如朝露,天地山川雖恆久,草木亦循四時而榮枯,人雖為萬物之靈,卻無法免於死亡。因此主張以酒為樂,把握當下。此非縱慾之享樂,而是對存在有限性之深切體認後,所採取之感性回應。

「形」代表身體的視角,抱怨生命苦短、易朽,追求長生不老,但承認這是徒勞(「貴賤賢愚,莫不營營以惜生」)。這反映對物質存在的無奈與對永生的妄求。

此立場接近對「生命實存」(facticity,係指一個人無法選擇、也無法逃避的既定事實狀況,伴隨著人與生俱來而無從丟棄的性質,通常包括六大類別:過去、身體、處境、死亡、周遭環境、娑婆世界)的直觀肯定,強調肉身經驗之真實性,可視為一種「有限性哲學」之詩意表達。

(二)《影答形》:聲譽不朽與道德延續
「存生不可言,衛生每苦拙。誠願遊崑華,邈然茲道絕。……立善有遺愛,胡為不自竭?」

「影」反駁「形」之悲觀,謂雖肉身必朽,然「立善」可留「遺愛」,聲譽足以超越個體生命。此明顯呼應《左傳·襄公二十四年》「太上有立德,其次有立功,其次有立言,雖久不廢,此之謂不朽」之儒家三不朽觀。代表社會形象、追求名聲與道德的視角,主張通過立德行善留名後世(「立善有遺愛」),以超越死亡。這類似儒家重視名譽、善盡社會責任與遺澤綿延的理念,但詩中被視為另一種執著。然陶淵明對此亦非全然贊同,僅藉「影」之口呈現一種主流價值觀。

(三)《神釋》:自然大化與超越執著
「大鈞無私力,萬理自森著。……縱浪大化中,不喜亦不懼。應盡便須盡,無復獨多慮。」

「神」代表精神或靈魂(神)的綜合觀點,作為統攝者,提出宇宙自有其運行之理(「大鈞」即造化),生死榮枯皆自然之事,不應執著於形之存滅或影之留名。此處「大化」概念承自《莊子·大宗師》「浸假而化予之尻以為輪」及郭象注「大塊載我以形,勞我以生,佚我以老,息我以死」,彰顯道家「安時處順」之生死觀。「神」亦可為化解者,超越形與影的對立,主張順應自然、接受生死循環(「縱浪大化中,不喜亦不懼」),提倡及時行樂,如飲酒自適(「當及有生時,良辰謔浪推」,見唐朝.權德輿《端午日禮部宿齋有衣服彩結之貺以詩還答》詩)。核心理念是「自然豁達」,摒棄執著,融入宇宙變化(大化),達成內在平靜。這體現道家的無為、無欲、與自然合一的生命價值觀,強調面對死亡的豁達與當下享樂,而非畏懼或強求永存。陶氏融合玄學「以自然為宗」之旨,提出一種內在超越之道:非藉宗教救贖,而是在對宇宙整體流轉之認同中獲得心靈自由。

詩篇

主體

思想核心

哲學問題

〈形〉

形體(肉身)

重視現世「及時行樂」,及「形神俱滅」的虛無感

生命有限,何謂存在的意義?

〈影〉

影子、聲譽(外在表象)

自覺依附於形體,追求「不朽」

行樂是否能超越無常?

〈神〉

精神(靈性、自覺者)

超越形影對立,尋求與自然合一

永恆是否可能?靈性如何自存?


內在發展脈絡
〈形〉從「物質存在」談到「終將歸無」的虛無;
〈影〉轉為對「人生短暫」的自我聲譽傳播,提倡「立善」;
〈神〉最終超越生死,體悟「萬化歸真」的自然合一,理法俱息。

這三首詩可看作陶淵明的「存在三階」思索,體現了陶淵明對身體存在、社會價值與精神自由的綜合思考,融合了道家自然哲學與儒家倫理關懷。:

(肉身)=> (感性之我)=> (理性與超越之我)

三、與古希臘哲學之對照

(伊比鳩魯(Epicurus)


(一)與伊比鳩魯主義(Epicureanism)之比較:面對死亡與當下之樂

伊比鳩魯(Epicurus, 341–270 BCE)主張哲學之目的在於「治療靈魂之苦」,尤以「對死亡之恐懼」為首要對治對象。其名言見於《致美諾西斯的信》(Letter to Menoeceus):

「死亡與我們無關。因為當我們存在時,死亡尚未到來;而當死亡來臨時,我們已不存在。」(Diogenes Laertius, Lives of Eminent Philosophers, X.124)

此論與《形贈影》中「人最靈智,獨復不如茲」之無力感形成呼應,二者皆否認死後報償或懲罰,強調此世經驗之唯一真實性。伊比鳩魯主張透過「節制的愉悅」(katastematic pleasure)達致心靈平靜(ataraxia),與陶淵明「得酒莫苟辭」之詩意享樂雖形式不同,但皆立足於「在有限中尋求安頓」。

差異說明:伊比鳩魯極重理性與友誼,其享樂乃審慎選擇之結果;陶淵明則更重直觀與詩性,酒非手段而是存在之象徵。

中國觀念

希臘對應思想

哲學家

關鍵理念

:重物質、感知、短暫

伊比鳩魯學派(Epicureanism

伊比鳩魯(Epicurus

人生有限,應追求無痛與適度之樂(ataraxia)。

:自我反思、無常中的感性

斯多噶學派(Stoicism

塞涅卡(Seneca)、馬可·奧理略(Marcus Aurelius

行樂不可離理性;應順從自然法則(logos)。

:靈性超越、與自然同體

柏拉圖主義 / 新柏拉圖主義(Platonism / Neoplatonism

柏拉圖(Plato)、普羅提諾(Plotinus

「靈魂」乃真實之本體;形體只是「影子」。


主要文獻:
  • 伊比鳩魯Epicurus, 《致美諾西斯的信》[Letter to Menoeceus](收於 Diogenes Laertius, [Lives], Book X)。
  • 盧克萊修Lucretius, [De Rerum Natura](《物性論》),尤其第三卷《論死亡》。

(二)與亞里斯多德及古典榮譽觀之對照:聲譽與德性


(亞里斯多德, Aristotle)

亞里斯多德(Aristotle, 384–322 BCE)於《尼各馬可倫理學》(Nicomachean Ethics)中指出,「榮譽」(timē)雖為外在善,但乃德性之社會見證:

「好人追求德性本身,但亦不拒絶他人因德性而賦予之榮譽。」(NE, I.5, 1095b23–25),並重視榮譽作為外在善的價值(I.5, 1095b22-30);又言:「幸福是靈魂合乎完滿德性的實現活動」(I.7, 1098a16-18)。

此與《影答形》「立善有遺愛」相通,善行可感動後人,形成道德傳承。然亞氏終以「沉思生活」(bios theoretikos)為最高幸福,聲譽非終極目的;但陶淵明的「影」更接近儒家「立德、立功、立言」三不朽觀念,而希臘哲學中的榮譽觀更多與城邦政治生活相聯結。陶淵明再透過《神釋》表明對「影」之立場有所保留,可見亞氏與陶氏皆不以名譽為究竟鵠的。

(三)與斯多噶主義(Stoicism)之高度共鳴:順應自然與心靈自由


(愛比克泰德)

斯多噶學派自芝諾(Zeno of Citium)創立以來,強調「順應自然而活」(homologoumenōs tē physei zēn),主張宇宙由理性(Logos)統攝,人之德性即在與此理性合一。愛比克泰德(Epictetus, c.55–135 CE)言:

「有些事在我們權力之中,有些則不在。在我們權力中的是意見、衝動、欲望與厭惡——總之,我們自身之行動。不在權力中的是身體、財產、名譽、官職——總之,非我們自身之物。」(《手冊》Enchiridion, 1.1)

此「區分可控與不可控」之原則,與《神釋》「不喜亦不懼」「應盡便須盡」之態度極為相近。馬可·奧理略(Marcus Aurelius)於《沉思錄》(Meditations)更直言:「一切萬物皆流轉,汝亦將隨之消逝。但在此之前,一切皆為宇宙整體所需。」(《沉思錄》Meditations, IV.35);又提及「凡符合自然之道的,皆不會是惡」(II.17),強調在社會角色中履行義務。

此「宇宙整體性」與陶淵明「大鈞無私力,萬形自森著」之自然觀,雖一出於理性神學,一出於詩性直觀,然皆指向對個體界限之超越與對整體秩序之接納。

關鍵差異:斯多噶主義以理性自律為基礎,具強烈道德義務論色彩;陶淵明則傾向「忘言」「忘我」之直覺體驗,更近道家「坐忘」境界。

主要文獻:
  • 愛比克泰德Epictetus,(《手冊》Enchiridion)
  • 馬可·奧理略Marcus Aurelius, 《沉思錄》[Meditations](《沉思錄》)
  • 塞涅卡Seneca, [De Brevitate Vitae](《論生命之短暫》)
(四)與赫拉克利特(Heraclitus)自然哲學之詩意共鳴
前蘇格拉底哲人赫拉克利特(c.535–475 BCE)主張「萬物流轉」(panta rhei),其殘篇云:
「人不能兩次踏入同一條河流。」(Fragment 91, DK)
「宇宙秩序(kosmos)非由神或人所造,而是永恆活火,依尺度而燃熄。」(Fragment 30, DK)
此「流變中的永恆尺度」與陶淵明「大化」概念神似,皆視宇宙為一動態整體,個體生死乃此整體之自然節奏。雖赫氏重邏各斯(Logos,譯為「順自然而行」)之理性秩序,陶氏重自然之無言運行,然二者皆拒斥靜態不朽,肯定變易本身即為真實。

(四)與柏拉圖的靈魂觀及斯多噶學派的自然哲學存在深刻共鳴:



柏拉圖的靈魂三分說:
在《理想國》(Republic IV, 439d-441c)中,柏拉圖提出靈魂包含理性(λογιστικόν)、激情(θυμοειδές)和欲望(ἐπιθυμητικόν)三部分
理性應統治激情與欲望,類似「神」對「形」「影」的調和與超越
在《斐多篇》(Phaedo 80a-84b)中,柏拉圖強調哲學練習死亡(μελέτη θανάτου),使靈魂從肉體束縛中解脫。
斯多噶學派的馬可·奧理略(Marcus Aurelius)於《沉思錄》(Meditations)中寫道「宇宙的本性喜歡改變……對宇宙來說,一切皆是適宜且公正的」(IV.36, VII.18);

陶淵明「縱浪大化中」的態度與斯多葛「順應自然(或理性)」的倫理學驚人相似,兩者皆主張通過理解宇宙秩序來達到心靈平靜。

四、思考方式與文本形式之比較

維度

陶淵明《形影神》

古希臘哲學

哲學方法

多聲音對話、

詩意直觀、

隱喻思辨、

內在體證

邏輯論證

概念區分

對話辯難

運用隱喻

「形、影、神」分別隱喻,自成系統,以具象隱喻表達抽象哲學概念

柏拉圖的「洞穴比喻」(《理想國》VII, 514a-520a)及「馬車比喻」(《斐德羅篇》246a-254e),從而具象化哲學概念

本體論

思想接近道家一元論,在自然大化中尋求統一,不設立超越的理型世界

柏拉圖主義)傾向實體二元論,嚴格區分可感世界與理型世界

文本類型

擬人對話五言詩(寓言性哲理詩)(philosophical poetry

體現詩與思在古典時代之緊密融合。

 

對話錄:柏拉圖的《斐多篇》《會飲篇》、

書信(伊比鳩魯、塞內卡)

論文(亞里斯多德)

箴言集(愛比克泰德)

詩歌:盧克萊修(Lucretius)以拉丁六音步詩體撰寫《物性論》(De Rerum Natura)中以詩歌闡釋伊壁鳩魯哲學

超越路徑

歸於自然、忘懷得失、詩酒逍遙,融合儒家倫理與道家自然,「神」的立場更接近情感與理性調和的審美境界

強調理性(λόγος 的主導地位,即順應理性、鍛鍊德性、認同宇宙秩序

死亡觀

「應盡便須盡」,直到自然終結,體現自然主義生死觀,不執著於不朽,也不恐懼消亡

伊壁鳩魯消解死亡焦慮,認為死亡無關;

斯多噶視之為自然的一部分;

柏拉圖追求靈魂不朽,死亡是靈魂解脫


五、結論

在希臘哲學中,與陶淵明此思想類似者,可從柏拉圖和亞里士多德對靈魂、物質與理想之區分找到對應。柏拉圖的「理念論」中有形體(肉身)與靈魂(精神)二元論,強調靈魂對真理與理想世界的追求,類似陶淵明「神」的超越精神;同時亞里士多德在《尼各馬可倫理學》中探討「德性」與「行為」的關係,強調行善積德為人類精神不朽的方式,與陶淵明「立善立功」求永世之名的思想相呼應。兩者均通過對話和哲理省思的形式展現思想。

希臘哲學的思考方式偏重於理性辯證與理念追求,呈現為哲學對話(如柏拉圖對話錄),而陶淵明則以擬人化詩歌的形式,透過形、影、神三者對話展開哲理,文字富含詩意與隱喻,更著重自然、生命循環和精神超然。參考著作有柏拉圖《理想國》、亞里士多德《尼各馬可倫理學》,以及關於希臘生命哲學與靈魂論的相關文獻。

總結而言,陶淵明《形影神》追求與天地自然合一的精神,反映東方老莊哲學的人與自然關係;而希臘哲學則強調理念世界與靈魂的不朽,兩者皆從形體與精神的辯證切入,展現對生命與存在本質的追問與超越。

陶淵明《形影神》三詩,實為中國思想中對「有限性存在」之深刻回應。其對肉身之悲(形)、名譽之執(影)、自然之超(神)的辯證,構成一完整之生命哲學。與古希臘哲學對照可見:

伊比鳩魯主義與《形贈影》共享對死亡恐懼之解構與對此世經驗之肯定;
古典榮譽觀與《影答形》同重德性之社會延續,然皆非終極歸宿;
斯多噶主義與《神釋》在「順應自然」「超越得失」上呈現驚人共鳴,堪稱東西方「自然哲學式生存智慧」之雙峰。

然東方以「詩性直覺」入道,西方以「理性論辯」求真,此方法論差異,正反映兩大文明對「哲學」(philosophia vs. 道)之不同理解。然其終極關懷,如何在有限生命中尋得內在自由與心靈安頓;則跨越時空,同步建構出人類精神昇華之共趨意向。

陶淵明的獨創性在於將多面向維度詩意地統合於自然主義架構中,避開希臘哲學中常見的二元對立。其「縱浪大化中」的態度,可視為對希臘哲學中理性控制觀念的一種美學式補充,提供了一種更富情感整合的生命智慧。

上述的比較研究顯示,儘管文化脈絡不同,東晉中國與古希臘哲學對人類存在的基本維度:【身體、社會、精神】都進行了深刻探索,並在尋求美好生活(εὐδαιμονία / 逍遙)的道路上形成了有趣的平行與對話。

六、主要參考文獻

  1. 陶潛撰,逯欽立校注:《陶淵明集》,北京:中華書局,1979年,頁31–32。
  2. 《陶詩彙評》,卷二,順德陶氏藏版,嘉慶丙寅(1806年),溫汝能序,哈佛大學藏書,1956年入館藏。
  3. 袁行霈 箋注,《陶淵明集箋注》,北京:中華書局,2003年,頁49–50。
  4. 陶澍 注,《靖節先生集注》,清道光刻本,卷四〈雜詩〉。
  5. 王瑤,《陶淵明集》,北京:人民文學出版社,1962年。
  6. 陳寅恪,《陶淵明之思想與清談之關係》,收於《金明館叢稿初編》,三聯書店,2001年。
  7. Dīogénēs Lāértios, 約活躍在第3世紀, 《哲人言行錄》“Lives of Eminent Philosophers”, trans. R. D. Hicks, Loeb Classical Library, Harvard University Press, 1925.
  8. Titus Lucretius Carus提圖斯·盧克萊修·卡魯斯(c. 99-55 BC), 《物性論》„De Rerum Natura“, trans. W. H. D. Rouse, rev. M. F. Smith, Loeb Classical Library, 1924.
  9. Epictetus 愛比克泰德(c. 50-135 CE), 《手冊》“The Enchiridion”, trans. Nicholas P. White, Indianapolis: Hackett, 1983.
  10. Marcus Aurelius馬可·奧理略 (121-180 CE),, “Meditations”, trans. Gregory Hays, New York: Modern Library, 2002.
  11. Aristotle 亞里士多德(384-322 BCE), 《尼各馬可倫理學》“Nicomachean Ethics”, trans. W. D. Ross, rev. J. L. Ackrill & J. O. Urmson, in *The Complete Works of Aristotle*, ed. J. Barnes, Princeton University Press, 1984.
  12. Heraclitus 赫拉克利特 (540-480 BCE), “Fragments”, ed. & trans. T. M. Robinson, Toronto: University of Toronto Press, 1987.
  13. Plato 柏拉圖(c. 428-348 BCE), 《斐多篇》 Phaedo, 《共和國》Republic, 《費德魯斯篇》Phaedrus
  14. Epicurus 伊比鳩魯 (341-270 BCE), 《致美諾西斯的信》Letter to Menoeceus, 《主要教義》Principal Doctrines.
  15. 陳榮捷:〈陶淵明的哲學思想〉,收於《中國哲學資料選編》,台北:東大圖書公司,1983年。
  16. Pierre Hadot, “What is Ancient Philosophy?”, trans. Michael Chase, Harvard University Press, 2002.
  17. A. A. Long, 《希臘的哲學流派:斯多噶、伊比鳩魯、懷疑主義》 “Hellenistic Philosophy: Stoics, Epicureans, Sceptics”, University of California Press, 1986.
(全文竟)

2026年5月20日 星期三

歐盟《網路韌性法》初探(八之三)

EU Cyber Resilience Act(CRA)
Regulation (EU) 2024/2847 + Corrigendum B / C1 / C2 / C3

(續前篇)

適合產業界、驗證業、資訊安全、網路安全及軟//韌體工程師、企業管理者或法規政策研究人員,具備大學教育背景但對歐盟法規未盡熟悉的亞洲讀者閱讀。

此文僅供個人參考與資訊喚回,尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊,經由整合篩選與文字調整。法規內容可能隨時間修訂,具體符合決策宜諮詢歐盟專業法律及資安顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算,實際數值可能隨時變動。參考法規資訊截至20263月,後續修訂請查閱歐盟CRA官方網站和EUR-Lex資料庫。

© All Rights reserved。 版權聲明。CC BY-SA 40


第四章 關鍵術語與定義(Keywords & Definitions

CRA 建立了一套專有術語體系,理解這些術語是掌握該條例的前提。以下將重要術語分組解說:

4.1 核心主體辭彙及定義

術語(中文)

術語(英文)

定義說明

§3(1)

具數位元素的產品

Product with Digital ElementsPDE

任何直接或間接與其他裝置或網路存在邏輯或實體連接的軟體或硬體產品,包含其遠端資料處理方案,包括係稱軟體或硬體元組件乃另行放入市場。這是 CRA 的核心監管對象。

註:PDE是法規詞彙,強調「功能性」而非「形態」,毋與(digital product)混淆。

§3(2)

遠端資料處理方案

Remote Data Processing Solution

由製造商設計並負責、在產品核心功能中不可或缺的雲端或後端服務,與硬體/軟體一同被視為 PDE 的一部分

§3(13)

製造商

Manufacturer

以自身名義或品牌設計、開發或生產 PDE 並放入市場的自然人或法人,包括修改開源軟體。即使外包生產行為,對外承擔責任者仍是製造商。

§3(15)

授權代表

Authorised Representative

凡是位於歐盟境外的製造商都必須書面指定歐盟境內法定代理人,在歐盟境內為製造商執行特定任務的自然人或法人(通常是進口商或法律代理服務商)

§3(16)

進口商

Importer

在歐盟境內設立、將歐盟境外製造的 PDE 放入市場的自然人或法人

§3(17)

分銷商

Distributor

在供應鏈中提供 PDE 的自然人或法人,但不包括製造商或進口商

§3(14)

開源軟體管理者

Open-Source Software Steward

以非商業方式提供自由及開源軟體的非營利法人;此類主體具有特殊法規地位,義務較輕

§3(30)

重大修改

Substantial Modification

對已上市產品的修改,可能影響其符合基本要求或導致預期使用方式改變,須視為新產品重新評鑑


4.2 技術概念術語及定義

術語(中文)

術語(英文)

定義說明

資訊安全設計

Secure by Design

在產品設計初期即將資安要求納入產品生命週期的每一個階段考量,而非在開發完成後才「外掛」安全功能,乃至發生事件後急忙補救。此係CRA 附錄I Part I 的核心原則。

參見ISA/IEC 62443-4-1

註:歐盟法規首次將「資訊安全設計」原則強制應用於廣泛類別的數位產品,無論其是否屬於關鍵基礎設施;

例如:預設關閉遠端存取、最小權限原則、加密傳輸等;

預設資訊安全

Secure by Default

產品出廠時的預設配置必須已達到最高合理安全水準而無需使用者進行額外的複雜設定,例如:

預設關閉不必要功能

不使用預設通用密碼

預設開啟自動安全性更新(並提供易用的退出機制)

遵循「最小功能原則」

參見ISA/IEC 62443-3-3

§3(39)

軟體物料清單

Software Bill of Materials (SBOM)

列出產品中所使用的所有軟體元件、嵌入式程式碼、移動應用、函式庫及其版本、雲端服務介面的清單,用以識別已知漏洞。CRA 要求製造商維護 SBOM

註:不限於獨立銷售的軟體,連 BIOS 或驅動程式都包含在內

§3(40)

漏洞

Vulnerability

產品或系統中可能被攻擊者利用的設計弱點、缺陷或錯誤配置;

註:不僅限於已經公開的漏洞;如:緩衝區溢出、SQL 注入、弱驗證機制等;

§3(42)

已知利用漏洞

Actively Exploited Vulnerability

已確認遭駭客或惡意行為者實際利用的漏洞,須在 24 小時內向 ENISA 及相關 CSIRT 通報(2026911日起適用)

協調式漏洞揭露

Coordinated Vulnerability DisclosureCVD

製造商建立公開管道,讓安全研究人員能以負責任的方式回報漏洞,製造商並應在合理時間內修補並公開揭露

參見EU 2022/2555, §12(1)

網路資訊安全事件

Cybersecurity Incident

已發生或潛在的違規事件(incident),可能導致資料外洩或功能失效,如遭受 DDoS 攻擊、帳戶盜用;足以對 PDE 安全性(包括系統安全)產生實際重大負面影響的事件,須向相關主管機關通報

參見BSI TR 03183-1

攻擊面

Attack Surface

是指一個環境中,未經授權的使用者(攻擊者)可能進入、嘗試輸入數據或提取數據而攻擊系統的所有潛在入口點的集合

最小權限原則

ISA/IEC 62443, §3.1.31

Principle of Least Privilege

系統元件只應具備完成其功能所必要的最小權限,不超出必要範圍

參見ISA/IEC 62443-3-3的「最小功能」(Least Functionality)

§3(20)

支援期間

Support Period

製造商承諾提供安全更新的時間長度,最短應與產品預期使用壽命相符,建議不少於五年

§3(25) 合理可預見的誤用

reasonably foreseeable misuse

即使使用者明顯違反說明書修改產品,如果此種行為是製造商可以預見的,製造商仍然承擔相關的法定責任


4.3 法規程序術語及定義

術語(中文)

術語(英文)

定義說明

§3(31)

CE 標誌

CE Marking

表示產品符合所有相關歐盟法規要求的標誌。CRA 適用產品在 20271211日後必須加貼

§3(27)

符合性評鑑

Conformity Assessment

製造商或第三方機構驗證產品是否符合基本要求的正式程序

§3(29)

公告機構

Notified BodyNB

由成員國政府認可並通知歐盟委員會,有權對 Class II 及關鍵產品執行第三方符合性評鑑的機構

§27

推定符合性

Presumption of Conformity

若產品符合調和標準或歐盟網路資訊安全驗證,即推定其符合對應的 CRA 基本要求

§31

技術文件

Technical Documentation

製造商依 附錄VII 要求建立並維護的完整文件集,涵蓋產品設計、開發、風險評估等資訊,須保存 10

§28

歐盟符合性聲明

EU Declaration of ConformityEU DoC

製造商正式宣告其產品符合所有適用歐盟法規要求的書面文件

§3(33)

市場監督機關

Market Surveillance AuthorityMSA

成員國政府指定的主管機關,負責監督市場上的 PDE 是否符合 CRA

§3(51)

CSIRT

Computer Security Incident Response Team

電腦安全事件應變小組,依 NIS2 各成員國設立,為 CRA 漏洞通報的接收窗口之一


第五章 適用範圍與排除產品

5.1 適用的核心條件(§2(1)

CRA 適用於以下三要件同時滿足的產品:

1.  帶有數位元素,具備直接或間接的邏輯連接或實體連接能力,能連接至其他裝置或網路;

2.    在歐盟市場上「提供到市場」made available on the market

3.  預期使用方式或合理可預見的使用方式包含上述連接功能;

 

這三個條件的適用領域極為廣泛,涵蓋各式各樣產業的實體及硬體產品:智慧家電(智慧冰箱、電視、音箱)、智慧玩具、工業用 IoT 裝置、路由器、防火牆,與配套或獨立軟體產品、作業系統、密碼管理器、手機應用程式、嵌入式軟體、雲端後端服務(作為 PDE 的一部分)等,包括產品出貨之後推送的所有軟體更新,無論其是否屬於免費軟體或免費服務。

5.2 明確排除的產品類別(§2(2) & 相關委任法規)

以下類別的產品,當管制數位元素及資訊安全的程度等同或高於CRA條例者,方得以明確排除於 CRA 適用範圍,由各自專門法規條例予以管制;但其他任何未等同或未予規定的資安責任及義務,仍然適用CRA。幾乎半數以上的製造商至今仍然不知道這個非常關鍵的細節:

重要範例:醫療器材製造商經常以為各式醫療器材完全豁免CRA,實際上MDR 2017/745, IVDR 2017/746條例只有管制病患資料安全的部分,所有關於遠端漏洞、供應鏈攻擊的部分,完全沒有被MDRIVDR覆蓋,因此仍然需要完全符合CRA的要求。

排除類別

適用法規

說明

醫療器材(含 SaMD

Regulation (EU) 2017/745MDR

包括所有 Class I III 醫療器材及醫療用途軟體

體外診斷醫療器材

Regulation (EU) 2017/746IVDR

含體外診斷軟體

民用航空產品

Regulation (EU) 2018/1139EASA 基礎條例)

適用 EASA 審定的所有機載軟體與設備

道路車輛及配件

Regulation (EU) 2019/2144(車輛型式認證)

涵蓋車輛內建軟體,需符合 UN R155/R156 等車輛網路資訊安全標準

海事設備

Directive 2014/90/EUMED),修訂版 2021/1206

依海事設備指令規管的特定船用設備

軍事及國家安全用途

該條例 §2(7)及相關豁免條款

供軍事、情報或國家安全機構使用的產品完全豁免

已完成交易的 SaaS(純服務)

NIS2(視情況適用)

單純服務(無附帶軟硬體 PDE 交付)原則上排除,但提供給使用者安裝的軟體仍在範圍內

特定輕型機動車輛

Regulation (EU) 168/2013 + 委任法規 2025/1535

2025729日委任法規明確將 168/2013 某些類別排除於 CRA


5.3 開源軟體的特殊地位

開源軟體(FOSS / Free and Open Source Software, §3(48))是 CRA 立法過程中最具爭議的議題之一。最終版本採取了以下折衷立場:

     以「商業活動」(in the course of a commercial activity)方式提供的開源軟體:適用 CRA,如開源產品由企業包裝成商業公司產品或付費服務性質;

     非商業性開源軟體:不屬於 CRA 的直接適用對象,但若是某企業/製造商修改了開源軟體的程式碼,整合進其產品,相關責任由整合製造商承擔;

     開源軟體管理者(OSS Steward):介於製造商與單純貢獻者之間的新法律地位,義務限於維持 CVD 政策及提供基礎聯絡資訊,不承擔製造商的全部義務,且依 C3 更正文件享有罰款豁免;但若是企業主動提供商業支援服務,可能視為「商業活動」之一。

     若遵循前述條件,然而開源軟體的相關營業額超過100萬歐元,即成為CRA 的直接適用對象。

 

對於亞洲企業而言,若您使用開源元件整合於商業產品(例如在路由器韌體中使用 OpenWRT,或在工業設備中嵌入 Linux),您仍是 CRA 意義下的「製造商」,必須管理這些開源元件的已知漏洞,並維護 SBOM


(未完,見續篇)