歐盟《網路韌性法》初探（八之二）

EU Cyber Resilience Act（CRA）
Regulation (EU) 2024/2847 + Corrigendum B / C1 / C2 / C3

（續前篇）

適合產業界、驗證業、資訊安全、網路安全及軟/硬/韌體工程師、企業管理者或法規政策研究人員，具備大學教育背景但對歐盟法規未盡熟悉的亞洲讀者閱讀。 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢歐盟專業法律及資安顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱歐盟CRA官方網站和EUR-Lex資料庫。 © All Rights reserved。 版權聲明。CC BY-SA 4。0。

2.2　CRA 的架構：八章+ 八個附錄

CRA條例 正文共 71 條，搭配九個附錄（附錄I 至 IX）。核心架構如下：

章節 / 附錄	主要內容
第一章（§1-12）	主旨、適用範圍、定義、採購及使用PDE產品、PDE產品類型（基本、重要、關鍵）、諮詢利益團體、一般產品安全要求、數位元素產品的基本要求、高風險AI系統
第二章（§13-26）	製造商義務、製造商通報義務、自願通報、單一通報平臺、通報相關事項、授權代表義務、進口商義務、經銷商義務、經濟營運者的識別、開源軟體管理義務、自由及開源軟體資安證明、指引   風險評估、CE 標誌
第三章（§27-34）	符合性假設、EC符合聲明、CE 標誌一般原則、貼附CE 標誌規則與條件、技術文件、PDE產品符合性評鑑程序、微型及中小企業支援措施、相互承認協議
第四章（§35-51）	公告、通報機構、通報機構要求、公告機構資訊要求、公告機構的符合性假設、公告機構的分支機構與委外、申請成為公告機構、公告程序、公告機構的號碼與名單、變更公告、挑戰公告機構的專業能力、公告機構的營運義務、公告機構決定的申訴、公告機構的資訊義務、經驗交換、協調公告機構 調和標準、
第五章（§52-60）	歐盟PDE產品的市場監督與管制、取得資料與文化、成員國層級的嚴重資安風險PDE產品程序、 歐盟保障機制、歐盟層級的嚴重資安風險PDE產品程序、符合的PDE產品帶有嚴重資安風險、形式不符合、市場監督機構聯合活動、掃蕩
第六章（§61-62）	委員會授權立法、委員會程序、
第七章（§63-65）	保密義務、罰則、代表性措施
第八章（§66-71）	增補歐盟法規、過渡期規定、評估及審查、實施條例
附錄 I	基本網路資訊安全要求（Part I 設計/開發/生產；Part II 漏洞處理）
附錄 II	使用資訊（隨附文件）要求
附錄 III	重要產品（Important Products）分類：Class I 與 Class II
附錄 IV	關鍵產品（Critical Products）分類
附錄 V	EU 符合性聲明模板
附錄VI	EU 符合性聲明模板（簡略版）
附錄 VII	技術文件（Technical Documentation）內容
附錄 VIII	符合性評鑑程序暨模組

2.3　CRA 與其他歐盟法律的關係

CRA 刻意設計為「水平展開型基礎」法規，相對於其他垂直法規（sectoral legislation）的特定適用範圍，CRA條例在網路資訊安全方面屬於優先適用。以下是該條例主要的交叉影響法規：

法規編號	名稱	與 CRA 的關係
EU 2016/679	GDPR（一般資料保護條例）	CRA 的安全設計要求與 GDPR §25（privacy by design）相互補充；數位產品的資安漏洞可同步觸發 GDPR 資料洩漏通報義務，分開課處罰鍰，兩者不會互相抵銷
EU 2022/2555	NIS2 指令（網路與資訊系統安全）	NIS2 規範「營運者」組織的安全義務；CRA 規範「製造商」的產品安全。兩者分工明確但高度協調，CSIRT 聯絡機制共用，
EU 2024/1689	人工智慧AI 法（AI Act）	特別法優先於一般法，已經被AI法特別管制的義務優先適用AI法，所有剩餘的網路資訊安全義務仍然適用CRA；高風險 AI 系統若同時屬 CRA 適用範圍，其網路資訊安全要求以 CRA 為準，並由 AI Act 主管機關協同審查
EU 2019/881	ENISA 法（Cybersecurity Act）	CRA 的歐盟網路資訊安全驗證架構（EUCS）在 CRA 中具有「推定符合」效力；ENISA 同時擔任漏洞通報平台建置者，是CRA條例主要的技術和協調機構
EU 2022/2554（DORA）	數位運營韌性條例（金融業）	金融機構使用的數位產品同時須符合 CRA 與 DORA；供應商風險管理條款有重疊
EU 2022/2557	關鍵實體韌性條例	關鍵基礎設施的韌性及其相關義務，使用的數位產品同時須符合該條例與 CRA
EU 2018/1139	歐盟航空安全基礎法（EASA）	民用航空產品由 EASA 規範，排除適用 CRA
EU 2017/745 (MDR)	醫療器材條例	醫療器材（含軟體）排除適用CRA，由 MDR 規範；軟體即醫療器材（SaMD）適用 MDR 附錄I 安全規定
EU 2017/746 (IVDR)	體外診斷醫療器材條例	同 MDR，排除適用CRA
EU 2019/1020 (MSR)	市場監督與產品合規條例	強化進口到歐盟產品的責任追溯、市場監督的行政與管理機制
EU 2019/2144	車輛型式認證法規（UN R155）	道路車輛排除適用 CRA，由車輛型式認證體系規範
EU 2014/90	船舶設備指令（MED）	經 2021/1206 修訂，含特定海事設備，排除適用CRA
EU 2014/53	無線電設備指令 (RED)	要求電磁相容與頻率合規，CRA條例 補足其未詳訂的「資訊安全」面向
EU 2023/988	一般產品安全條例（GPSR）	CRA 與 GPSR 並行；GPSR 規範實體安全，CRA 規範網路資訊安全，兩者可同時適用
EU 2023/1230（機械條例）	機械條例	若機械產品含數位元素且具網路連接，同時適用 CRA 與機械條例；部分要求（如 附錄I 1.1.9）可相互主張符合性

第三章　更正文件（Corrigendum）B / C1 / C2 / C3 說明

法規在官方公報發布後，若發現文字錯誤或翻譯瑕疵，歐盟委員會會以「勘誤公告」（Corrigendum）方式修正。CRA條例目前已有以下更正文件：

更正編號	刊布日期	主要修正內容
Corrigendum B	2025 年初（首次）	§68增補EU 168/2013條例附錄II, C1表格，增加保護車輛抵抗資安攻擊
Corrigendum C1, 2024/90780	2024 年12月5日	CRA條例標題字詞更正
Corrigendum C2, 2025/90555	2025 年7月2日	最重要的實質性修正：將 §64(10) 中「不適用第 3 至 9 段」改為「不適用第 2 至 9 段」，使微型企業、小型企業及開源軟體管理者免除 §64(2) 的罰款
Corrigendum C3（2025/90828）	2025年10月17日	§67增補EU 2020/1828條例附錄I，添加CRA條例

實務重點提示：C2 更正條文的影響相當重要。若某個企業屬於微型企業（員工 < 10 人，年營收 < 200 萬歐元）或小型企業（員工 < 50 人，年營收 < 1,000 萬歐元），或從事開源軟體管理者（open-source software steward），則依 §64(10) 更正後的版本，該組織可免除因違反 CRA 而受到 §64(2) 所列之行政罰則與罰鍰。此點對於亞洲中小型製造商及開源軟體的社群具有重要意義。

（未完，見續篇）

荷蘭阿姆斯特丹(Amsterdam)概述

阿姆斯特丹（Amsterdam）是荷蘭的首都與最大城市，位於北荷蘭省，人口約93萬（截至2024年6月）。它被譽為「北方威尼斯」，擁有廣闊的運河系統，已被聯合國教科文組織列為世界遺產。該市起源於1275年左右，從一個小漁村發展成17世紀荷蘭黃金時代的全球港口，成為金融、貿易與藝術中心。如今，阿姆斯特丹是多元文化城市，擁有約180個國籍的居民，以其歷史運河、博物館與自由文化聞名，包括紅燈區與大麻咖啡館。它也是金融與文化樞紐，擁有世界上最古老的證券交易所，每年吸引數百萬遊客。

CC BY-SA 4。0。
內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。

歷史發展：從過去到現在

史前與創建：阿姆斯特丹地區原本是潮濕的泥炭地，早在三千年前就有沿著史前IJ河與阿姆斯特河（Amstel）的聚落。1170年的萬聖節洪水使IJ河變成河口，改善排水條件。城市於1264年至1275年間在阿姆斯特河上建造堤壩而創建，1275年首次記錄，獲得荷蘭通行無稅的特權。

中世紀：到1300年，人口約1,000人，至1564年增至30,900人，受益於與漢薩同盟的貿易及鯡魚漁業創新，成為散裝貨物的主要市場。1306年，老教堂（Oude Kerk）獻堂，1345年的阿姆斯特丹奇蹟使之成為朝聖地。

與西班牙的衝突：16世紀，阿姆斯特丹加入荷蘭起義，反抗西班牙統治，成為荷蘭共和國的一部分，以宗教寬容著稱，吸引猶太人、胡格諾派等移民，促進自由新聞業。

荷蘭黃金時代：17世紀，阿姆斯特丹成為西方世界最富庶城市，透過荷蘭東印度與西印度公司建立全球貿易網絡，1602年創建阿姆斯特丹證券交易所，為首個現代化證券交易所。另外也參與大西洋奴隸貿易，直至1814年。

衰落與現代化：18世紀與19世紀初因與英國和法國的戰爭而衰落，拿破崙戰爭期間達最低點。19世紀出現第二次黃金時代，建造阿姆斯特丹-萊茵運河與北海運河，工業革命促進經濟成長。

20世紀至今：一戰前擴建新郊區，但戰爭導致食物短缺與暴動（馬鈴薯暴動）。1940年納粹佔領導致超過10萬荷蘭猶太人被驅逐，包括安妮·法蘭克（Anne Frank），1941年二月罷工為著名抵抗。戰後建造新郊區如Osdorp與Bijlmermeer，都市更新包括地鐵建設，引發暴動（Nieuwmarktrellen）。2010年運河地帶（Grachtengordel）列入聯合國教科文組織遺址，近期如《阿姆斯特丹2040結構願景》聚焦再生，2015年遊客達1,700萬，引發過度旅遊擔憂。

城市與周邊的特別之處

阿姆斯特丹的城市景觀融合多種建築風格，以運河、街道與建築聞名。周邊地區包括多個行政區與港口，擴展其經濟與文化影響。著名建築與房屋的意義

老教堂（Oude Kerk, 1306年）：城市最古老建築，位於德瓦倫（De Wallen），具哥德式風格，為中世紀宗教中心。

西方教堂（Westerkerk）：由亨德里克·德·凱瑟設計，為荷蘭文藝復興代表，具階梯山牆立面。

阿姆斯特丹王宮（Royal Palace of Amsterdam）：位於達姆廣場（Dam Square），巴洛克風格，由雅各布·范·坎彭與丹尼爾·斯塔爾帕特建造，原為市政廳，現為王室宮殿，用於加冕等儀式。

國家博物館（Rijksmuseum, 1885年）：收藏荷蘭黃金時代藝術，包括倫勃朗的《夜巡》，由P.J.H. Cuypers設計，為哥德復興風格。

梵谷博物館（Van Gogh Museum）：專注文森·梵谷，由格里特·里特費爾德設計，現代擴建由黑川紀章負責。

市立博物館（Stedelijk Museum, 1895年）：聚焦現代藝術，近期有「浴缸」擴建。

安妮·法蘭克之家（Anne Frank House）：保存安妮·法蘭克藏身處，為大屠殺紀念館，象徵二戰猶太人迫害。

音樂廳（Concertgebouw）**：以聲學著名，為皇家音樂廳管弦樂團駐地，建於19世紀晚期。

海事博物館（Het Scheepvaartmuseum）：聚焦海事歷史，反映阿姆斯特丹港口遺產。

新教堂（Nieuwe Kerk）：位於達姆廣場，用於王室儀式。

奧林匹克體育場（Olympic Stadium）：為1928年夏季奧運建造，已修復用於文化與體育活動。

斯托佩拉（Stopera）：容納市政廳與歌劇院，現代建築，位於阿姆斯特河附近。

這些建築不僅具歷史意義，還反映城市在貿易、藝術與抵抗中的角色，如安妮·法蘭克之家象徵人性與記憶。

運河與水道

阿姆斯特丹的運河系統是17世紀運河環區的核心，2010年列入聯合國教科文組織遺址。著名運河包括：

王子運河（Prinsengracht）：舉辦年度王子運河音樂會。

阿姆斯特河（Amstel）：由馬格雷橋（Magere Brug，瘦橋）橫跨，為著名吊橋。

皇帝運河（Keizersgracht）：主要運河邊街道，與電車整合。

IJ湖：北方水域，由渡輪連接阿姆斯特丹北區，用於貿易與休閒。

這些運河用於節慶如阿姆斯特丹同志驕傲遊行運河遊行，體現歷史水資源管理與貿易路線。

街道與巷弄

城市街道與巷弄是中世紀與黃金時代遺產的核心，包括狹窄巷道與歷史街道。

萊登廣場（Leidseplein）與倫勃朗廣場（Rembrandtplein）：夜生活中心，滿布咖啡館、餐廳與迪斯科。

藍橋（Blauwbrug）：位於阿姆斯特河上，連接斯托佩拉。

褐色咖啡館（Brown Cafés）：傳統氛圍街道咖啡館，提供荷蘭文化體驗。

這些街道整合運輸與生活，貢獻中世紀魅力。

周邊地區與特色

阿姆斯特丹周邊包括多個行政區與大都會區，人口超過233萬，形成蘭斯塔德（Randstad）一部分。

阿姆斯特丹北區（Amsterdam-Noord）：橫跨IJ湖，由渡輪連接，具現代發展。

阿姆斯特丹東南區（Amsterdam-Zuidoost）：擁有約翰·克魯伊夫競技場（Johan Cruyff Arena），AFC阿賈克斯足球隊主場。

阿姆斯特芬（Amstelveen）：附近市鎮，擁有瓦格納體育場（Wagener Stadium），曲棍球隊駐地。

阿姆斯特丹港口（Port of Amsterdam）：位於西港區，為重要經濟特色，支持歷史與現代貿易。

附近市鎮如贊斯塔德（Zaanstad）與沃默蘭（Wormerland）：擴展城市網絡，強調區域連通性。

(全文竟)

歐盟《網路韌性法》初探（八之一）

EU Cyber Resilience Act（CRA）
Regulation (EU) 2024/2847 + Corrigendum B / C1 / C2 / C3

適合產業界、驗證業、資訊安全、網路安全及軟/硬/韌體工程師、企業管理者或法規政策研究人員，具備大學教育背景但對歐盟法規未盡熟悉的亞洲讀者閱讀。 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢歐盟專業法律及資安顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱歐盟CRA官方網站和EUR-Lex資料庫。 © All Rights reserved。 版權聲明。CC BY-SA 4。0。

目錄索引

此份心得整理旨在以深入淺出的方式，全面解析歐盟CRA條例，分成十八章，涵蓋歐盟 CRA條例的立法背景、法律架構、適用範圍、關鍵術語、產品分類、技術文件、符合性模組和程序、市場監督、處罰機制、國際比較及實務指引等面向，結合亞洲企業視角進行比較分析；幫助讀者掌握這場正在重塑全球資訊科技與法規治理攀比較勁角力格局的重大變革。

章節	標題	頁碼（參考）
第一章	立法背景與歷史沿革	3
第二章	法律架構與主要規範架構	4
第三章	更正文件 B/C1/C2/C3 說明	5
第四章	關鍵術語與定義	5
第五章	適用範圍與排除產品	7
第六章	附錄 III & IV — 重要及關鍵產品分類	9
第七章	經濟營運者的義務與責任	10
第八章	技術文件（附錄 VII）	12
第九章	使用資訊（附錄 II）	13
第十章	符合性評鑑與第三方稽核（附錄 VIII）	13
第十一章	調和標準與產品測試	14
第十二章	主管機關與市場監督	15
第十三章	安全保障機制	16
第十四章	處罰規定	16
第十五章	歐洲PDE產品策略佈局	17
第十六章	市場規模與就業人口展望	18
第十七章	國際比較：美/英/瑞/日/中	19
第十八章	風險評估、陷阱與改善建議	21
附錄	文獻參考	23

第一章　立法背景與歷史沿革

1.1　問題的起源：為什麼需要 CRA？

想像一個場景：您剛購入一台連網智慧音箱，設置完成後靜靜地放在客廳。然而，幕後的駭客早已透過製造商從未修補的漏洞，悄悄監聽您的對話，甚至入侵同一網路上的電腦、門鎖與家電。這並非科幻情節，而是過去十年中在全球頻繁發生的真實威脅。

歐盟委員會（European Commission）在 2022 年的評估報告中指出：歐盟市場上有超過一半的連網硬體產品從未收到製造商提供的安全更新；其中，消費性 IoT 設備（物聯網裝置）因價格競爭激烈，製造商往往在產品上架後便停止提供軟體支援。主要觸發原因是2021年Log4j大規模漏洞事件，該事件暴露了全球數位供應鏈幾乎完全沒有任何責任機制的狀況。根據 ENISA（歐洲網路資訊安全局）統計，2021 年至 2022 年間，歐盟境內每年因網路攻擊造成的直接損失超過 5,000 億歐元，其中有顯著比例源自具有已知、未修補漏洞的PDE產品，其中近六成涉及「預設弱密碼」、「未修補漏洞」或「缺乏安全更新機制」等本可提前預防的資訊安全狀況。

更嚴重的是，一旦關鍵基礎設施（如：區域電力網、飲用水處理系統、交通控制中心）使用的設備存在資安缺陷，可能導致大規模基礎架構停擺甚至引發更大範圍的公共危機。

在歐盟，一項具有里程碑意義的新法規——《網路韌性法》（Cyber Resilience Act, 簡稱 CRA），於 2024 年正式通過並頒布為EU Regulation 2024/2847，並陸續發布了多項文字調整和技術性修正案（Corrigenda B、C1、C2 和 C3）（已納入前述歐盟官網CRA版本），以確保該歐盟條例在各成員國官方語言呈現的條文清晰程度與執行過程的一致性。

1.2　立法里程碑

時間點	重要事件
2020年12月	歐盟發布《EU 網路資訊安全策略》，首次提出對數位產品設立網路資訊安全基準要求
2022年9月	歐盟委員會正式提出 CRA 草案（COM(2022)454）
2023年7月	歐洲議會與理事會達成政治協議，納入開源軟體除外條款
2024年3月	歐洲議會以壓倒性多數通過最終版本
2024年10月	歐盟理事會正式採納
2024年11月20日	刊載於歐盟官方公報（OJ L 2024/2847）
2024年12月10日	正式生效（Entry into Force）
2026年6月11日	符合性評鑑機構通報規定開始適用
2026年9月11日	漏洞主動地利用通報義務開始適用
2027年12月11日	全部核心義務全面適用

1.3　立法的政治背景

CRA條例是歐盟數位十年戰略的核心支柱，其誕生背後有深刻的政治邏輯。歐盟長期以來在數位產品的市場准入規範上奉行「最低限度調和」原則，導致各成員國標準不一，形成監管套利空間（regulatory arbitrage）。部分亞洲製造商為了降低成本，刻意選擇符合標準最寬鬆的國家作為歐盟的首個市場進入點。CRA條例定位在「水平橫跨條例」（horizontal regulation），正是為了打破這一困境，無論產品在哪個成員國上市，所有數位產品都必須達到相同的網路資訊安全基準。

此外，俄烏戰爭爆發後，歐盟迅速認識到工業控制系統（ICS）、關鍵基礎設施（critical infrastructure）的網路資訊安全脆弱性，進一步強化了立法的政治意志。CRA 因此在推進速度上遠超過一般歐盟立法程序，從提案到正式通過僅歷時約兩年。

很多批評者和支持者都同意，CRA條例遠遠不僅止於技術性的安全條例，這是歐盟一個非常明確的產業戰略決策：

l   歐盟體認到自己幾乎完全依賴歐盟境外製造商供應幾乎所有的數位硬體和軟體；

l   歐盟認為傳統的貿易法規已經不足以管理數位產品的風險；

l   CRA條例刻意設計成為可以對全球供應鏈行使管轄權的架構；

l   同時歐盟也公開表示預期CRA條例將會和當年的《通用資料保護條例》（GDPR 2016/679）一樣，成為全球的實務標竿。

歐盟的數位產業戰略本身也是CRA條例最具爭議的部分，支持者認為這是保護消費者唯一可行的方法，批評者認為這是貿易保護主義。

第二章　法律架構與主要規範架構

2.1　CRA 的法律性質：定位在條例（Regulation）而非指令（Directive）

在開始說明CRA條例之前，有必要先解釋三個歐盟法律體系的基本原則。幾乎所有關於CRA條例的誤解，多半可以歸根於讀者從自己國家的法律體系類比到歐盟法規體系：

1. 歐盟立法原則：關鍵差異在歐盟有兩種主要立法工具：「指令」（Directive）與「條例」（Regulation）。指令是種架構要求，各成員國須在指定期限內自行制定且轉換為國內法加以落實；而條例則是「直接適用」（directly applicable），一旦在歐盟官方公報（EU Official Journal）發布，20個日曆日後，便自動在所有 27 個成員國同步生效，無需個別成員國另行轉化為國內法。CRA 的法律位階定位在條例，便意味著無論是在德國、法國、荷蘭還是捷克，企業所面對的法律條文雖然是該成員國的官方語言，但法律本體、經濟營運者的義務及產品責任，在整個歐盟境內完全相同。

2.  CRA條例是產品責任法（product liability），不是網路管制法：此類型條例的約束對象，一貫地是把產品放到歐盟市場的人（如經濟營運者的私人或法人），不會向一般個人使用者（如一般消費者）設定約束。

3.  歐盟新立法架構（New Legislative Structure）原則：並不是「政府審核通過就免責」的單純概念。所有法律設定的經濟營運者義務及產品責任，皆須由經濟營運者承擔，政府僅係保持行政管理、事後監督和依法處罰的權力。就算營運者已經完成所有法定驗證事項，主管機關仍然可以基於新浮現的危害或風險措施，即時地做出整體性評估；而一旦認定營運者的產品不符合條例或法規要求，即可做出相應的處置。

（未完，見續篇）