此篇文章要介紹的是與歐盟《網路韌性法》（Cyber Resilience Act，簡稱 CRA）相關的資安法規與軟體解決方案。

一、歐盟網路韌性法（CRA）全面解析：從法規要求到製造商合規準備

CRA 法案於 2024 年 3 月 由歐洲議會正式通過，並在 同年 12 月正式生效，隨即啟動 36 個月的過渡期。

這意味著法案將於 2027 年 12 月強制上路。

此外，自 2026 年 10 月起，強制製造商要遵守通報義務。

1. CRA 的核心精神是確保產品在上市前後的全生命週期中都能維持網路安全性。

依據法規，製造商、經銷商與進口商皆須履行相應義務

• 製造商需確保產品設計、開發與維護過程皆符合 CRA 的安全要求

• 經銷商與進口商則必須確認其販售或輸入的產品符合 CRA 規範

CRA 對產品的合規評估會根據風險等級進行區分：

• 若為低風險產品，例如智慧插座等，就算遭入侵，資安風險相對有限，製造商可採用「自我聲明（Self-assessment）」方式完成合規。

• 但若為高風險產品，例如 閘道器（Gateway）、電腦設備 等，一旦被駭入可能造成嚴重資料外洩或安全威脅，則必須經由第三方認證單位審核，取得 CRA 認證後方可上市。

2. 在產品漏洞管理上，法規要求：

• 發現漏洞後 24 小時內，製造商必須通報監管單位

• 72 小時內必須提交完整的修補與調查報告

在合規標誌方面，未來自 2027 年起，只有符合 CRA 要求的聯網產品，才能取得 CE 標誌。

該標誌須 清晰可見、易於識別，以確保消費者在選購時能辨識產品的安全合規性。

3. 各國將設立市場監督機構（Market Surveillance Authority），負責 CRA 的執行與稽查。

這些機構有權要求製造商、進口商及經銷商提供產品設計、開發、測試與漏洞修復等相關資料。

若未遵守 CRA 要求，企業將面臨嚴重罰則：

• 若違反基本網路安全要求、製造商義務或通報義務，最高可處 1,500 萬歐元罰款，或全球營業額 2.5% 的罰金

• 若違反其他義務，則最高罰款為 1,000 萬歐元，或全球營業額 2%

CRA 的實施代表歐盟對資安的重視進入新階段。未來，產品不僅需滿足功能與品質要求，更必須在「網路安全合規」上取得認證，才能合法進入市場。

二、製造商、進口商與經銷商在 CRA 法案下的義務

在 CRA 法案中，市場主體包含製造商、進口商與經銷商，三者皆需履行特定的網路安全責任與義務：

1. 製造商（Manufacturer）

製造商必須確保其產品符合基本網路安全要求，並完成相關的合規評估，將結果納入技術文件中。

若產品中整合了其他廠商的零組件，製造商也有責任進行調查與驗證，確保所有組件皆符合安全標準。

此外，製造商需：

• 制定並實施漏洞揭露策略（Vulnerability Disclosure Policy）

• 持續監控產品在市場上的合規狀態

• 當發現不符合法規的情況時，應即時採取修正措施

2. 進口商（Importer）

進口商需確認輸入的產品已符合 CRA 與 CE 認證要求，並確保製造商：

• 已完成品質與安全評估

• 起草並保存技術文件

• 正確張貼 CE 標誌

• 進口商不得將不符合法規要求的產品投入市場販售

3. 經銷商（Distributor）

經銷商需確保其銷售的產品：

• 具有合法的 CE 標誌

• 隨附製造商提供的產品資訊、使用說明與符合性聲明（Declaration of Conformity）

• 並履行應有的審慎義務，確保所有上架產品皆符合 CRA 的資安要求

   

三、CRA 規範的產品範圍與安全要求

1. 被納入 CRA 管制的產品

軟體產品（Software）

包含已經上市或持續提供更新的軟體，例如：

• 作業系統（Operating Systems）

• 文字處理軟體

• 遊戲與行動應用程式（Mobile Apps）

• 軟體函式庫與開發套件（Software Libraries & SDKs）

硬體產品（Hardware）

涵蓋多數具聯網功能的裝置，例如：

• 筆記型電腦、行動電話

• 智慧家電（如智慧電視、冰箱）

• 網路設備（Routers、Gateways）

• 處理器與中央處理單元（CPU）

2. 排除在 CRA 規範之外的產品

並非所有產品都需通過 CRA 認證，以下幾類屬於例外：

• 非商業用途產品： 僅供個人研究或自用的裝置與軟體，不屬於市場銷售範圍。

• 獨立雲端服務（SaaS）： 若該服務已受其他法規（如 NIS2 指令）管理，則可免除 CRA 認證。

• 已受其他專法規範之產品：例如汽車、醫療設備、航空與船舶設備等，因已納入相關產業安全法規，不再重複適用 CRA。

除上述例外外，其餘具備網路連線或間接網路連線能力的產品皆需符合 CRA 要求，並依風險等級進行相對應的合規評估。

3. 產品風險分類

根據產品的資安風險與潛在影響，CRA 將產品大致分為三類：

• 一般產品（Class I）
  如智慧玩具、智慧電視、智慧家電等。
  這類產品即使被入侵，對社會安全影響有限，因此製造商可採自我聲明（Self-assessment） 的方式進行合規。

• 重要產品（Class II）

4. 基本安全與漏洞處理要求

CRA 對產品的設計、開發與生產提出明確的安全要求：

• 產品必須具備安全預設配置（Secure by Default）

• 提供即時且安全的更新機制

• 確保使用者資料的機密性、完整性與隱私性

在漏洞處理方面，製造商需：

• 及時識別並記錄漏洞

• 透過有效的漏洞管理流程進行修復

• 遵循透明揭露政策（Vulnerability Disclosure Policy），主動公開漏洞資訊、影響範圍與修補措施
   

四、CRA 的技術管理面要求

在 CRA 的規範中，整體的技術管理可分為三個面向：產品設計與開發、安全元件管理，以及漏洞與更新機制的維護。

1. 產品設計與開發階段

在產品設計初期，製造商必須將網路安全理念納入整體設計流程，遵循「安全設計（Security by Design）」與「安全開發（Secure Development Lifecycle）」的原則。

在開發過程中，應執行：

• 原始碼的安全審查與自我檢測

• 定期進行安全測試與弱點掃描

• 確保在產品上市前，不存在已知漏洞或潛在風險

這些措施能在產品生命週期早期階段預防安全問題發生，降低後期維護與修復成本。

2. 合作夥伴與元件安全管理

若產品整合了合作夥伴或第三方廠商的軟硬體元件，製造商需履行盡職調查（Due Diligence）的義務。

包括：

• 評估元件是否符合 CRA 的網路安全要求

• 與合作廠商簽訂安全協定（Security Agreement），明確界定雙方責任與義務

• 確保所有採用的組件皆具備可追溯性與安全驗證

透過嚴謹的供應鏈安全管理，可有效降低因第三方漏洞而導致的資安風險。

3. 漏洞管理與更新機制

製造商必須建立完善的漏洞管理流程（Vulnerability Management Process），以便：

• 及時發現並記錄潛在漏洞

• 制定修補計畫並追蹤執行狀況

• 維持漏洞揭露的透明度，確保外部可稽核性

此外，產品應設計安全且可靠的更新機制（Secure Update Mechanism），讓使用者能夠及時取得並安裝安全更新，以維持產品在整個使用週期內的防護能力。
 

五、世平集團軟體夥伴

1. SonarQube：從程式碼品質到資安合規的全方位解決方案

Sonar 是一家來自瑞士的軟體公司，其核心產品 SonarQube 提供完整的程式碼品質與安全分析功能。

SonarQube 具備 Server 版、Cloud 版與 IDE 外掛版，可靈活整合至開發環境中，協助團隊於開發階段即進行程式碼的靜態掃描與品質檢查。

在資訊安全與合規方面，Sonar 已取得 ISO 27001 認證，並擁有 SOC 2 Type II 報告，顯示其在安全治理與內控機制上具備成熟的架構與可信度。

SonarQube 的核心功能包括：

• 靜態程式碼分析（SAST）
  支援超過 30 種程式語言，內建超過數千條檢查規則，可自動偵測潛在漏洞、可維護性問題與安全風險。

• 軟體組成分析（SCA）
  針對專案中使用的第三方與開源元件進行掃描，檢測已知漏洞與授權風險，並能自動產出 SBOM（Software Bill of Materials），協助產品通過供應鏈安全要求。

• 敏感資訊洩露防護
  自動掃描程式碼中是否含有密碼、API 金鑰或其他敏感資料，防止資訊外洩風險。

• CI/CD 整合
  可無縫導入 DevOps 流程，建立「品質閘門（Quality Gate）」，當程式碼不符合安全與品質標準時，會自動阻擋合併至主分支。

• 報告與追蹤分析
  提供完整的漏洞趨勢、效能指標與合規報告，協助開發與管理團隊即時掌握專案品質狀況。

透過這些功能，SonarQube 不僅能強化開發團隊的程式品質管理，更能協助企業滿足日益嚴格的資安與合規要求。

2. VicOne：從車用資安延伸至全產業的威脅防護專家

VicOne 為 趨勢科技（Trend Micro） 成立的子公司，專注於提供資安威脅情報、漏洞管理與防護解決方案。

雖然 VicOne 在車用資安領域已有眾多成功案例，但其產品應用並不限於車用市場，也可廣泛導入於工業控制、資通訊與消費性電子等領域，協助製造商強化產品的資安韌性（Cyber Resilience）與合規能力。

• xZETA：全方位漏洞掃描與 SBOM 管理平台
  xZETA 是 VicOne 所開發的軟體漏洞掃描與 SBOM 管理平台，可自動分析軟體元件、開源套件與函式庫中的潛在風險，並依據 CVE、CWE 標準提供修補建議，協助研發團隊在產品開發階段與上市後皆能即時掌握資安風險。

• 因應 CRA 要求的軟體安全追溯能力
  隨著 歐盟 CRA（Cyber Resilience Act） 法規要求製造商確保產品在上市前與上市後皆維持軟體安全與漏洞可追溯性，xZETA 能夠：

  • 收集並分析事件的攻擊路徑與被利用的漏洞，建立威脅映射關係

  • 制定可行的修補與防護策略，提升產品在整個生命週期內的安全性

• xZETA 的三大安全資源 
  透過這三項關鍵資源，xZETA 建立了完整的產品安全策略，並自動提供軟體供應商與原產地的詳細資訊，確保可追溯性（Traceability）與合規性。

  • SBOM（Software Bill of Materials）

  • HBOM（Hardware Bill of Materials）

  • 加密物件清單（Cryptographic Inventory）

• 高可視性與零日漏洞防護
  xZETA 提供卓越的可視化能力，可即時識別並優先處理 零日漏洞（Zero-day）、已公開漏洞及移植漏洞，讓漏洞覆蓋率提升高達 189%。
  此外，xZETA 在 SBOM 中提供開源授權可見性，協助企業有效控管授權風險，確保開源軟體的合法合規使用。