歐盟網路韌性法案（CRA）已進入實際履約階段。自2026年9月11日起，製造商若發現產品存在遭主動利用的漏洞，或發生影響具數位元素產品（Digital Elements）安全的嚴重事件，即須履行通報義務；完整法規則將於2027年12月11日全面適用。
對產品銷往歐盟市場的台灣電子與數位產品製造商而言，過去市場准入多著重產品測試與符合性評估，CRA則進一步將合規要求延伸至產品開發與後續維護。企業除了證明產品符合相關技術要求，也必須說明風險如何辨識、需求如何形成、設計如何對應需求，以及後續如何透過測試完成驗證，讓整個產品生命週期具備可追溯的管理證據。
產品生命週期納入合規核心
TÜV NORD Taiwan工業服務部國際AI資安策略總監林正偉表示，過去不少電子產品在進入歐盟市場時，只要完成指定測試、取得符合性證據，即可支撐後續認證工作；CRA要求企業進一步留下全產品生命週期的管理證據，其內容涵蓋產品情境、風險管理、產品資安需求、資安架構與設計、安全實作、驗證與確認，以及第三方元件資安管理，並強調需求、設計與驗證之間的雙向追溯與一致性。
林正偉指出，台灣企業目前最大的落差，往往出現在開發流程本身。部分團隊能快速把客戶需求做成產品，卻未必留下需求分析、設計決策、風險評估與變更依據；當CRA要求企業說明產品預期用途、可合理預見的使用方式、操作環境及架構時，既有做法便難以直接對應。尤其消費性電子與一般軟體服務，過去較少受到車用、醫療或工業控制領域同等嚴謹的生命週期要求，導入難度更加明顯。
組織責任牽動產品資安治理
CRA同時把產品資安責任推向公司治理層級。由於法規針對對不同違規類型均設有罰則，一般性違規最高可處1,500萬歐元或全球年度總營業額2.5％，取較高者；提供錯誤、不完整或具誤導性的資訊，最高可處500萬歐元或全球年度總營業額1％。林正偉因此指出，企業真正要避免的，是在產品完成後才補做文件。若需求、風險、設計與測試之間缺乏可追溯關係，即使文件形式齊全，面對查核時仍可能無法說明決策依據。
他認為，真正需要建立的是跨部門產品資安管理機制，讓懂產品與懂資安的人能共同工作，並由具決策權的高階主管主導。若企業缺乏專職人員，也至少要建立固定的責任窗口、處理程序與升級機制。原因在於，CRA關注的已包含產品上市後持續監控、漏洞處理、必要揭露與通報，產品交付後仍須持續掌握外部威脅資訊與自身產品受影響情況。
目前最迫切的要求，就是9月11日已生效的通報義務。依歐盟規定，製造商知悉遭主動利用漏洞或嚴重資安事件後，須在24小時內提出早期警示，並於72小時內完成主要通知。林正偉提醒，軟體物料清單（SBOM）可協助掌握產品元件，但SBOM本身無法判斷漏洞是否已遭利用，也無法取代事件分析、責任分工與通報程序。監控工具同樣只能協助發現訊號，企業仍須有人判斷漏洞與自身產品的關聯性、影響程度及處置優先順序。
對監控工具的評估也應回到CRA實際通報條件。林正偉指出，傳統弱點掃描或漏洞情報可以列出嚴重度，卻未必能判斷漏洞是否已在真實環境遭主動利用。企業若一次收到大量高風險漏洞資訊，仍需建立篩選、關聯分析與產品影響判定能力，才能在法定時限內把有限人力集中到真正需要通報與處理的事件。
調和標準銜接既有開發流程
面對法條內容龐大且技術要求分散，林正偉特別提醒企業注意「調和標準」。歐盟執委會已針對CRA提出標準化要求，由歐洲標準組織持續制定水平與產品特定標準，目的是將CRA基本網路安全要求進一步轉換成可供產品設計、開發、漏洞處理與符合性評估採用的技術規範。
若企業原本已導入ISO/SAE 21434道路車輛網路安全工程，或IEC 62443-4-1工業自動化與控制系統安全產品開發生命週期要求，林正偉建議先盤點既有流程，再與CRA調和標準進行對照，避免建立多套彼此重疊的程序。若過去缺乏完整開發方法，也可借鏡能力成熟度整合模式（CMMI）在需求、架構、實作與驗證方面的管理概念，先建立可執行的最小流程，再逐步補上產品資安要求。
他也提醒，企業不宜把合規工作外包成單純的文件產製。顧問若缺乏產品領域知識或實際開發經驗，很難替研發團隊還原設計決策；生成式AI或自動化工具可以協助整理內容，也無法取代工程人員對需求、風險與架構的判斷。真正能經得起查核的證據，仍須在開發過程同步形成，並做到說法、程序與實際執行一致。
林正偉認為，CRA對台灣製造業的影響終究會回到產品工程能力。企業若能趁這次合規要求建立需求管理、架構設計、風險分析、漏洞監控與持續維護機制，未來面對更多產品資安與AI法規時，便可沿用同一套基礎方法調整。對高度仰賴海外市場的業者而言，產品生命週期管理將逐漸成為市場准入、供應鏈合作與長期競爭力的一部分。