歐盟網路彈性法案 (CRA)：報告義務於 9 月 11 日開始

《網路韌性法案》以（歐盟）2024/2847號法規之姿於2024年12月10日生效。但生效與義務開始適用並非同一件事：該法規訂有分階段時程，製造商須先面對通報義務，其後才是產品要求。

首先適用的部分是自2026年9月11日起生效的通報義務。該法規其餘部分——基本網路安全要求、符合性評估、技術檔案與CE標誌——則自2027年12月11日起全面適用。

這兩個日期之間的十五個月並非等待期，而是準備期。由於通報義務以已運作的漏洞管理流程為前提，2026年須建立的基礎設施也將成為2027年所需文件的根基。

適用範圍取決於產品的性質，而非產品類別：「具數位元件之產品」一詞涵蓋能直接或間接與裝置或網路建立資料連線的硬體與軟體產品。不必是消費性產品；工業設備、零組件及獨立銷售的軟體亦可能納入其中。

該法規依風險等級對產品分類，等級越高，第三方在符合性評估中的角色就越重。因此首要工作是判定產品屬於哪一等級——該等級將決定後續所有決策（自我宣告或指定機構）。

假定產品不在適用範圍內是有風險的：即使裝置沒有雲端連線，只要與行動應用程式配對，仍具有數位元件。在邊界情況下，將決定及其理由以書面記錄，是日後檢查中最有用的文件。

自2026年9月11日起，製造商有義務通報遭主動利用的漏洞及影響產品安全的重大事故。通報須透過ENISA的單一通報平台，同時提交予相關國家CSIRT與ENISA。

通報並非填寫單一表格即告結束：它分階段進行——先是早期預警，接著是更詳細的通報，流程結束時再提交最終報告。這要求事先確定在事故發生的最初幾個小時內，由誰蒐集哪些資訊。

實際結果是：通報並非一項合規條款，而是一項作業。若待命安排、溝通管道、決策者與紀錄範本尚未就緒，便無法在期限內完成通報。

該法規對違反基本網路安全要求與通報條款者訂有行政罰款；上限訂為1,500萬歐元或全球年營業額的2.5%，以較高者為準。

另一項與罰款風險同樣重要的後果是市場准入：無法證明符合性的產品不得在歐盟市場上市，市場監督機關可採取包括召回在內的措施。

建立產品清冊，並判定哪些產品具有數位元件、屬於哪個等級，是使整個時程得以規劃的唯一步驟。若無此清冊，其餘一切工作都只能依賴猜測。

第二步是公告支援期限並將更新政策形諸文字。這些屬於2027年要求的一部分，但因涉及商業決策，是耗時最長的工作。

第三是建立漏洞通報管道：既要有接收外部通報的窗口，也要有內部評估該通報的流程。沒有這套流程，2026年的通報就無法運作。