424期・趨勢前線_衝擊篇

通報驗證改寫產品責任

歐盟新規開始計時　網通市場門檻升高

撰文／鄒明珆　圖片提供／Shutterstock

歐盟《網路韌性法》（Regulation (EU) 2024/2847，簡稱CRA）第14條通報義務於9月11日正式生效，強制連網硬體製造商在知悉遭利用的漏洞後，須於24小時內提出早期預警，將資安從自願性最佳實務提升為具法定時限的申報責任。

值得注意的是，《網路韌性法》的全面罰則與市場監督機制，要到2027年12月11日才完整施行，通報責任卻已提前1年3個月啟動。依據第14條，遭利用的漏洞須在知悉後24小時內提出早期預警、72小時內送出完整通報；最終報告時限則因事件性質而異：漏洞修補須在修正措施釋出後14天內完成，嚴重資安事件則須在送出72小時通報後1個月內提交。兩者起算點不同，可能成為企業內部排程最容易混淆之處。此外，負責的國家級電腦安全事件應變小組（CSIRT）得要求廠商提交中期報告，製造商也須同步通知受影響的使用者。 

新制是否適用於既有產品，也是業界關注的重點。原則上，2027年12月11日前已在歐盟上市的產品，不必回溯符合新制要求；但漏洞通報義務不在豁免範圍內。依歐盟執委會指引，只要製造商在2026年9月11日後得知產品漏洞，無論新舊機種，均須依法通報並通知受影響的使用者。也就是說，舊產品雖不必重新進行設計驗證，仍須納入新的漏洞通報與處理流程。 

通報平台配套尚待完備  企業預作應變與備援

在通報機制上，企業須透過歐盟網路安全局（ENISA）建置的單一通報平台，向主要營業地會員國的指定電腦安全事件應變小組（CSIRT）與ENISA提交通報，再由應變小組轉交相關主管機關。該平台已於2026年9月11日正式啟用，ENISA並同步公布平台入口、各國指定協調窗口名單及操作指引，供製造商辦理漏洞與嚴重資安事件通報。不過，目前平台仍以法定通報所需的核心功能為主，部分功能尚待後續擴充。 

實務操作上，平台初期仍有若干限制。由於尚未提供應用程式介面（API），企業無法與既有資安監控系統自動串接，通報仍須由人員登入平台填寫。此外，歐盟網路安全局8月更新的指引顯示，控制台僅會顯示由個別帳號建立的草稿，同一廠商的其他代表無法跨帳號查看或接續填寫，可能影響企業在24小時通報期限內的人員交接與備援安排。 

另一方面，法規第16條並未另行規定平台故障時的備援通報管道或暫停計時機制，企業也不能僅以官方系統故障作為未依限通報的理由。在官方平台與各國應變小組資訊尚待公布之際，台灣業者仍須預先建立內部判斷、通報及人員備援流程，以因應已開始計時的法定義務。 

網通品項納入分級  出口歐盟面臨新門檻

通報只是前哨站，後續產品分級更直接影響產品進入歐洲市場的合規要求。《網路韌性法》附錄三將重要產品分為兩級：第一級涵蓋路由器、數據機、交換器、網路管理系統、作業系統，以及具安全功能的微處理器與微控制器；第二級則包含防火牆、入侵偵測與防禦系統，以及虛擬機器管理程式。台灣網路通訊與工業控制系統業者的多項主力產品，均落入這兩類重要產品的範圍。 

外貿統計也顯示，台灣網通產品受新規影響的程度可能高於其他產業。財政部資料顯示，2025年台灣交換器及路由器出口歐盟27國的金額達19.79億美元，占該類產品全球出口額18.15％，對歐盟市場的依存度約為台灣整體出口平均5.54％的3.3倍。相較之下，積體電路同年出口歐盟的金額雖達34.84億美元，但占該類產品全球出口額僅1.67％。對歐盟市場依存度較高，加上多項主力產品被列為重要產品，意味著台灣網通業者更需及早掌握產品分級與合規要求，評估對驗證作業、上市時程及出口布局的影響。

第三方驗證要求浮現  中小企業盤點法遵資源

分級之所以關鍵，在於第32條規定，附錄三第一級產品若未完整採用已刊登的調和標準、共通規範或驗證方案，就須交由公告機構執行第三方驗證。不過，目前相關配套仍在建置階段。歐盟執委會已委託歐洲標準化組織制定支援《網路韌性法》的41項標準；截至2026年8月13日，歐洲電信標準協會（ETSI）才將其中17項草案交付公開徵詢，尚無相關標準正式刊登於歐盟官方公報。歐盟用來登錄各會員國合格公告機構的NANDO資訊系統，目前也尚未列出可執行相關驗證的合格評鑑機構。

在標準及驗證資源尚未完備的情況下，企業仍須留意法規施行後的違規責任。自2027年12月11日起，違反基本資安要求或通報義務者，最高可處1,500萬歐元，或全球年營業額2.5％的罰鍰。法規針對微型與小型企業設有部分例外，使其不因未能在24小時內提出早期預警而受罰，但這項規定並不適用於中型企業。 

歐盟網路安全局2026年6月的調查顯示，歐盟中小企業在「事故應變與產品生命週期管理」項目的平均得分為2.6分，滿分為5分；另有36％的微型企業尚未建立應變計畫。這些數據反映，中小企業在內部流程與資源配置上仍有準備空間。對台灣外銷業者而言，如何掌握後續標準進度、取得驗證資源並建立資安應變機制，也將成為進入歐盟市場前的法遵重點。