424期・趨勢前線_解方篇

軟體清單重塑供應鏈信任

資安不只為法遵　台廠搶攻歐洲訂單

撰文／鄒明珆　圖片提供／Shutterstock

隨著歐盟《網路韌性法》的通報義務開始計時，企業也須著手盤點產品使用的軟體元件，並建立可持續更新的軟體物料清單。實務上，法規對清單的最低要求比預期寬鬆。《網路韌性法》要求製造商以通用且機器可讀的格式製作軟體物料清單，內容至少涵蓋產品的「第一層」直接依賴元件，也就是產品直接使用、尚未向下追溯其間接依賴關係的軟體套件，並將清單納入技術文件，以供主管機關在必要時查核。法規並未要求清單對外公開，也未指定統一格式，目前由德國聯邦資訊安全局提出、定義欄位與版本的指引，仍屬單一國家規範，不具全歐盟拘束力。

然而，法律的最低門檻，未必足以跨過商業合作的審查標準。歐盟網路安全局2026年中發布的調查顯示，高達55％的受訪組織正系統性將軟體物料清單納入供應商合約條款，但採購方回報，目前達標的合格供應商比例不到四分之一。若台廠僅繳出符合法規底線的第一層清單，仍可能在客戶端遭到退件，主因在於27％的買方認為清單完整度不足，17％認為元件識別不夠精準。當歐洲市場的資安要求迅速「合約化」，供應端卻仍大幅缺位，能率先交出完整且具深度清單的台廠，便有機會躋身四分之一的領先群。 

從決策到聯繫  建構24小時通報能力

要在24小時內完成通報，關鍵在於內部流程機制，而非仰賴員工臨時加班因應。既有的國際資安標準對實務排班鮮少著墨，但有兩項核心指引至關重要：國際標準組織與國際電工委員會發布的ISO/IEC 30111標準，明確要求組織須設置具備漏洞處理決定權的管理階層角色，這是能在24小時內完成內部通報拍板的關鍵；而資安事件應變小組成熟度模型則要求，緊急通報流程須具備專用聯絡管道，且非上班時間仍須能直接聯繫法律專家。 

必須認清的是，目前全球多數工業大廠的承諾服務水準仍停留在兩個工作日內，尚無任何跨國大廠公開承諾能全面達成24小時通報。全球能源管理科技龍頭施耐德電機（Schneider Electric）建議，企業可先從單一主力產品著手，建立包含軟體物料清單、漏洞處理紀錄與具名負責流程的資安佐證資料。台灣工業通訊大廠四零四科技已針對通報時效成立專屬的產品資安應變小組；工業電腦廠艾訊也依歐盟法規建置完整通報機制，展現出台灣硬體製造體系的敏捷轉型動能。 

歐盟驗證配套未齊  台廠循既有標準先行

在歐盟官方調和標準與公告驗證機構雙雙處於未就緒狀態的當下，外銷產品仍有具體路徑可循。針對具備無線連網功能的產品，歐盟無線電設備指令（RED）的調和標準EN 18031系列已正式刊登於官方公報，是目前唯一能實際取得形式審查證書的法遵途徑，其技術規範未來可直接沿用對接《網路韌性法》。網通大廠友訊科技的Wi-Fi 7旗艦路由器便已取得挪威驗證機構核發的型式審查證書，威綸科技與台達電子也陸續為工業設備的觸控操作介面與充電樁完成同系列驗證。 

對於不含無線模組的工業電腦與有線交換器，則可依循成熟的工控資安標準IEC 62443，逐項建立資安佐證。研揚、凌華、立端、華碩與神達等台廠早已取得相關開發流程認證；合勤科技更取得國際通用漏洞指派機構資格，成為首家簽署美國「設計即安全」承諾的台灣企業。搭配財團法人全國認證基金會（TAF）提供的檢測實驗室認證資源，台廠在國內已具備相對完整的驗證支援體系。 

提前完善資安制度  台廠建立歐洲市場優勢

歐洲官方調查顯示，高達7成的受訪組織仍將軟體物料清單視為法遵負擔或防禦工具，僅有1成的領先者將其視為商業競爭資產。當多數歐洲本土同業仍在評估成本與投入效益時，台灣外銷製造業若能率先建立完整制度，便有機會形成差異化優勢。

從通報義務上路到法規全面適用，準備時間已不到一年半。台灣廠商若能及早將軟體物料清單、漏洞即時監控及跨部門通報納入日常營運流程，不僅有助於跨越歐洲市場門檻，也能在高階客戶嚴格的供應鏈盡職調查中，將資安能力轉化為信任與訂單優勢。