《網路韌性法案》合規檢查清單：您的 CRA 準備度分數

《網路韌性法案》（Cyber Resilience Act）為具數位元素產品的製造商規定了一系列義務：通報、產品安全要求、漏洞處理以及文件。請針對您的產品逐項作答，了解目前的進度和尚未完成的事項，每一項都註明條文。

已於 2026年10月17日與來源核對

第 (EU) 2024/2847 號法規（《網路韌性法案》），第 13、14、69 和 71 條，附件 I 和 II

已於 2026年10月17日與來源核對

您的 CRA 準備情況

請針對一個產品逐列作答。分數只統計您的回答；不檢查、不傳送，也不儲存任何內容。

報告義務（第 14 條）：自 2026 年 9 月 11 日起適用，已投放市場的產品也適用

被積極利用的漏洞：24 小時內提交預警，72 小時內提交通報，最遲在修補措施可用後 14 天內提交最終報告，均透過單一報告平台 (Article 14(1), (2))
影響產品安全的嚴重事件：24 小時內提交預警，72 小時內提交通報，通報後一個月內提交最終報告 (Article 14(3) to (5))
您知道由哪個被指定為協調者的 CSIRT 接收您的通報：您在歐盟的主要營業地所在會員國的 CSIRT；如無主要營業地，依第 14(7) 條規定的順序決定 (Article 14(7))
已將漏洞或事件以及可採取的措施告知受影響的使用者，並在適當時告知所有使用者 (Article 14(8))

產品要求（附件 I 第 I 部分）：自 2027 年 12 月 11 日起

僅當您的網路安全風險評估顯示不適用時才選「不適用」，並須在技術文件中說明理由（第 13(4) 條）。

與風險相稱的網路安全水準 (Annex I, Part I(1))
無已知可被利用的漏洞 (Annex I, Part I(2)(a))
預設安全組態，可回復原廠狀態 (Annex I, Part I(2)(b))
安全更新，預設自動安裝 (Annex I, Part I(2)(c))
防止未經授權的存取 (Annex I, Part I(2)(d))
資料機密性 (Annex I, Part I(2)(e))
資料、指令和組態的完整性 (Annex I, Part I(2)(f))
資料最小化 (Annex I, Part I(2)(g))
基本功能的可用性 (Annex I, Part I(2)(h))
限制對其他裝置和網路的影響 (Annex I, Part I(2)(i))
限制攻擊面 (Annex I, Part I(2)(j))
緩解漏洞利用 (Annex I, Part I(2)(k))
安全日誌記錄和監控，可選擇退出 (Annex I, Part I(2)(l))
安全刪除所有資料和設定 (Annex I, Part I(2)(m))

漏洞處理（附件 I 第 II 部分）：自 2027 年 12 月 11 日起

已識別並記錄漏洞和元件，並編製至少涵蓋頂層相依套件的軟體物料清單 (Annex I, Part II(1))
及時處理並修補漏洞，提供安全更新；在技術可行時與功能更新分開提供 (Annex I, Part II(2))
對產品安全進行有效且定期的測試與審查 (Annex I, Part II(3))
安全更新發布後，公開揭露已修補漏洞的資訊 (Annex I, Part II(4))
已制定並執行協調漏洞揭露政策 (Annex I, Part II(5))
提供通報漏洞的聯絡地址，並採取措施分享漏洞資訊，包括第三方元件中的漏洞 (Annex I, Part II(6))
以安全方式發送更新；對於安全更新，在適用時自動發送 (Annex I, Part II(7))
及時免費發送安全更新（與商業使用者就客製化產品另有約定者除外），並附帶安全公告 (Annex I, Part II(8))

製造商義務（第 13 條）：自 2027 年 12 月 11 日起

已完成網路安全風險評估，形成文件，在支援期內更新，並納入技術文件 (Article 13(2) to (4))
對第三方元件和開源元件善盡審查義務；在其中發現的漏洞已通報其製造者或維護者 (Article 13(5), (6))
已依產品的預期使用時間訂定支援期：至少五年，預期使用時間較短者除外 (Article 13(8))
每個安全更新在發布後至少保留 10 年可供取得；如支援期剩餘時間更長，則保留至支援期結束 (Article 13(9))
購買時已清楚說明支援期的結束時間，至少包括月份和年份 (Article 13(19))
產品上標有型號、批次號碼或序號；無法標示時，標於包裝上或隨附文件中 (Article 13(15))
產品、包裝或隨附文件上載有名稱、郵寄地址以及電子郵件或其他數位聯絡方式，並為使用者設立單一聯絡窗口 (Article 13(16), (17))
隨產品提供使用者資訊與說明（附件 II），並至少保留 10 年；如支援期更長，則保留至支援期結束 (Article 13(18), Annex II)
在產品投放市場之前編製技術文件（附件 VII） (Article 13(12), Article 31, Annex VII)
已選擇並完成符合性評鑑程序（第 32 條）；重要產品和關鍵產品可選的程序較少 (Article 13(12), Article 32)
已編製歐盟符合性聲明並貼附 CE 標誌；隨產品提供聲明副本或簡化聲明 (Article 13(12), (20), Articles 28 and 30)
技術文件和聲明在產品投放市場後至少保存 10 年；如支援期更長，則保存至支援期結束 (Article 13(13))

準備度：0%

已完成：0 / 38 個適用項目

未作答：38（以未完成計）

依領域

報告義務0%
產品要求0%
漏洞處理0%
製造商義務0%

尚未完成

被積極利用的漏洞：24 小時內提交預警，72 小時內提交通報，最遲在修補措施可用後 14 天內提交最終報告，均透過單一報告平台 (Article 14(1), (2); 未作答) CRA 報告登記冊
影響產品安全的嚴重事件：24 小時內提交預警，72 小時內提交通報，通報後一個月內提交最終報告 (Article 14(3) to (5); 未作答) CRA 報告登記冊
您知道由哪個被指定為協調者的 CSIRT 接收您的通報：您在歐盟的主要營業地所在會員國的 CSIRT；如無主要營業地，依第 14(7) 條規定的順序決定 (Article 14(7); 未作答) CRA 報告登記冊
已將漏洞或事件以及可採取的措施告知受影響的使用者，並在適當時告知所有使用者 (Article 14(8); 未作答) CRA 報告登記冊
與風險相稱的網路安全水準 (Annex I, Part I(1); 未作答)
無已知可被利用的漏洞 (Annex I, Part I(2)(a); 未作答)
預設安全組態，可回復原廠狀態 (Annex I, Part I(2)(b); 未作答)
安全更新，預設自動安裝 (Annex I, Part I(2)(c); 未作答)
防止未經授權的存取 (Annex I, Part I(2)(d); 未作答)
資料機密性 (Annex I, Part I(2)(e); 未作答)
資料、指令和組態的完整性 (Annex I, Part I(2)(f); 未作答)
資料最小化 (Annex I, Part I(2)(g); 未作答)
基本功能的可用性 (Annex I, Part I(2)(h); 未作答)
限制對其他裝置和網路的影響 (Annex I, Part I(2)(i); 未作答)
限制攻擊面 (Annex I, Part I(2)(j); 未作答)
緩解漏洞利用 (Annex I, Part I(2)(k); 未作答)
安全日誌記錄和監控，可選擇退出 (Annex I, Part I(2)(l); 未作答)
安全刪除所有資料和設定 (Annex I, Part I(2)(m); 未作答)
已識別並記錄漏洞和元件，並編製至少涵蓋頂層相依套件的軟體物料清單 (Annex I, Part II(1); 未作答) SBOM 產生器
及時處理並修補漏洞，提供安全更新；在技術可行時與功能更新分開提供 (Annex I, Part II(2); 未作答)
對產品安全進行有效且定期的測試與審查 (Annex I, Part II(3); 未作答)
安全更新發布後，公開揭露已修補漏洞的資訊 (Annex I, Part II(4); 未作答)
已制定並執行協調漏洞揭露政策 (Annex I, Part II(5); 未作答)
提供通報漏洞的聯絡地址，並採取措施分享漏洞資訊，包括第三方元件中的漏洞 (Annex I, Part II(6); 未作答)
以安全方式發送更新；對於安全更新，在適用時自動發送 (Annex I, Part II(7); 未作答)
及時免費發送安全更新（與商業使用者就客製化產品另有約定者除外），並附帶安全公告 (Annex I, Part II(8); 未作答)
已完成網路安全風險評估，形成文件，在支援期內更新，並納入技術文件 (Article 13(2) to (4); 未作答) CRA 文件包（付費）
對第三方元件和開源元件善盡審查義務；在其中發現的漏洞已通報其製造者或維護者 (Article 13(5), (6); 未作答)
已依產品的預期使用時間訂定支援期：至少五年，預期使用時間較短者除外 (Article 13(8); 未作答)
每個安全更新在發布後至少保留 10 年可供取得；如支援期剩餘時間更長，則保留至支援期結束 (Article 13(9); 未作答)
購買時已清楚說明支援期的結束時間，至少包括月份和年份 (Article 13(19); 未作答)
產品上標有型號、批次號碼或序號；無法標示時，標於包裝上或隨附文件中 (Article 13(15); 未作答)
產品、包裝或隨附文件上載有名稱、郵寄地址以及電子郵件或其他數位聯絡方式，並為使用者設立單一聯絡窗口 (Article 13(16), (17); 未作答)
隨產品提供使用者資訊與說明（附件 II），並至少保留 10 年；如支援期更長，則保留至支援期結束 (Article 13(18), Annex II; 未作答) CRA 文件包（付費）
在產品投放市場之前編製技術文件（附件 VII） (Article 13(12), Article 31, Annex VII; 未作答) CRA 文件包（付費）
已選擇並完成符合性評鑑程序（第 32 條）；重要產品和關鍵產品可選的程序較少 (Article 13(12), Article 32; 未作答) CRA 類別檢查
已編製歐盟符合性聲明並貼附 CE 標誌；隨產品提供聲明副本或簡化聲明 (Article 13(12), (20), Articles 28 and 30; 未作答) CRA 文件包（付費）
技術文件和聲明在產品投放市場後至少保存 10 年；如支援期更長，則保存至支援期結束 (Article 13(13); 未作答)

這是您自己的回答，不是評估：分數並不表示產品符合該法規。

檢查涵蓋的內容

報告義務（第 14 條）：被積極利用的漏洞和嚴重事件，透過單一報告平台通報被指定為協調者的 CSIRT 和 ENISA，並告知使用者。
產品的基本網路安全要求（附件 I 第 I 部分）：一項總體要求和十三項具體要求。
漏洞處理要求（附件 I 第 II 部分）：八項，包括軟體物料清單。
製造商的其他義務（第 13 條）：風險評估、元件、支援期、更新、產品標示、使用者資訊、技術文件、符合性評鑑、聲明和 CE 標誌、文件保存。

日期

第 14 條（報告義務）自 2026 年 9 月 11 日起適用，也適用於 2027 年 12 月 11 日之前投放市場的產品（第 69(3) 條和第 71(2) 條）。
法規的其餘部分自 2027 年 12 月 11 日起適用。在此之前投放市場的產品，只有自該日期起進行實質修改時才受其約束（第 69(2) 條）。

分數如何計算

只有答「已完成」的項目才計入。「部分完成」、「未開始」和未作答的項目都以未完成計，因此分數絕不會高於您的回答。「不適用」會將該項目從總數中去除；只有附件 I 第 I 部分第 2 點的具體要求可選此項，因為這些要求依據網路安全風險評估並在適用時才適用，且技術文件必須說明理由（第 13(4) 條）。百分比無條件捨去。

檢查不做什麼

它不測試、也不評估您的產品：分數只統計您自己的回答，高分並不表示產品符合該法規。它只涵蓋製造商，不涵蓋進口商（第 19 條）、經銷商（第 20 條）或開源軟體管理者（第 24 條）。如需確定產品類別和符合性評鑑程序，請使用 CRA 檢查；通報時限請使用 CRA 報告登記冊；軟體物料清單請使用 SBOM 產生器。

您的回答不會離開瀏覽器，也不會被儲存：重新載入頁面即會清除。如需保留，請複製或列印結果。

來源

第 (EU) 2024/2847 號法規（《網路韌性法案》），第 13、14、69 和 71 條，附件 I 和 II