歐盟《網路韌性法》（Cyber Resilience Act，CRA）將於2027年12月11日全面適用，對產品銷往歐洲的臺灣業者而言，如何因應CRA已成為迫切課題。目前正申請成為CRA公告機構（NB）的西班牙業者Applus+ Laboratories，近日在臺說明CRA在歐洲的最新進展與第一線觀察。
距CRA全面適用僅剩約15個月，Applus+ Laboratories資安事業處總監José Ruiz Gualda提醒，即使相關配套仍在成形，臺灣企業也應及早行動，不要等到制度全部到位後才開始準備。今年初與該公司建立合作關係、最近成為其認可實驗室的安合規律檢驗公司（Secure Vectors Surveillance），也從臺灣業者實務角度補充CRA合規前期準備重點，並強調企業須留意法規全面適用前可能出現的驗證量能瓶頸。
協調標準與NB體系仍在建置，企業不能等制度到位才準備
關於CRA相關配套措施的最新進展，José Ruiz Gualda指出，目前CRA仍有兩項關鍵工作持續推進，一是相關協調標準（Harmonised Standards）的制定，二是公告機構（Notified Body，NB）第三方符合性評估體系的建立。
以CRA協調標準的制定進度而言，José Ruiz Gualda表示，他日前才收到標準相關會議因意見過多而延期的通知，因此第一批相關技術標準的完成時間可能落到11月。目前歐盟正同時推進約40項CRA相關標準，工作量相當龐大。
他也直言，歐洲的標準制定程序相當複雜。CRA相關標準由CEN、CENELEC、ETSI等歐洲標準化組織分工推進，過程中還涉及產業參與及各國投票。即使標準完成制定並發布，也不代表已取得歐盟協調標準地位，後續仍須經過歐盟執委會相關程序。他甚至認為，部分產品別標準能否在2027年年中前完全底定，目前仍難以確定。
另一項仍在推進中的關鍵配套，就是負責第三方符合性評估的公告機構（NB）體系。目前CRA公告機構的認可與通知程序仍在進行中，預期產業首批CRA公告機構（NB）最快於今年底陸續就緒。
儘管相關制度仍在成形，José Ruiz Gualda提醒，企業現在就要採取行動。若在合規檢視後，企業發現產品需要修改設計，單就工程調整本身，可能耗費相當長的時間；若在法規全面適用前，企業才發現產品需要公告機構進行第三方評估，屆時CRA公告機構（NB）因案件大量湧入，而可能造成企業被迫排隊等待，而延誤商機。
先判定產品分類，Applus+估約9成產品可採自我評估
至於該從哪裡著手？José Ruiz Gualda建議，產品分類是第一道關卡。企業現階段首先應確認產品在CRA下的分類，釐清究竟屬於Default、Important Class I、Important Class II或Critical，因為不同分類將直接影響後續可採取的符合性評估方式。
他進一步說明，CRA並非所有產品都採同一套符合性評估方式。依據CRA Article 32與Annex VIII規定，不同產品分類適用的符合性評估（Conformity Assessment）路徑也有所不同。其中，Module A由製造商自行進行內部控制與符合性評估；若需要第三方介入，則可採Module B＋C，由公告機構先進行EU型式檢驗，再由製造商確保量產產品持續符合核准型式；或採Module H，由公告機構評估並持續監督企業的品質管理系統。
José Ruiz Gualda指出，在這套架構下，依據Applus+的估計，納入CRA規範的產品中，約90%屬於Default類別，通常可採Module A自我評估，無須第三方驗證。
但他也特別提醒，可以自我評估，不代表CRA合規就很簡單。即使是Default產品，企業仍須自行確認產品是否符合CRA要求；若企業本身缺乏資安或產品認證經驗，光是第一次建立完整的風險評估，就可能面臨不小挑戰。
此外，在分類上，不應因產品包含某個Important或Critical元件，就直接把整項產品歸入相同類別，關鍵仍在產品的核心功能（core functionality）。企業可從產品預期用途、實際使用情境、使用說明書、技術文件，以及行銷與銷售資料等資訊，判斷產品真正的核心功能，再與CRA的產品分類項目進行比對。
完成分類後，下一步是資安風險評估。風險評估是所有產品都必須執行的程序，企業應依產品預期用途、運作環境、需保護的關鍵資產及生命週期，判斷哪些CRA基本資安要求適用；若判定某項要求不適用，也必須留下合理說明與判斷依據。
技術文件也應同步準備，包括產品與設計資訊、開發與生產流程、漏洞處理、風險評估、測試報告及採用標準等，並建立各項要求與佐證資料之間的可追溯關係。
至於CRA協調標準尚未齊備的問題，他建議企業不必因此停下來等待。現階段仍可先參考EN 18031、FITCEM、SESIP、IEC 62443、PCI等既有標準，再以CRA Annex I（附錄一）所列的基本資安要求（Essential Cybersecurity Requirements）為基準進行落差分析，並盡量善用既有測試與驗證成果。
第三方評估量能恐成瓶頸，企業應提早盤點資產並善用既有方法與驗證成果
針對CRA後續可能面臨的第三方評估量能問題，安合規律檢驗執行長黃廷弘補充，據其估計，CRA影響全歐洲販售中與新上市的數位產品約達2,000萬件，約1成屬Important與Critical類型產品，須經公告機構（NB）進行第三方符合性評估，沒有自我宣告的選項；其餘約9成為Default類型產品，可採自我宣告，而Important Class I則須在適用的協調標準到位且完整符合的前提下，才能自我宣告。
他藉此突顯第三方評估需求的龐大規模，並提醒多數協調標準仍在草案階段，公告機構（NB）與實驗室量能也有限，若大量產品集中在法規全面適用前的最後幾個月送驗、進行評估，公告機構與實驗室的驗證量能恐成為瓶頸，必須及早行動。
黃廷弘同樣呼籲臺灣企業及早行動，並提出幾項現階段即可著手的準備方向。例如，在風險評估方法上，黃廷弘指出，CRA並未強制指定單一方法，企業可參考仍在草案階段的prEN 40000-1-2，從產品情境、風險接受準則、風險評估到風險處理，作為建立風險管理流程的參考。他也以刷卡機為例說明，CRA下的產品邊界未必只是一臺實體設備。現代支付終端可能同時涉及終端上的應用程式與後端系統，企業必須先釐清哪些元件與服務屬於同一產品範圍。
至於資產盤點，企業也不一定需要完全從零開始。黃廷弘指出，既有ISO/IEC 27001資產管理架構可作為基礎，再補上CRA所需的產品邊界、SBOM與版本管理、支援生命週期，以及介接與相依關係等資訊。若已有依EN 18031建立的產品資安測試或驗證成果，也可利用既有資產盤點、風險分析與測試資料，再依CRA要求重新對應並補足落差。
安合規律檢驗副總經理吳玉婷則將企業現階段的準備工作，歸納為三個重點：（一）產品分類是起點，企業應先確認產品屬於Default、Important Class I、Important Class II或Critical，並界定產品邊界與製造商責任，才能確認合規路徑；（二）釐清Module A、Module B＋C與Module H等不同符合性評估方式的差異；（三）不要等到2027年才開始，而應現在就著手準備風險評估、測試、佐證資料與相關流程。若企業對產品分類或評估路徑仍不確定，她認為也可在前期透過外部專業意見先行釐清。
她強調，產品分類不是終點，而是決定後續符合性評估路徑的起點；愈早完成前期準備，日後正式符合性評估時，就愈能降低重複作業與修改成本。
Comments (0)
Sign in to comment