歐盟 CRA（Cyber Resilience Act）符合性評估與 CE 標誌

Julian Meroi · 發布日期 2026年11月4日 · 最近校閱 2026年11月4日

依網路韌性法案，製造商必須先製作技術文件，並完成適用於該產品的符合性評估程序，才能將產品投放歐盟市場。該程序證明產品及製造商的漏洞處理流程符合基本網路安全要求後，製造商簽署歐盟符合性聲明，並加註 CE 標誌。第 13 條第 12 項。

本指南說明各項程序的內容、如何準備證據、需要公告機構時如何與其合作，以及如何完成聲明與標誌。本指南假設您已知道產品所屬類別；這一步請參閱我們的 CRA 產品分類指南。

產品投放市場前必須完成的事項

依序為：

1. 製作技術文件。
2. 執行或委託執行符合性評估程序。
3. 程序得出正面結果後，製作並簽署歐盟符合性聲明。
4. 加註 CE 標誌。

即使顧問、測試實驗室或公告機構參與其中，產品是否合規仍由製造商負責。

日期。 這些義務自 2027 年 12 月 11 日起，適用於當日起投放市場的每一件產品，包括較早設計之型號的產品。在此之前已投放市場的產品，只有在之後經實質修改時才受 CRA 規範。漏洞與資安事件通報義務則已開始適用於所有適用範圍內的產品，請參閱我們的 CRA 通報要求指南。

可採用的程序取決於產品類別：

第 32 條。

就重要類別 I 而言，執委會指引對上述條件採嚴格解讀：您必須適用相關協調標準的所有適用要求，且該標準至少須涵蓋產品核心功能的風險。額外功能所帶來的風險，仍須另行採取措施。執委會指引第 148 至 152 段。

以下三種情形適用不同規則：

• 屬重要類別的開源軟體：可採用模組 A，但技術文件須於產品投放市場時公開。
• 高風險人工智慧系統：一般依歐盟人工智慧法（AI Act）的程序辦理，該程序同時涵蓋 CRA 的要求。例外情形是：若產品屬關鍵類別，或屬依 CRA 無法採用模組 A 的重要類別，而 AI Act 允許其採用內部管控，則其網路安全要求應適用 CRA 本身的程序。第 12 條。
• 電子健康紀錄系統（EHR system）：歐洲健康資料空間（European Health Data Space，EHDS）法規所作的修正，要求這類系統採用該法規的程序。該法規分階段適用，其中關於 EHR 系統投放市場的規定，視系統處理的健康資料類別，自 2029 年 3 月 26 日或 2031 年 3 月 26 日起適用。

若屬上述任一情形，請確認您將產品投放市場當日適用的是哪一項程序。

模組 A、B+C 與 H 的內容

附件 VIII。

模組 A 仍需要證據。 雖然沒有外部機構檢查，製造商仍必須落實風險評估所定的措施，並以測試或其他方式驗證產品符合要求，且須在簽署前將結果記錄下來。

模組 B 之後一定接續模組 C。 檢驗涵蓋產品設計及製造商的漏洞處理流程。證書會載明已核准的型式及其效力條件（如有）。執委會 FAQ 指出，證書的有效期間由公告機構決定。

模組 H 需要為 CRA 建立的品質系統。 該系統必須說明產品如何符合基本要求，以及如何處理漏洞。它可以建立在既有的品質管理系統之上，但 FAQ 明確指出，僅有 ISO 9001 證書並不足以滿足模組 H。執委會認為，此模組可能適合產品型式眾多或發行頻繁的製造商。

歐洲網路安全驗證機制須待執委會為此目的指定機制後才能採用，且僅適用於證書所涵蓋的要求。重要類別 I 與 II 的產品，其證書的保證等級須至少為「顯著」，如上表所示。關鍵類別產品只有在執委會已就其類別規定強制取得證書時，才須取得證書。規劃採用此途徑前，請先確認您的產品類別是否已有可用的機制。

準備證據

每一項程序都建立在相同的核心證據上：

• 受評估的確切產品：硬體版本、軟體版本與組態，包括構成產品一部分的任何遠端資料處理。
• 風險評估：哪些要求適用、哪些不適用及其理由，以及每項風險如何處理。請參閱我們的 CRA 網路安全風險評估指南。
• 技術文件。 請參閱我們的 CRA 技術文件指南。
• 受評估版本的測試與審查結果。
• 漏洞處理證據，包括 SBOM、協調式漏洞揭露政策與更新機制。請參閱我們的 CRA 軟體材料清單（SBOM）要求指南。
• 您所適用的標準與規範，包括僅部分適用者。

測試。 CRA 並未規定測試方法，也未對測試實驗室設定要求；您可以自行測試，也可以委託外部實驗室。市場監督機關可能自行測試產品，並於有正當理由時採用不同的方法。請記錄測試方法、受測版本與結果，使測試可以重現。

模組 B 向公告機構提出的申請包括：

• 您的名稱與地址；由授權代表提出申請者，並包括該授權代表的名稱與地址；
• 技術文件，並包含適當的風險分析與評估；
• 設計與漏洞處理解決方案的佐證證據，必要時包含測試結果；
• 未就同一申請向任何其他公告機構提出的書面聲明。

請說明您所依據的文件，特別是未完全適用協調標準的情形。公告機構也會檢驗產品關鍵部分的樣品，並與您協議測試的執行地點，因此請事先規劃可提供的樣品與測試環境。

模組 H 的申請包括：

• 您的名稱與地址；由授權代表提出申請者，並包括該授權代表的名稱與地址；
• 擬涵蓋的各產品類別中一種型號的技術文件；
• 品質系統相關文件；
• 同樣的書面聲明，表明未就同一申請向任何其他公告機構提出。

品質系統文件應說明職責、設計與驗證管控、測試及其頻率，以及所保存的紀錄。模組 H 並不免除每項產品製作技術文件的義務。

語言。 提交給公告機構的文件，必須使用該機構所在國的官方語言，或該機構接受的語言。

標準。 協調標準須待其出處於《歐盟官方公報》公布後，才產生符合性推定，且僅限於其所涵蓋的要求。若要依據標準取得符合性推定，請先確認其出處已經公布，並記錄哪些要求不在其涵蓋範圍內。我們的風險評估指南說明 EN 40000 系列標準如何相互搭配，IEC 62443 與 CRA 指南則說明既有的 IEC 62443 工作可以如何運用。第 27 條。

與公告機構合作

確認該機構的公告。 機構必須已依 CRA 獲得公告，才能依 CRA 執行評估。公告會載明其涵蓋的模組與產品。認證（accreditation）、ISO 證書或依其他歐盟法規取得的公告，本身都不會使該機構成為 CRA 公告機構。請在執委會的 NANDO 資料庫查詢該機構，確認其已就網路韌性法案、您的模組及您的產品類別列名。

提出申請前，請與該機構議定：

• 評估範圍內的產品、版本與組態；
• 您如何適用協調標準或其他規範，以及未適用之處；
• 該機構所需的樣品、測試環境與存取權限；
• 評估期間如何處理提問、補充證據與變更；
• 評估報告可提供給誰。依模組 B，除其必須向公告主管機關報告的內容外，該機構僅得經您同意才能公開報告。

這些規劃事項是實作範例。CRA 並未強制要求這份清單；法規所定的申請內容與公告機構職責仍具拘束力。

符合性評估費用的訂定，必須考量微型企業及中小企業的需求。

製作歐盟符合性聲明

聲明表明產品符合基本網路安全要求，製造商簽署聲明即就此承擔責任。聲明依附件 V 的範本，內容包括：

1. 產品名稱、型式，以及唯一辨識產品所需的任何資訊；
2. 製造商或其授權代表的名稱與地址；
3. 表明本聲明由製造商單獨負責簽發的陳述；
4. 聲明標的，其識別方式須可供追溯（得附照片）；
5. 符合相關歐盟法規的陳述；
6. 所採用的協調標準、共同規範或驗證；
7. 於適用時，公告機構的名稱與號碼、所執行的程序及所簽發的證書；
8. 其他資訊、簽名、簽署人的姓名與職稱，以及簽發地點與日期。

附件 V。

聲明應以產品銷售所在各國要求的語言提供，並視需要更新。執委會 FAQ 說明，聲明不需要列出序號。新的產品版本可能需要新的聲明，特別是經實質修改後。

所有歐盟法規共用一份聲明。 若其他歐盟法規也要求符合性聲明，例如無線電設備指令（Radio Equipment Directive，RED），請製作一份涵蓋所有法規的單一聲明，並逐一載明各法規。

隨產品提供的資料：

• 完整聲明的副本，或附件 VI 的簡化歐盟符合性聲明；簡化聲明須提供完整聲明的確切網址（僅連結到公司首頁並不足夠）；
• 使用者資訊與使用說明；
• 購買時，支援期間的結束日期，至少載明年份與月份。

聲明是對外公開的文件，技術文件則不是：除採用上述途徑的開源軟體外，您不必將技術文件提供給客戶或大眾。

加註 CE 標誌

CE 標誌表示製造商在完成所需的符合性評估程序後，聲明產品符合適用的歐盟要求。視產品與程序而定，該程序可能需要公告機構參與。只有製造商或其授權代表可以加註 CE 標誌，且不得以可能與其混淆的方式使用其他標記。

加註位置：

• 產品上，清晰可見、易於辨讀且不可磨滅。
• 包裝及隨附的聲明上，若因產品性質而無法或不宜於產品上加註。
• 軟體，加註於聲明上，或隨附該軟體的網站上。若加註於網站，消費者必須能夠直接且輕易地找到相關區塊。

第 30 條。

加註時間：產品投放市場前，且僅在符合性評估程序得出正面結果後。

尺寸：一般原則為高度至少 5 公釐，並維持標準比例。若因產品性質而有需要，可以小於此尺寸，但須保持清晰可見且易於辨讀；不得僅因設計考量而縮小。

公告機構識別號碼：依模組 H，CE 標誌之後應附加該機構的識別號碼。CRA 並未就 B+C 要求加註，但產品適用的其他法規可能有此要求。

若其他歐盟法規也要求 CE 標誌，單一標誌即涵蓋所有法規。

範例：尚未準備就緒的版本

Example Gateway 2.1 是一款虛構的建築閘道器，附有配套的行動應用程式。假設該閘道器屬預設類別，製造商選擇採用模組 A。在預定發行前兩週，團隊檢查證據是否完整。

這是依據 CRA 內部管控程序的實作範例。這些紀錄欄位、狀態與審查步驟並非 CRA 所強制要求，各列僅為樣本。評估符合性、加以記錄並作成聲明的基本義務，仍具拘束力。

由於程序尚未得出正面結果，聲明暫不簽署，發行也須延後。

若採用 B+C 或 H，同樣的審查還須確認三件事：該版本與已核准的型式一致，或落在已核准品質系統的範圍內；證書或核准的條件已經滿足；所有相關變更都已告知公告機構。

維持評估結果的有效性

您的文件。 技術文件至少須在支援期間內持續更新，聲明也須視需要更新。

依模組 B。 已核准型式或漏洞處理流程的任何變更，凡可能影響符合性或證書效力條件者，都須告知公告機構。這不限於實質修改。這類變更須以證書增補件的形式取得額外核准。公告機構也會定期稽核您的漏洞處理流程。

依模組 H。 品質系統須在整個支援期間內維持有效。擬議變更須告知公告機構，由其決定是否需要重新評估。請預期定期的監督稽核。依執委會 FAQ，將新產品或經實質修改的產品納入該系統，需要由同一機構重新評估。

產品不再符合要求時。 應立即採取矯正措施，或將產品下架或召回。通報遭積極利用的漏洞與重大資安事件，則是另一項獨立的義務。

保存。 技術文件、聲明，以及任何證書、品質系統紀錄與公告機構的決定，都須保存以供主管機關查閱。保存期間為產品投放市場後至少 10 年，或整個支援期間（以較長者為準）。第 13 條第 13 項。

簽署聲明前的檢查

• 所採用的程序是產品類別允許的程序，其條件已經滿足並有紀錄。
• 技術文件載明您將投放市場的確切版本。
• 每項適用要求都有證據，每項您認為不適用的要求都有理由。
• 為取得符合性推定或選擇程序而依據的協調標準，其出處已於《歐盟官方公報》公布，且其未涵蓋的要求已另行處理。其他標準與技術參考文件仍可作為佐證證據。
• 採用 B+C 或 H 時，證書或核准涵蓋此版本，其條件已經滿足，變更也已告知。
• 聲明具備附件 V 的所有要素，使用正確的語言，且簡化聲明提供完整聲明的確切網址。
• CE 標誌已依此類產品的方式正確加註；採用模組 H 時，並附加公告機構的識別號碼。

Meroi Security 如何協助

Meroi Security 可協助您確認適用的程序、整理風險評估與技術文件、在公告機構審查前檢視證據缺口，並準備歐盟符合性聲明。需要公告機構時，正式評估與證書由該機構負責。歡迎了解我們的 CRA 合規服務。