歐盟 CRA（Cyber Resilience Act）產品分類：類別與符合性評估途徑

Julian Meroi · 發布日期 2026年10月23日 · 最近校閱 2026年10月23日

產品依 CRA 所屬的分類，決定其投放歐盟市場前可採用哪些符合性評估程序。評估從產品的核心功能，以及附件 III 與附件 IV 所列類別著手。每一項屬適用範圍的產品，仍須評估其網路安全風險及適用的基本要求。第 7 條、第 8 條、第 13 條第 2 項至第 3 項、第 32 條。

本指南先說明相關規則，再說明我們為一組工業軟體產品組合進行分類時，這些規則如何實際運用。

CRA 的主要要求自 2027 年 12 月 11 日起適用；第 14 條的通報義務自 2026 年 9 月 11 日起適用。分類工作不會使通報義務延後至主要適用日期。請參閱 第 71 條 及我們的 CRA 通報要求指南。

確認要分類的是哪一項產品

首先確認產品屬於 CRA 的適用範圍，包括 第 2 條 所定的排除情形，以及依第 2 條第 5 項所通過的任何授權法令。舉例而言，第 (EU) 2025/1535 號授權法規 將屬第 (EU) 168/2013 號二輪或三輪車輛及四輪車法規適用範圍的產品排除在外，惟設計為可踩踏的 L1e 類車輛不在此限。不屬適用範圍的產品，不應被歸入預設類別。

確認投放市場的硬體或軟體、其預期用途，以及隨附提供的功能。並納入符合第 3 條第 (2) 款的遠端資料處理解決方案：即其軟體由製造商設計與開發，或於製造商責任下設計與開發，且欠缺該處理將使產品無法執行其某項功能的遠距處理。單憑產品連接雲端，並不足以判斷此一問題。第 3 條第 (1) 款至第 (2) 款及第 (23) 款。

請確認是否另有單獨提供的模組。歐盟執委會指引說明，可單獨購買、授權或訂閱的模組本身即為產品，須依各自的核心功能進行分類；僅於整合產品中提供的模組，則以該整合產品為評估對象。歐盟執委會指引，第 145 段及例 61。

CRA 的產品類別

請查閱完整的 附件 III 與 附件 IV 清單。上表範例為類別名稱的縮寫，並非對所有以該名稱銷售之產品的分類結論。歐盟執委會於指引第 137 段及註腳 22 說明預設類別。歐盟執委會指引。

除 CRA 附件外，也須將產品與 執委會第 (EU) 2025/2392 號實施法規 比對。該法規附件 I 說明重要產品，附件 II 說明關鍵產品；這些附件編號與 CRA 對應附件的編號不同。實施法規，第 2 條。

企業內部的低、中、高風險評等，並不決定法定類別。核心功能相同的兩項產品，運作風險可能不同；這些風險會影響所需的安全措施與證據。歐盟執委會 FAQ 以供住宅使用與供關鍵基礎設施使用的 VPN 為例說明此點。第 7 條、第 8 條、第 13 條第 2 項至第 3 項、歐盟執委會 FAQ，第 3.3 節。

判定產品的核心功能

歐盟執委會指引以實現產品預期用途所需的主要特徵與技術能力，來描述核心功能。請一併檢視實際設計、使用說明、銷售資料與技術文件。指引也提醒，不得以不實描述產品能力的方式規避適用的程序。歐盟執委會指引，第 139 段及第 142 至 144 段。

實務評估可依下列步驟進行：

1. 說明預期用途，以及實現該用途所需的能力。
2. 將這些能力與第 2025/2392 號法規中相關的技術說明比對。
3. 說明附加功能與整合組件所扮演的角色。
4. 確認單獨提供的模組是否需要個別評估。
5. 記錄結論、佐證證據及尚未釐清的事實。

這是依據歐盟執委會指引第 139 至 145 段及 CRA 附件 VII 的實作範例。CRA 並未強制要求此五步驟格式。

整合組件與附加功能

第 7 條第 1 項明定，整合重要產品本身，並不會使整體產品適用該組件的符合性評估程序。歐盟執委會指引將相同的推理適用於關鍵組件，並舉出搭載作業系統的智慧型手機為例：僅因內含作業系統，並不會使該手機被歸類為作業系統。整體產品的安全性仍須評估。第 7 條第 1 項、歐盟執委會指引，第 140 至 141 段及第 147 段。

附加功能也不會自動使產品脫離所列類別。指引中的路由器範例包含輔助性的防火牆功能，但產品的核心功能仍是路由。該範例取決於其所述事實，並不表示所有多功能網路設備都屬重要類別 I。歐盟執委會指引，第 152 段及例 63。

指引指出，為決定符合性評估制度，一項產品只有一個核心功能。若兩個類別看似都可能適用，請進一步檢視實際的預期用途與能力。不得僅因某一類別提供較理想的評估途徑而選擇該類別。歐盟執委會指引，第 143 至 145 段。

符合性評估，以及何時需要公告機構

預設類別產品不需要公告機構：可採用內部管控（模組 A）。重要類別 I 產品僅於完整適用協調標準、共同規範或保證等級至少為「顯著」之歐洲網路安全驗證機制時，才可採用內部管控；否則，就其未涵蓋的要求，須由公告機構透過模組 B 接續模組 C 或模組 H 參與。重要類別 II 產品須採模組 B 接續模組 C 或模組 H，或依第 27 條第 9 項取得可取得且適用、保證等級至少為「顯著」之歐洲網路安全驗證機制的驗證。關鍵類別產品於符合第 8 條第 1 項所定條件時，採歐洲網路安全驗證；否則採重要類別 II 的程序。第 32 條、第 8 條第 1 項。

我們的 CRA 符合性評估指南 說明各項程序、應準備的證據，以及完成歐盟符合性聲明與加註 CE 標誌的步驟。

下表摘要 第 32 條。下文所述的自由與開源軟體規定，可能改變附件 III 產品可採用的程序。

歐洲健康資料空間（European Health Data Space，EHDS）法規亦就依該法規分類為電子健康紀錄系統（EHR system）的產品設有特別規定。第 (EU) 2025/327 號法規第 104 條第 3 項 增訂 CRA 第 32 條第 5a 項，將該等產品的 CRA 符合性評估，指向第 (EU) 2025/327 號法規第三章所定的相關程序。規劃電子健康紀錄系統的評估時，請一併核對此規定、該法規第 105 條所定的分階段適用日期，以及 CRA 第 71 條。本站的法規全文呈現的是 CRA 原始公布的版本，尚未納入此項修正。

模組 A 是製造商的內部管控程序。模組 B 接續模組 C，是由公告機構執行歐盟型式檢驗，再依內部生產管控確保符合經核准的型式。模組 H 是基於完整品質保證之符合性，涉及公告機構對品質系統的評估與監督。這些程序涵蓋產品及製造商的相關流程。第 32 條、附件 VIII。

重要類別 I：確認標準涵蓋範圍與附加功能

就協調標準途徑而言，歐盟執委會指引第 149 段指出，必須適用相關且出處已於《歐盟官方公報》公布之協調標準的所有適用要求，且其範圍至少須涵蓋與產品核心功能相關的所有網路安全風險。第 150 至 152 段說明，附加功能可能需要額外措施，而產品仍可採用內部管控。製造商必須證明整體產品的符合性。註腳 25 將此說明延伸至相關的共同規範與驗證機制，但以執委會指定的法令為準。歐盟執委會指引，第 148 至 152 段及註腳 25。

符合性推定涵蓋出處已於《歐盟官方公報》公布之協調標準或相關規範所處理的基本要求，並不自動延伸至風險超出其涵蓋範圍的附加功能。請記錄所適用的參照、範圍及任何額外措施。第 27 條、歐盟執委會指引，第 153 至 155 段。

標準組織發布標準，與其出處刊登於《歐盟官方公報》，是兩個不同的步驟。依賴符合性推定之前，請先確認適用於 CRA 的出處。既有的 IEC 62443 工作可支援技術評估，但其在 CRA 下的法律效力須另行確認。我們的 IEC 62443 與 CRA 指南 說明兩者的關係。第 27 條第 1 項及第 6 項。

關鍵類別產品與歐盟網路安全驗證

產品屬附件 IV 類別，本身並不構成須取得特定等級 EUCC 驗證的普遍要求。第 8 條第 1 項規定由執委會以授權法令，指定相關產品及依已通過且可取得之驗證機制所須的保證等級；第 32 條第 4 項則規定未符合該等條件時的替代程序。選擇途徑時，請確認適用的法令及其涵蓋範圍。第 8 條第 1 項、第 27 條第 9 項、第 32 條第 3 項至第 4 項。

自由與開源軟體

屬附件 III 類別且符合自由與開源軟體資格的軟體，若其第 31 條所述的技術文件 於產品投放市場時 已公開，第 32 條第 5 項允許其採用第 32 條第 1 項所定的程序。此規定涵蓋重要類別 I 與 II 的軟體，並不延伸至附件 IV 的關鍵類別產品，也不免除基本網路安全要求。第 32 條第 5 項。

產品組合分類的實務觀察

我們近期為一家工業軟體製造商，評估數十項軟體產品的適用範圍與分類。這個產品組合涵蓋生產監控與分析、製造與企業系統的附加套件、操作人員訓練、檢測及遠端支援。評估係依據客戶提供的產品資訊與公開資料進行，因此有數項結論仍取決於客戶尚待確認的事實。

依現有事實，超過半數的產品屬預設類別；約三分之一屬預設類別或不屬 CRA 適用範圍，取決於其提供方式；少數為不屬 CRA 適用範圍的人工支援服務；另有少數在尚未釐清的功能問題獲得解答後，可能轉入重要類別。沒有任何產品屬關鍵類別。

有三項經驗適用於多數軟體產品組合。

適用範圍比類別判定更費工夫

約有三分之一的產品，待釐清的問題在於究竟是否提供了具數位元素的產品。歐盟執委會指引說明，軟體若提供給使用者，並在使用者端的電子資訊系統上或作為其一部分運作，即屬適用範圍。僅於遠端執行、使用者只是存取的軟體，例如只透過瀏覽器使用的網頁應用程式，單憑此點並不構成具數位元素的產品。歐盟執委會指引，第 20 至 21 段。

一旦確實提供了產品，若遠端處理的軟體由製造商設計與開發，或於製造商責任下設計與開發，且欠缺該處理將使產品無法執行其某項功能，該遠端處理即屬產品的一部分。對於同時提供地端與雲端選項的產品套件，這項判斷必須逐項功能進行。第 3 條第 (2) 款、歐盟執委會指引，第 8 節。

部分產品是僅在客戶自身組織內部使用的工具。為自身使用而製造的產品並未投放市場，因此 CRA 不適用，除非這些產品也作為單獨產品投放市場。此類工具若提供給客戶或同一集團內的其他法人，該提供行為須另行檢視。若符合第 3 條第 (2) 款的條件，內部工具仍可能構成另一項已提供產品的遠端資料處理；其中一項工具的這個問題仍待釐清。歐盟執委會 FAQ，第 1.5 節、第 3 條第 (2) 款。

決定適用範圍的事實包括：

• 客戶實際取得的是什麼：可執行的軟體、對遠端營運服務的存取，或訓練教材等內容；
• 實際提供的部署選項；
• 由哪一個法人在歐盟提供該產品；
• 哪些產品功能依賴遠端處理，以及由誰設計與開發該處理。

近似類別依核心功能判定

數項產品具有與附件 III 某一類別相似的功能。我們在每一個案中，都將核心功能與執委會第 (EU) 2025/2392 號實施法規附件 I 的技術說明比對。該法規 Recital 5 指出，產品即使能執行所列類別的功能，若其核心功能不同，即不符合該類別的技術說明。實施法規，Recital 5 及附件 I。

每一項結論都取決於軟體在提供時實際的功能、其預期用途，以及可合理預見的使用方式。產品名稱與行銷標籤並未決定任何一項結論。

產品套件、共用組件與風險

• 整合組件。 數套系統包含若單獨銷售可能屬重要產品的組件。主產品依其本身的核心功能分類；同時單獨提供的組件，須另行分類。風險評估仍涵蓋整體產品，包括這些組件。第 7 條第 1 項。
• 共用組件。 相同的軟體、程式庫與遠端服務，在多項產品與多個事業單位中重複出現。建立共用組件登錄表，記錄組件、版本、測試結果、漏洞與支援安排，可讓各產品團隊在確認其涵蓋該產品的版本、組態與介面後，重複使用證據。
• 一項產品，一份評估。 產品清單中常以不同名稱列出同一項產品。重複使用評估及其技術文件之前，請確認這些項目屬於同一產品、同一版本及同一法定製造商。
• 類別與風險是兩回事。 這些產品中有許多屬預設類別，卻支援一旦故障便會造成嚴重後果的生產線。其安全措施取決於第 13 條第 2 項至第 3 項就每一項產品（無論類別為何）所要求的網路安全風險評估。我們的 CRA 網路安全風險評估指南 說明如何進行這項評估。第 13 條第 2 項至第 3 項。

將結論與技術文件一併保存

第 31 條要求以文件說明產品及製造商的流程如何符合基本要求。附件 VII 所定資訊包括預期用途、架構、風險評估、所適用的標準或其他解決方案，以及測試報告。請將分類理由與途徑決定，與上述證據一併保存。為每一項產品建立分類紀錄，是整理推理過程的實務做法，可作為法定文件的補充。我們會記錄：

• 製造商的法人名稱、產品名稱與版本；
• 預期用途，以及實現該用途所需的能力；
• 部署與提供模式，包括單獨提供的組件；
• 產品範圍內的遠端處理，以及產品所依賴的外部服務；
• 所比對的類別，以及所依據的技術說明；
• 結論、其所依據的證據，以及尚未釐清的事實。

此紀錄格式是我們的實作方式。CRA 並未規定這些欄位。第 31 條、附件 VII。

當產品變更影響紀錄的依據時，請重新檢視紀錄。第 31 條第 2 項要求技術文件至少於支援期間內視情況持續更新。預期用途的修訂，也可能與第 3 條第 (30) 款所定的實質修改有關，其影響須就個別變更加以評估。第 31 條第 2 項、第 3 條第 (30) 款。

我們的 CRA 技術文件指南 說明技術文件的其餘部分：附件 VII 的內容、從風險到測試結果的可追溯性，以及保存要求。

Meroi Security 可協助評估產品的適用範圍與分類、確認適用的符合性評估途徑，並準備風險評估與技術證據。若需要公告機構，其正式評估是程序中的另一個獨立部分。歡迎參閱我們的 CRA 合規服務。