歐盟 CRA（Cyber Resilience Act）網路安全風險評估：第 13 條與附件 I 實務

Julian Meroi · 發布日期 2026年10月23日 · 最近校閱 2026年11月3日

每一項具數位元素的產品之製造商，都必須評估產品的網路安全風險，並在規劃、設計、開發、生產、交付與維護的全過程中運用評估結果，目的在於降低網路安全風險、預防事件發生並減輕其影響，包括對使用者健康與安全的影響。無論產品屬於哪一類別，這項義務都適用於所有屬適用範圍的產品。第 13 條第 1 項至第 2 項、歐盟執委會 FAQ，第 4.1.1 節。

風險評估決定附件 I 的哪些產品要求適用、以及如何達成，並於產品投放市場時納入技術文件。本指南說明風險評估必須包含哪些內容、如何逐步進行，並附上一個假設範例。第 13 條第 4 項。

CRA 的主要義務自 2027 年 12 月 11 日起適用。於該日前投放市場的產品，僅於自該日起受實質修改時，才適用其要求；第 14 條的通報義務則已經適用。第 71 條第 2 項、第 69 條第 2 項至第 3 項。

風險評估必須包含哪些內容

第 13 條第 3 項訂有最低要求。文件化的風險評估必須：

• 依產品的預期用途與可合理預見之使用、使用條件（例如運作環境或所欲保護之資產），以及產品的預期使用期間，分析網路安全風險；
• 載明附件 I 第一部分第 (2) 款的各項安全要求是否適用於產品、若適用則以何種方式適用，以及如何依據評估加以實施；
• 載明製造商如何適用附件 I 第一部分第 (1) 款，即依風險確保適當程度之網路安全的要求；
• 載明製造商如何適用附件 I 第二部分的漏洞處理要求。

風險評估必須文件化，並於支援期間內視情況更新。第 13 條第 3 項、附件 I。

CRA 並未規定特定的評估方法。依歐盟執委會 FAQ，所採方法應讓市場監督機關能夠查核風險如何被識別、評估與緩解；威脅模型也應符合產品的預期用途與可合理預見之使用：供關鍵基礎設施使用的產品，可能須考量具國家背景的進階攻擊者；消費性產品的風險輪廓則通常較低。歐盟執委會 FAQ，第 4.1.2 節。

界定評估的對象

整體產品。 評估涵蓋整個具數位元素的產品，包括屬於產品一部分的遠端資料處理解決方案。我們的 CRA 產品分類指南 說明如何確定產品範圍。第 3 條第 (1) 款、歐盟執委會指引，第 178 段。

預期用途、可合理預見之使用與誤用。 CRA 定義了三個相關概念：

• 預期用途：製造商所預定的用途，包括其使用說明、銷售資料與技術文件中所載明的使用情境與條件；
• 可合理預見之使用：未必是所載明的用途，但可能由可合理預見的人類行為或技術操作、互動所產生的使用方式；
• 可合理預見之誤用：不符合預期用途、但可能源自可合理預見的人類行為或與其他系統互動的使用方式。

評估必須涵蓋前兩者。依預期用途使用或於可合理預見之誤用條件下，可能導致重大網路安全風險的情況，也必須載明於使用者資訊中。FAQ 舉例說明：工業感測器等專業產品，最終可能由非專業人士使用。第 3 條第 (23) 款至第 (25) 款、附件 II 第 5 點、歐盟執委會 FAQ，第 4.1.4 至 4.1.5 節。

產品變體。 同一產品系列的變體，若架構、與安全相關的設計及預期用途相同，且面臨相同風險，可共用一份風險評估。通訊介面、軟體堆疊、更新機制或遠端連線方面的差異，則必須反映在評估中。歐盟執委會指引，第 174 至 177 段。

逐項檢視附件 I 的要求

附件 I 第二部分的漏洞處理要求，於整個支援期間內適用；第一部分第 (2) 款的產品要求，則依風險評估的結果決定是否適用。某項要求不適用時，技術文件中必須提出明確的理由。FAQ 舉出兩種典型理由：該要求與產品性質不相容，或沒有需要緩解的風險，例如產品的預期用途與可合理預見之使用不涉及任何個人資料時，與個人資料保護相關的措施。第 13 條第 4 項、歐盟執委會 FAQ，第 4.1.3 節。

此表中的問題，是依據第 13 條第 3 項及附件 I 的實作範例。CRA 並未規定這些問題；完整法規條文請見 附件 I 頁面，並以法規條文為準。

有些要求可能因產品的預期用途而只能部分達成，例如產品必須與僅支援較舊協定的既有系統互通。歐盟執委會指引期待製造商記錄此一限制、評估相關風險、採取補償措施，並定期重新評估該限制是否仍然存在。我們的 CRA 技術文件指南 說明如何記錄。歐盟執委會指引，第 31 至 32 段及例 10。

判斷殘餘風險何時可以接受

殘餘風險無法完全消除，但在 CRA 下，判斷標準並非企業自身的風險偏好，而是產品在其預期用途與可合理預見之使用下，是否依風險確保適當程度的網路安全。歐盟執委會指引指出，企業內部的風險容忍度、商業策略與成本考量，都與此判斷無關；CRA 也不允許將風險轉嫁給使用者或第三方，以彌補設計上的不足。歐盟執委會指引，第 157 至 161 段。

風險處理可包括：

• 限縮攻擊面；
• 實施技術防護措施；
• 限制或調整功能；
• 更明確地界定預期用途；
• 透過風險溝通、使用者指引或介面設計，引導可合理預見之使用。

使用者資訊有助於安全部署，並向使用者說明殘餘風險，但不能取代產品本身的措施。指引舉出兩個例子：一款未具備防範實體攻擊措施的工業感測器，其預期用途限於受信任的環境，並在使用說明中清楚載明；以及一款仰賴作業系統成熟內建加密功能的企業應用程式。風險若無法獲得適當處理，就必須變更設計、功能或預期用途。歐盟執委會指引，第 160 至 163 段及例 66 至 67。

附件 I 第一部分第 (1) 款涵蓋第一部分其他要求尚未處理的已識別風險。所有相關風險都已透過其他要求處理時，即符合第 (1) 款；否則須採取額外的產品措施。歐盟執委會指引，第 164 至 166 段。

來自產品外部與來自組件的風險

外部風險。 評估必須考量源自產品外部的風險，例如網路、後端系統與服務中斷。CRA 並不規範這些外部基礎設施；製造商應透過產品層級的措施處理這些風險。指引舉出的例子包括：對遠端指令進行密碼學驗證、檢查組態變更的完整性、在出現異常行為時產生安全紀錄或警示，以及確保服務中斷不會使產品陷入不安全的狀態。歐盟執委會指引，第 167 至 169 段及第 172 段。

第三方組件。 整合至產品中的組件屬於風險評估的一部分；第 13 條第 5 項另外規定注意義務，確保這些組件不致損害產品的網路安全。實務上，請先確認產品需要每個組件提供什麼，例如密碼學功能、更新機制或安全通訊，再依風險以組件製造商的文件或自行測試，查核組件確實提供這些功能。第 13 條第 5 項、歐盟執委會指引，第 170 至 173 段。

標準。 適用協調標準並不能取代風險評估。FAQ 指出，製造商仍須負責評估所有風險，並確認標準是否涵蓋這些風險；若僅涵蓋部分，則須採用其他規範或解決方案。下一節說明 EN 40000 系列標準的定位。歐盟執委會 FAQ，第 4.1.7 節、第 27 條。

EN 40000 標準如何支援風險評估

依歐盟執委會的標準化請求 M/606，歐洲標準組織正在制定一系列跨產品類別適用的水平標準，即 EN 40000「Cybersecurity requirements for products with digital elements」。附件 III 與附件 IV 所列產品的產品類別（垂直）標準，也同步制定中。M/606 工作計畫，CEN、CENELEC 與 ETSI。

證據欄是我們整理工作的建議，依據第 13 條、附件 I 及已公布的適用範圍。它並未重現或取代標準本身的要求。

以下狀態依 CEN 與 DIN 於 2026 年 10 月 23 日的紀錄：

• EN 40000-1-2:2026 已於 2026 年 11 月 2 日批准。2026 年 11 月 3 日，CEN 紀錄顯示其狀態為已核准，正式文本預定於 2026 年 11 月 18 日提供，各國最遲應於 2027 年 5 月 31 日前完成國家層級的實施。較早的草案名稱為「Principles for cyber resilience」。CEN 紀錄載明，預期不會依 CRA 刊登於《歐盟官方公報》。CEN 專案紀錄，EN 40000-1-2。
• prEN 40000-1-3 正在核准中，CEN 紀錄載明預期將刊登於《歐盟官方公報》。CEN 專案紀錄，prEN 40000-1-3。
• EN 40000-1-4 仍在制定中；M/606 工作計畫（2025 年 4 月版）將其通過期限訂為 2027 年 10 月 30 日。草案以專為無線電設備制定的 EN 18031 系列作為參考依據。DIN 專案紀錄。

標準需經過數個不同步驟：由歐洲標準組織通過、由國家標準機構發布，以及其出處刊登於《歐盟官方公報》。只有最後一步才產生符合性推定，且僅限於標準所涵蓋的要求。依賴任何一部分之前，請先查核最新紀錄。第 27 條第 1 項。

搭配自身評估使用 EN 40000-1-2。 EN 40000-1-2 說明涵蓋產品整個生命週期、以風險為基礎的流程，為本指南所述各步驟提供架構：界定範圍、預期與可合理預見之使用、運作環境、資產、依賴關係與信任邊界；識別並評估風險；決定附件 I 哪些要求適用；選擇措施並說明理由；查證措施有效；以及持續更新評估。但它無法代替您完成評估。標準委員會是為一般產品或某一產品類別撰寫標準，而您的評估所針對的是您的產品、其使用者及其環境。僅憑類別標籤或一份已完成的檢核表，本身並不能證明產品的風險已獲得適當處理。

從風險到要求與流程。 風險評估的結果會延續到另外兩項工作。就附件 I 第一部分第 (2) 款的產品要求而言，EN 40000-1-4 正被制定為一組附評估準則的要求，依已識別的風險加以選擇；垂直標準則針對特定產品類別增加或強化要求。就附件 I 第二部分的流程而言，EN 40000-1-3 涵蓋支援期間內的漏洞處理。來自漏洞處理、測試與供應商的資訊，再回饋到風險評估中。各垂直標準與 EN 40000-1-4 之間的交互參照程度，將由最終版本確定，請以已發布的版本為準。

重複使用既有證據。 來自其他框架的安全開發與測試證據，若涵蓋相同的產品、版本與風險，可作為這項工作的輸入。依無線電設備的 EN 18031 所完成的工作，自然可作為 EN 40000-1-4 的輸入。IEC 62443 評估也可在其本身範圍內提供助益；我們的 IEC 62443 與 CRA 指南 說明如何運用。這兩個系列都不等同於 EN 40000，因此請將每一項證據對應到其所支持的具體 CRA 要求。至於如何證明符合性，則取決於產品類別，請參閱我們的 CRA 產品分類指南。

範例：搭配雲端儀表板的連網感測器

「範例感測器 1.0」是一款假設的商業建築連網環境感測器，搭載韌體 1.0，並隨附製造商開發的雲端儀表板；感測器需要該儀表板才能回報讀數，因此假設儀表板屬於產品的一部分。其預期用途是由建築技術人員安裝於建築的營運網路。假設其產品類別已經確定，以下內容不取決於其類別。

單一風險，從假設追溯到審查。 以下呈現一項處理決定背後的推理過程。

• 產品與假設： 韌體 1.0 與儀表板 1.0 版。可合理預見建築網路會與辦公設備及訪客設備共用。
• 資產與威脅： 感測器的組態，決定讀數的傳送對象及觸發哪些警報。位於建築網路上的攻擊者，攔截或注入儀表板與感測器之間的組態訊息。
• 評估： 這項攻擊只需存取區域網路，在此情境下可合理預見，因此具有相當可行性。偽造的組態可能讓警報失效或使資料被轉送他處，對建築營運者的影響重大。若不處理，此風險無法接受。
• 適用的要求： 附件 I 第一部分第 (2) 款第 (f) 目，指令與組態的完整性；以及第 (d) 目，防止未經授權之存取。
• 處理決定： 以儀表板簽署服務所持有的金鑰簽署每一則組態訊息。簽署內容包含感測器的裝置識別碼，以及每次變更都會遞增的組態版本號碼。感測器僅於簽章驗證通過、識別碼為其本身、且版本高於其上次套用的版本時才套用訊息，並在重新啟動後仍保留該版本；其他訊息一律拒絕並記錄。簽章證明訊息來自儀表板且未遭竄改，版本檢查則防止舊的、具有效簽章的訊息被重送。
• 查證與預期證據： 從同一網路上的裝置，發送未簽署及遭竄改的訊息、重送先前已簽署的訊息，並發送簽署給另一台感測器的訊息；預期結果是感測器拒絕並記錄每一則訊息，且保留其現行組態，包括重新啟動之後。預計提出的證據：測試計畫，以及執行後針對韌體 1.0 的測試報告。
• 殘餘風險與重新審查時機： 此措施無法處理儀表板簽署服務本身遭入侵的情形，那將讓攻擊者能夠簽署惡意組態。這是另一項風險，應針對作為產品一部分的儀表板進行評估，並採取其本身的措施，例如隔離簽署服務，以及控管誰能核准組態變更。當金鑰管理方式改變、新增訊息類型，或測試、漏洞通報顯示存在安全缺陷時，應重新審查評估。

以下為同一份評估其餘部分的摘要。各列依第一部分第 (2) 款各目的順序，每一目至少列出一項風險；這些僅為樣本，實際的評估通常會在每一目下識別出多項風險，並以與感測器相同的深度檢視儀表板。

這是依據 CRA 第 13 條第 3 項及附件 I 的實作範例。CRA 並未強制要求這種追溯方式、這些欄位、任何評分方式或這些措施；所列證據為預計提出、尚未完成，且這些列僅為樣本，並不構成完整的風險評估。

「範例感測器 1.0」的完整評估，將記錄針對感測器與儀表板識別出的每一項風險，就第一部分第 (2) 款中不適用的各目說明理由，說明如何適用第一部分第 (1) 款及第二部分，並記錄對第三方組件所盡的注意義務。我們的 CRA 軟體材料清單（SBOM）要求指南 說明如何建立並檢查上表第一列所依據的組件清冊。

實務上的證據樣貌。 就產品而言，請保存架構及其假設、每項風險決定背後的推理、適用與不適用的決定、設計與組態紀錄，以及產品測試結果。就流程而言，請保存漏洞接收、分流、修補、揭露及更新散布的產出。當新的漏洞通報、測試結果或供應商資訊出現時，請予以記錄，更新風險評估及受影響的措施，並更新技術文件。我們的 CRA 技術文件指南 說明如何整理這份文件。第 13 條第 7 項。

持續更新評估

風險評估於支援期間內視情況更新。製造商也必須系統性記錄產品的相關網路安全事項，包括其所知悉的漏洞及第三方提供的相關資訊，並於適用時更新評估。FAQ 補充說明，附件 I 第二部分第 (3) 款所要求之定期安全測試與審查的結果，應回饋到評估中；若評估仰賴使用者資訊來處理某項風險，該資訊也必須一併更新。第 13 條第 3 項、第 13 條第 7 項、歐盟執委會 FAQ，第 4.1.6 及 4.1.8 節。

CRA 適用前即已設計的產品

於 2027 年 12 月 11 日前設計、但於該日後投放市場的產品，不一定需要重新設計。風險評估決定第一部分的哪些要求適用及如何適用。既有措施若已處理相關風險，製造商可據以依賴；若設計歷程無法顯示風險如何被考量，評估就必須證明產品現有的措施已足夠。符合性評估、歐盟符合性聲明與 CE 標誌仍然適用。歐盟執委會指引，第 33 至 36 段。

Meroi Security 如何協助

Meroi Security 可依第 13 條及附件 I 執行或審查產品的網路安全風險評估、記錄適用性與相關理由，並將各項措施與技術文件及符合性評估連結。歡迎參閱我們的 CRA 合規服務。