歐盟 CRA（Cyber Resilience Act）技術文件：建立證據檔案

Julian Meroi · 發布日期 2026年10月23日 · 最近校閱 2026年10月23日

具數位元素的產品投放歐盟市場前，其製造商必須製作技術文件，說明產品本身及製造商的漏洞處理流程如何符合附件 I 所定的基本網路安全要求。附件 VII 列出技術文件至少應包含的內容。本指南說明如何針對特定產品版本彙整證據、對照附件 VII 進行檢查，並持續保持文件更新。第 31 條、第 13 條第 12 項、附件 VII。

這項義務自 2027 年 12 月 11 日起適用。於該日前投放市場的產品，僅於自該日起受實質修改時，才適用 CRA 的要求。第 14 條的通報義務則已經適用，包括這些較早投放市場的產品。第 71 條第 2 項、第 69 條第 2 項至第 3 項、CRA 通報要求指南。

技術文件必須證明什麼

依第 31 條第 1 項，技術文件應包含製造商為確保產品及其所建立之流程符合附件 I 所採用方法的一切相關資料或細節，並至少包含附件 VII 所定、適用於該產品的要素。因此，技術文件涵蓋兩個面向：產品本身（對照附件 I 第一部分），以及漏洞處理流程（對照附件 I 第二部分）。第 31 條第 1 項、附件 I。

市場監督機關可以要求提供技術文件，因此歐盟執委會的常見問題集（FAQ）建議技術文件應完整且清楚。CRA 並未針對技術文件訂定單一通用的檔案格式或軟體工具。唯一指定的格式，是下文所述專為微型企業與小型企業設計的簡化格式：選擇採用該格式的企業，必須使用執委會所指定的表格。單靠一組政策文件或一次通過的漏洞掃描，無法說明特定產品如何符合各項要求。歐盟執委會 FAQ，第 6.6 節。

界定技術文件涵蓋的產品與版本

首先確定技術文件所描述的對象。附件 VII 第 1 點要求說明產品的預期用途、影響基本要求符合性的軟體版本；若為硬體產品，另須附上顯示外部特徵、標示與內部配置的照片或圖示；並包含附件 II 所定的使用者資訊與說明。附件 VII 第 1 點、附件 II。

網路安全風險評估也需要相同的範圍界定。第 13 條第 3 項要求風險評估依據產品的預期用途與可合理預見之使用方式、使用條件（例如運作環境或所欲保護之資產），並考量產品的預期使用期間。請記錄該版本包含哪些硬體、韌體、軟體與隨附組件，以及哪些遠端資料處理屬於產品的一部分。我們的 CRA 產品分類指南 說明如何確定產品範圍及其類別。第 13 條第 3 項。

維持此一範圍穩定的實務做法，是建立版本基準：在彙整證據時，固定記錄產品名稱與型號、版本識別碼，以及隨附的確切軟體版本。

這是依據 CRA 附件 VII 第 1 點及第 13 條第 3 項的實作範例。CRA 並未強制要求版本基準、特定的版本識別方式、Git commit 參照或特定工具。

對照附件 VII 檢查既有證據

多數團隊手上已有部分所需資料：架構文件、風險登錄表、測試報告、資安政策。下表將附件 VII 各點對應到判斷既有資料是否足夠的問題。完整法規條文請見 附件 VII 頁面。

有兩點需要特別留意。支援期間應反映產品的預期使用期間，並考量使用者的合理期待與產品性質；除非產品預期使用期間較短，支援期間至少為五年，製造商並應記錄決定支援期間所依據的資訊。為其他框架準備的既有證據，例如 IEC 62443 評估或 NIST SSDF（英文） 實務，只能在其實際涵蓋的產品、版本與流程範圍內重複使用。符合性推定僅來自協調標準（其出處已於《歐盟官方公報》公布）、共同規範及相關驗證機制，且僅限於其涵蓋的要求。第 13 條第 8 項、第 27 條。

串連風險、要求、措施與測試結果

審查技術文件的人，需要能從每一項要求一路追溯到對應的證據。第 13 條第 3 項要求風險評估載明附件 I 第一部分第 (2) 款的要求是否適用於產品、若適用則以何種方式適用，以及如何依據風險評估加以實施；並應載明製造商將如何適用第一部分第 (1) 款及第二部分的漏洞處理要求。某項基本要求不適用時，第 13 條第 4 項要求在技術文件中提出明確的理由。我們的 CRA 網路安全風險評估指南 說明如何逐項檢視附件 I 的要求並記錄這些決定。第 13 條第 3 項至第 4 項。

有些要求可能因產品的預期用途而只能部分達成。歐盟執委會指引舉例：某產品必須與僅支援較舊、較不安全通訊協定的既有系統互通。在這種情況下，製造商應記錄此一限制、評估相關風險，並採取替代或補償性的措施。若產品可同時支援兩種協定，則應實作安全的協定並預設啟用。指引也期待製造商定期重新評估這些限制是否仍然存在。這只適用於真正的限制，不能因為方便而略過某項要求。歐盟執委會指引，第 32 段及例 10。

可追溯性鏈可以讓這些關係一目了然：要求、已識別的風險、已實施的措施或不適用理由，以及驗證該措施的測試報告。

這是依據 CRA 第 13 條第 3 項至第 4 項、附件 VII 第 3 點與第 6 點，以及歐盟執委會指引第 32 段的實作範例。CRA 要求風險評估、不適用理由與測試報告，但並未強制要求這種追溯鏈格式或特定測試方法。

範例：單一發行版本的證據索引

「範例產品 2.3」是一個假設的連網裝置，搭載韌體 2.3.0，並隨附一個行動應用程式。假設其產品類別已經確定，以下內容不取決於其類別。以下是其證據索引中的四列：

這是依據 CRA 第 31 條、第 13 條及附件 VII 的實作範例。CRA 並未強制要求這些索引欄位、負責人或此一工作流程，此索引也不是官方表格。

最後一列只顯示單一版本中單一措施的驗證結果。一份測試報告無法證明產品整體符合附件 I；這份索引的價值，正在於清楚呈現哪些要求仍缺乏證據。

符合性評估前檢查技術文件

在開始符合性評估程序之前，請確認技術文件內部一致：

• 產品名稱、型號與版本識別碼在產品說明、風險評估、SBOM 與測試報告中完全一致；
• 第一部分第 (2) 款的每一項要求均已處理，或已說明不適用的理由；
• 漏洞處理證據涵蓋 SBOM、協調式漏洞揭露政策、通報聯絡管道與安全的更新散布；
• 已列出所適用的標準與規範，並註明適用的部分；
• 尚未解決的發現事項均已記錄其狀態。

此檢核表是依據附件 VII 及第 13 條第 3 項至第 4 項的實作範例。CRA 並未強制要求這份內部檢核表；技術文件的內容與適用的符合性評估程序仍屬強制要求。

彙整技術文件並不等於完成符合性評估。製造商應依產品類別，自行執行或委託執行第 32 條所定的程序。涉及公告機構時，與該程序有關的技術文件及往來文件，應以公告機構設立所在會員國的官方語言，或以該機構可接受的語言製作。第 32 條、第 31 條第 4 項。

我們的 CRA 符合性評估指南 說明各項程序，以及應準備的證據。

歐盟符合性聲明應在程序證明符合後製作，其副本隨後即成為技術文件的一部分。事先準備的聲明應清楚標示為草稿。第 13 條第 12 項、第 28 條。

保存、更新與提供技術文件

更新。 技術文件應至少於支援期間內視情況持續更新。製造商也應記錄產品的相關網路安全事項，包括其所知悉的漏洞，並於適用時更新風險評估。就量產產品而言，設計、生產或所適用標準的變更都必須納入考量。供應商為某個組件提供證書或報告時，請先確認其涵蓋的版本與範圍，再據以使用。第 31 條第 2 項、第 13 條第 7 項、第 13 條第 14 項。

保存。 更新與保存是兩項不同的義務。技術文件與歐盟符合性聲明，應於產品投放市場後至少 10 年，或於支援期間內（以較長者為準），保存以供市場監督機關查閱。這也有別於安全更新的可取得義務：每一項安全更新應於發布後至少維持可取得 10 年，或維持至支援期間結束為止，以較長者為準。第 13 條第 13 項、第 13 條第 9 項。

主管機關的要求。 依附具理由之要求，製造商應以紙本或電子形式、以該機關易於理解的語言，向市場監督機關提供證明符合性所必要的資訊與文件。FAQ 確認技術文件本身可以任何語言撰寫。第 13 條第 22 項、歐盟執委會 FAQ，第 6.6 節。

客戶與公眾。 根據 FAQ，並無義務向客戶或公眾提供技術文件。例外情形是屬附件 III 類別（重要類別 I 或重要類別 II）的自由與開源軟體之製造商，依第 32 條第 5 項採用第 32 條第 1 項所定程序之一時，必須於產品投放市場時公開技術文件。附件 II 的使用者資訊與說明，以及歐盟符合性聲明（完整版本，或載有完整版本網址的簡化版本），則依其他義務隨產品提供。第 32 條第 5 項、第 13 條第 18 項、第 13 條第 20 項。

SBOM。 SBOM 是漏洞處理證據的一部分，應納入技術文件；附件 I 第二部分第 (1) 款要求以通用的機器可讀格式製作，且至少涵蓋最上層相依套件。我們的 CRA 軟體材料清單（SBOM）要求指南 說明如何建立、檢查與分享 SBOM。附件 VII 第 8 點另外規定，於適用時，市場監督機關為查核符合性而附具理由要求時，應提供 SBOM。主管機關也可能為專責行政合作小組（ADCO）決定進行的全歐盟依賴性評估而要求提供 SBOM。除上述第 32 條第 5 項的情形外，是否與使用者分享 SBOM 由製造商自行決定；若決定分享，使用者資訊中必須說明取得位置。第 63 條要求所有參與適用 CRA 的各方，對其取得的資訊恪守保密義務，特別保護機密營業資訊與營業秘密（包括原始碼），但該條所定的例外情形不在此限。附件 I 第二部分、第 13 條第 25 項、附件 II 第 9 點、第 63 條。

SBOM 只是漏洞處理證據的一部分。我們的 CRA 漏洞處理指南 說明完整流程，從接收通報到發布安全更新並記錄每項決定。

微型企業與小型企業的簡化格式

微型企業與小型企業得以簡化格式提供附件 VII 的所有要素。執委會以實施法令明定該格式。選擇採用簡化格式的企業必須使用該格式，公告機構也必須接受。此機制僅適用於微型企業與小型企業，內容要求維持不變。在依賴此機制之前，請先確認明定該格式的實施法令是否已經通過，以及適用哪一個版本。第 33 條第 5 項。

Meroi Security 如何協助

Meroi Security 可對照附件 VII 評估既有的技術文件，為每一個發行版本整理產品與流程證據，並為適用的符合性評估程序做好準備。若需要公告機構，其評估則是另一個獨立步驟。歡迎參閱我們的 CRA 合規服務。