什麼是歐盟授權代表 (EU Authorized Representative)?
歐盟授權代表 (Authorized Representative, AR) 是設立於歐盟境內的自然人或法人，由非歐盟製造商透過書面委任，代表其處理特定的法規事務。歐盟授權代表是製造商與歐盟主管機關之間的重要橋梁。
網路韌性法案（Cyber Resilience Act，CRA）、無線電設備指令（Radio Equipment Directive，RED）及 歐盟人工智慧法（AI Act）均允許製造商或供應商透過書面委任指定歐盟授權代表。AI Act 規定，非歐盟的高風險 AI 系統供應商，以及通用型 AI 模型供應商（部分開源模型除外），必須指定歐盟授權代表。此外，歐盟第 (EU) 2019/1020 號法規（Market Surveillance Regulation）第 4 條要求，屬於該條第 5 項所列法規涵蓋的產品，必須有一個設立於歐盟境內的負責經濟營運者。該清單包含 RED、電磁相容指令（EMC Directive，2014/30/EU）、低電壓指令（Low Voltage Directive，2014/35/EU） 及 RoHS 指令（RoHS Directive，2011/65/EU），但不包含 CRA。對於沒有自設歐盟實體的製造商而言，指定歐盟授權代表是符合此要求最直接的方式。
為什麼非歐盟製造商需要歐盟授權代表?
部分歐盟法規要求，投放至歐洲市場的產品必須有一個設立於歐盟境內、主管機關可聯繫的負責經濟營運者。第 (EU) 2019/1020 號法規第 4 條對該條第 5 項所列法規涵蓋的產品設有此義務：此類產品須有設立於歐盟的經濟營運者為其負責，方可投放市場。許多電機電子產品屬於 RED、電磁相容指令、低電壓指令或 RoHS 指令的規範範圍（以各指令的適用範圍為準），因此需要此類經濟營運者。通用產品安全法規（General Product Safety Regulation，GPSR） 對其涵蓋的消費性產品適用相同規定。如果您在歐盟以外製造這些產品，該經濟營運者可以是您的進口商、歐盟授權代表，或在歐盟境內沒有其他此類經濟營運者時，由 fulfilment service provider 擔任。CRA 本身並未設此義務：依 CRA 第 18 條，指定歐盟授權代表屬於選擇性做法。
在此義務適用的情況下，若缺少歐盟境內的經濟營運者，您的產品可能在海關遭到攔截、被從網路平台下架，或面臨執法行動卻沒有在地窗口協調應對。對於這些產品，擁有可靠的歐盟在地據點是市場准入的必要條件。
歐盟授權代表在 CRA 下的角色
網路韌性法案（Cyber Resilience Act，第 (EU) 2024/2847 號法規）第 18 條允許製造商透過書面委任指定歐盟授權代表。該委任必須至少涵蓋以下權限：
- 文件保存：在產品投放市場後至少 10 年內（或支援期間，以較長者為準），保存歐盟符合性聲明及技術文件，供市場監督機關查閱。
- 資訊提供：應市場監督機關的合理要求，提供所有必要的資訊與文件，以證明產品的合規性。
- 與主管機關合作：就委任範圍內產品相關的風險處理措施，與市場監督機關配合。
歐盟授權代表並不承擔製造商核心的產品開發與安全義務（第 13(1) 至 (11) 條、第 13(12) 條第一款及第 13(14) 條明確排除於委任範圍外）。製造商仍然對產品設計、開發、漏洞處理及安全更新負全責。
涉及歐盟授權代表的相關法規
多項歐盟法規要求或允許非歐盟製造商指定歐盟授權代表：
- 網路韌性法案（Cyber Resilience Act，CRA） – 第 (EU) 2024/2847 號法規。第 18 條允許製造商透過書面委任為具數位元素的產品指定歐盟授權代表。CRA 使用「得」一詞，因此指定歐盟授權代表屬於選擇性做法。CRA 第 66 條將 CRA 增列於第 (EU) 2019/1020 號法規附件 I，使 CRA 產品適用該法規的市場監督規定，但並未將 CRA 納入該法規第 4 條第 5 項的清單；該清單所列法規才適用設立於歐盟的經濟營運者要求。
- 無線電設備指令（RED） – 第 2014/53/EU 號指令。第 11 條同樣允許製造商透過書面委任指定歐盟授權代表。對於非歐盟的無線電及無線設備製造商，歐盟授權代表負責保存符合性聲明及技術文件，並與各國市場監督機關合作。
- 歐盟人工智慧法（AI Act） – 第 (EU) 2024/1689 號法規。與 CRA 和 RED 不同，AI Act 有明確強制要求：第 22 條要求非歐盟的高風險 AI 系統供應商在將系統投放歐盟市場前，必須指定歐盟授權代表。第 54 條對非歐盟的通用型 AI 模型供應商設有類似義務，但以自由開源授權釋出且不具系統性風險的特定模型除外。
- 通用產品安全法規（GPSR） – 第 (EU) 2023/988 號法規。第 16 條要求，GPSR 涵蓋的消費性產品須有一個設立於歐盟的「負責人」（即設立於歐盟的經濟營運者）為其負責，方可投放市場。此角色可由設立於歐盟的製造商、進口商、歐盟授權代表擔任，或在歐盟境內沒有其他此類經濟營運者時，由 fulfilment service provider 擔任。依第 2 條第 1 項，受歐盟協調法規特定要求規範的產品原則上不適用第 16 條。自 2027 年 12 月 11 日起，CRA 第 11 條對具數位元素的產品設有例外：就 CRA 未涵蓋的面向與風險，若該產品未受其他歐盟協調法規所訂特定安全要求規範，仍適用第 16 條。個別產品是否屬於 GPSR 的適用範圍，仍需個案評估。該法規自 2024 年 12 月 13 日起施行。
CRA 重要合規時程
- 2026 年 6 月 11 日：符合性評估機構通知要求生效。
- 2026 年 9 月 11 日：漏洞與事件通報義務開始強制施行。製造商須透過 ENISA 的單一通報平台，向指定的 CSIRT 通報遭積極利用的漏洞。
- 2027 年 12 月 11 日：CRA 所有要求全面適用。具數位元素的產品須符合所有基本網路安全要求，並取得 CE 標誌後方可投放歐盟市場。
Meroi Security 如何擔任您的歐盟授權代表
我們在荷蘭設立公司，並於荷蘭工商會 (KVK) 完成登記。作為您指定的歐盟授權代表，我們依據正式書面委任提供以下服務：
- 法規聯絡窗口：我們擔任您在荷蘭及歐盟各國市場監督機關的歐盟在地聯絡人。
- 文件管理：我們保存並維護您的歐盟符合性聲明、技術文件及 CE 標誌紀錄，確保隨時可供主管機關查閱。
- 主管機關對應：我們代表您接收並回覆市場監督機關的要求，與您的團隊協調提供準確且即時的資訊。
- 矯正措施協調：若主管機關發現您的產品存在風險，我們協調您與相關歐盟機構之間的應對流程。
- 合規監控：我們追蹤可能影響您產品的法規變動，並通知您適用標準或執法措施的更新。
我們的服務聚焦於適用法規所定義的歐盟授權代表特定義務。我們不代您進行產品開發、測試或安全工程，但可為您接洽我們的 CRA 合規顧問服務，提供更全面的支援。
我們的所在地與歐盟據點
Meroi Security 在荷蘭設立公司，並於荷蘭工商會完成登記，為您的歐盟授權代表需求提供穩定的歐盟法律基礎。我們的荷蘭登記使我們能直接對接當地市場監督基礎設施，並位於歐盟法規框架之中。
我們也在台灣設有營運據點，這代表我們了解亞洲製造與產品開發的實際狀況。這有助於我們彌合非歐盟製造商與歐洲主管機關之間有時存在的溝通落差。
登記地址：
Meroi Security
Pastor van Arslaan 6A
5622CK Eindhoven
Netherlands
KVK-nummer： 77783077
BTW-id： NL003236261B11
服務範圍與限制
在此先說明這項服務涵蓋的範圍：擔任歐盟授權代表意味著我們代表您承擔特定且明確定義的法規義務，但這不會將製造商的責任轉移給我們。您仍須對產品安全、漏洞管理、更新發布及 CRA 與相關法規對製造商施加的所有其他義務負責。
我們也不是公告機構（Notified Body） 或符合性評估機構。如果您的產品需要第三方符合性評估（例如 CRA 第二類重要產品或關鍵產品），該評估必須由公告機構執行；若採用歐洲網路安全驗證機制，則由該機制下的符合性評估機構執行。我們可以協助協調該流程，但我們不執行評估本身。
與我們討論您的歐盟授權代表需求
如果您是設立於歐盟以外的製造商，需要指定歐盟授權代表，歡迎與我們聯繫。我們將檢視您的產品組合、討論適用的法規，並說明委任安排的實際運作方式。
來信洽詢：[email protected]