歐盟《網路彈性法案》上報義務即將生效

歐盟《網路彈性法案》（以下簡稱'CRA'）是針對歐盟市場數位化產品的強制性網路安全法規，涵蓋物聯網、智慧家庭、消費性電子、工控及網路通訊設備等品類，對出口歐盟的製造業企業影響深遠。法案要求企業兼顧產品上市前安全設計，以及上市後的漏洞管理、緊急應變與安全更新，建構全生命週期網路安全管控系統。

CRA於2024 年12 月10 日正式生效，將分階段強制實施：

其中關於製造商上報義務的部分，依據(EU) 2024/2847 Article 14，當製造商發現如下情況時，需在規定時間內向歐盟相關機構進行分階段通報：

一、漏洞上報要求

當製造商得知產品漏洞已遭到實際攻擊利用時，需遵照下述流程進行工作：

1. 早期預警

應在24小時內發出早期預警，再逐步完善訊息，內容通常包括：

2. 漏洞通知

在72小時內，需進一步提交：

3. 最終報告

漏洞修復完成後的14天內，需提交最終技術報告，至少包括：

二、安全事件上報要求

當製造商獲知發生對產品安全產生影響的嚴重事件時，需遵照以下流程進行處置工作：

1. 早期預警

應在24小時內發出早期預警，再逐步完善訊息，內容通常包括：

2. 事件通知

在72小時內，需進一步提交：

3. 最終報告

在事件通知後的一個月內，需提交最終報告，至少包括：

三、報告對象

CRA要求製造商需透過歐盟單一報告平台（SRP）進行統一的上報，並同步通知：

四、企業面臨的變化與應對

CRA 所有條款將於2027 年12 月11 日全面落實。新規要求製造商對產品全生命週期承擔網路安全責任，改變了以往僅完成上市前單次合規檢測的模式。

為因應市場准入要求、規避監理風險，企業需事先建置完善的網路安全管理體系，並專注於完善以下能力：

如有查詢，請電郵至hkmarketing@intertek.com。