2024.12.10 ── CRA 已生效

法規正式進入實施準備期

2026.09.11 ── 通報義務適用

主動遭利用漏洞與重大資安事件

2027.12.11 ── 主要義務全面適用

產品資安、技術文件與符合性要求

01

從產品與責任角色開始

先確認產品是否適用、產品邊界及製造商／OEM／ODM／進口商等角色，再決定後續文件與評估深度。

02

制度、技術與證據一起做

不只提供法規說明，亦協助把要求轉成研發、測試、維護、客服、供應商與管理階層可執行的流程。

03

優先準備通報與漏洞處理

建立 PSIRT／CVD、案件編號、分級、升級、修補、通知與 Article 14 報告準備能力。

04

以代表性產品試行

用一個產品家族建立風險、SBOM、V&V、漏洞處理與技術文件證據包，再複製到其他產品。

確認哪些產品、軟體、元件與遠端服務納入評估範圍。

• 產品用途、連線方式、產品邊界與 EU 上市模式盤點
• 製造商、OEM／ODM、進口商、經銷商及授權代表角色分析
• 重要／關鍵產品初步分類與符合性評估路徑盤點

掌握制度、技術文件與產品證據的現況，形成優先改善路線。

• 文件審查、跨部門訪談、流程盤點與代表性產品抽樣
• CRA 要求對照、差距矩陣、風險與優先順序
• 短中期導入 Roadmap、責任人與里程碑建議

建立可與既有品質、研發或資訊安全制度整合的產品資安機制。

• 產品資安政策、角色分工、RACI 與管理審查
• 安全開發生命週期、變更／組態／版本與發布管理
• Secure by Design／Default、支援期間及終止支援管理

從產品情境、資產、介面、威脅與依賴關係，形成可追溯的風險與控制。

• 產品情境、資料流、信任邊界、攻擊面與第三方依賴盤點
• 風險準則、評估、處置、殘餘風險與接受機制
• 安全需求、設計控制、測試結果與技術文件之追溯

建立軟體與硬體元件的版本可視性、來源追蹤與漏洞管理能力。

• SBOM 建立與維護規則、格式與版本管理
• 開源／商用／供應商元件清單、授權與證據要求
• 漏洞情報比對、供應商通知、替換與風險接受流程

建立可快速啟動、可追溯且能跨部門協作的產品資安事件處理機制。

• 漏洞接收管道、案件編號、分級、升級與決策流程
• PSIRT 角色、CVD 政策、修補／更新與客戶通知機制
• 24 小時預警、72 小時完整通知與最終報告準備
• 桌上推演、紀錄保存及供應鏈通報協調

協助建立文件架構、證據索引與代表性產品文件初版。

• 產品描述、架構、風險評估、資安需求及 Annex I 對照
• SBOM、更新、漏洞處理與維護證據
• 使用者安全資訊、支援期間、限制與安全設定說明
• 技術文件目錄、證據清單、版本與審查紀錄

依不同角色設計訓練內容，並透過實作與查核確認落地程度。

• 管理階層 CRA 認知與治理責任
• 研發、測試、品保、法規、客服與維運實務課程
• 模板填寫工作坊、代表性產品實作與問題諮詢
• Mock Review、缺口修正與後續持續改善建議

服務範圍補充說明

本服務核心為「合規機制建置與文件輔導編製」，不包含原始碼安全漏洞之實際修補工程、硬體重新設計、SAST/DAST弱點掃描工具授權費、滲透測試執行費，以及第三方實驗室檢測與驗證規費。相關工具與測試服務本中心可提供另案報價。