歐盟網路韌性法（CRA）｜出口歐盟的台灣製造商實務指南

CRA 第 3 條第 13 款對「製造商」的定義是：以自己名稱或商標將產品投放市場的法人。台灣 ODM 為德國網通品牌生產路由器、由德國品牌以自家商標出貨時，CRA 下的製造商是德國品牌；德國公司只做通路代理、產品以台灣品牌出貨時，製造商則是台灣廠。但這不等於 ODM 毫無責任——CRA 第 13 條第 3 款對供應鏈元件供應商另有義務，ODM 必須提供 SBOM、漏洞資訊與安全更新承諾，否則品牌方無法完成自己的附件 VII 技術文件。

實務上的三種合約型態：

1. 純 ODM、品牌出貨：歐洲品牌為 CRA 製造商，台灣 ODM 以供應商身分提供 SBOM、弱點揭露紀錄、更新流程承諾。合約層要處理的是品牌方「再包裝」的空間，例如 ODM 韌體是否允許被品牌方改寫、改寫後的通報責任歸屬。
2. OBM 自有品牌外銷：台灣製造商是 CRA 製造商，必須完整負責附件 VII 技術文件、EU 符合性聲明、第 14 條 ENISA 通報、CRA 第 18 條歐盟授權代表指定。
3. 混合出貨（品牌共掛）：契約應明確指定哪一方為 CRA 製造商，避免雙重申報或雙方皆認定對方負責的空窗期。

漏洞通報路徑有兩條並行：一條是本地 TWCERT/CC 協調漏洞揭露政策，另一條是 ENISA 的歐洲漏洞資料庫（EUVD）。我們建議單一事件、雙軌輸出：同一份事件資料同時產出 TWCERT/CC 與 ENISA SRP 的通報，減少重工。主管機關方面，ODM 若需要跨部會協調，窗口會延伸到 數位發展部資通安全署 與 經濟部國際貿易署 的歐盟貿易法規專區。

附帶一項台灣特有的競爭優勢：半導體設備產業同時持有 SEMI E187（半導體設備資通安全規範）與 E188（惡意軟體防護），兩份規範由 TSMC 與工研院主導制訂，其 SDL、日誌記錄、網路隔離、更新管理等條目與 CRA 附件 I 高度重疊（背景參見 iThome 對 SEMI E187 的產業報導）。Fab 設備廠在歐盟客戶面前，可以把 E187/E188 合格證據直接套進 CRA 技術文件，這不是普遍通用的便利。