EU 庫存與 CRA：2027 年 12 月 11 日前上市的產品怎麼辦？

2027 年 12 月將近，不少台灣製造商都問過同一個問題：「放在 EU 倉庫裡的庫存，是不是全部都要重做？」

答案在多數情況下是「不會」。CRA（歐盟網路韌性法）設有過渡條款，2027 年 12 月 11 日前已在 EU 市場上市的產品，原則上可以維持不受新規定拘束，繼續銷售。

不過，這份安心有兩個但書。而且判定不是以產品型號為單位，而是以每一台產品為單位。這篇文章說明如何拆分倉庫庫存與通路庫存，附上判定流程與實例。

2027 年 12 月 11 日的變與不變

CRA 的主要義務從 2027 年 12 月 11 日起適用。這一天之後，第一次在 EU 市場上市的產品，從安全要求適合性、技術文件到 CE 標章，都必須全面到位。

另一方面，對於這一天之前已在 EU 市場上市的產品，CRA 不要求回溯適用。已出貨的產品，原則上不必回收重做，也不必事後補齊文件。

先掌握「不會變的事」，能幫助你快速抓住全局。

判定看「單台」，不是「型號」

這是最常被誤解的一點。期日綁定的不是產品型號或料號，而是每一台個別產品。

假設同一型號有兩台產品。一台已在 2027 年 11 月交付給 EU 進口商，另一台則要到 2028 年 1 月才第一次供應到 EU。前者屬於過渡條款對象，後者須全面符合新規定。就算設計與零件完全相同，處理方式也會不一樣。

因此，「這個型號準備好了嗎」這個問題，其實答不出來。真正該問的是「這一台，是什麼時候上市的」。

「首次上市」與「持續流通銷售」的差異

判定的核心概念只有兩個。

首次上市：指這一台產品第一次在 EU 市場進入商業流通，典型情況是首次供應給 EU 進口商或經銷商。

持續流通銷售：指已經上市的這一台產品，在通路中往下一個階段移動。經銷商倉庫裡的庫存賣到零售端，再賣到終端客戶。這個流程不論重複幾次，都不算新的上市。

換句話說，2027 年 12 月 11 日前已供應給 EU 通路的庫存，就算過了期日，也能持續賣到售罄為止。沒有「庫存出清期限」這種規定。

注意： 光看倉庫所在地無法判定。產品即使放在 EU 境內的倉庫，只要仍是製造商自己的庫存、尚未發生商業供應，就還沒完成上市。反過來說，就算產品在 EU 境外，判定結果也不一定會變。真正的判斷依據不是實際所在地，而是首次商業供應是在什麼時候成立。

倉庫庫存與通路庫存的判定流程

手邊的庫存要拆分時，逐台依序確認以下項目。

flowchart TD
    A["這一台產品是否已在 EU 市場\n完成首次商業供應？"] -->|"是，期日前"| B["屬於過渡條款對象\n可持續流通銷售"]
    A -->|"是，期日之後"| C["須全面符合新規定"]
    A -->|"否"| D["尚未完成上市\n期日之後供應則須全面符合"]
    B --> E{"期日之後是否\n進行大規模變更？"}
    E -->|"否"| F["維持對象外\n通報與通知義務適用"]
    E -->|"是"| G["該產品重新納入適用範圍"]

依情況整理如下：

兩項例外：通報與通知義務，以及重新起算的變更

過渡條款有兩個例外，兩者對實務的影響都不小。

例外一：通報與通知義務也適用於既有產品。 遭積極利用漏洞與重大資安事故發生時，向主管機關通報並通知受影響使用者的義務，從 2026 年 9 月 11 日起，也適用於已在市場上流通的產品。過渡條款不會免除這項義務。通報體系怎麼建立，漏洞通報義務解說文章有詳細說明。

例外二：大規模變更會讓時鐘重新起算。 2027 年 12 月 11 日之後，如果對產品做出會影響安全適合性的變更，或改變原本的使用用途，該產品會在變更當下重新納入新規定的適用範圍。

這裡要注意的是，不是所有更新都算數。單純不改變使用用途、只為降低風險的一般安全性修補，不算大規模變更。但新增連線功能、改變驗證機制、擴大使用用途等改動，就可能構成大規模變更。改動如何影響產品線的責任歸屬，可參考品牌與 ODM 責任分工指南。

應保留的證據：批號、序號、交易與韌體

過渡條款本身沒有紀錄要求。不過市場監督機關詢問時，能不能用紀錄證明「這一台在期日前已經上市」，會大幅影響應對的難度。

至少要準備好以下四項：

• 批號與序號紀錄：能確認哪一個個體屬於哪一批出貨
• 交易書面文件：對 EU 進口商、經銷商首次供應的訂單、發票、驗收紀錄
• 出貨與韌體版本對應紀錄：每一批出貨時搭載的韌體版本
• 變更履歷：期日之後推送的更新內容，以及為何不構成大規模變更的判斷紀錄

這四項，正是後面實例中「同型號兩批出貨」要拆分說明時，直接可以提供給主管機關的資料。

實例：同型號網通設備的兩批出貨

以台灣某網通設備 ODM 為例，看判定的實際運作。

這家 ODM 為一家 EU 品牌代工生產工業用路由器「NX-800」，硬體規格固定，搭配兩條韌體分支：一條供品牌既有客戶使用的標準韌體，另一條是尚在驗證中的雲端管理韌體。

第一批於 2027 年 11 月，交付給 EU 品牌在德國的進口商。進口商完成驗收入庫，之後才逐步出貨給各地經銷商。這一批在期日前就已完成首次商業供應，屬於過渡條款對象，不必補齊新規定要求的技術文件與 CE 標章，只有漏洞通報與使用者通知義務，從 2026 年 9 月 11 日起持續適用。

第二批是同型號、同硬體規格，但於 2028 年 1 月才第一次供應到 EU。這一批屬於新的上市，須全面符合新規定：技術文件、CE 標章、適合性評估都要備齊才能出貨。

到了 2028 年年中，這家 ODM 針對已在客戶端運作的雲端管理韌體，推出全新架構的版本，直接透過自家雲端後端，將更新推送到第一批設備。這個改版新增了遠端韌體更新與跨廠區集中監控功能，屬於會影響安全適合性與使用用途的變更，很可能構成大規模變更。一旦成立，第一批設備會重新納入適用範圍。而且，若構成大規模變更的改版由 ODM 實施，改版後的產品又繼續在 EU 市場供應，這次變更所產生的製造商義務就可能落在實施變更的 ODM 身上，而不只是品牌的責任。

能不能把這三個場景分開管理，正是能否安全運用過渡條款的關鍵。

怎麼向交易對象說明

過了期日，EU 進口商與經銷商的詢問會變多。典型的問題是「這批庫存沒有 CRA 文件，還能賣嗎」。對方也還在適應新的義務，準備好能附上依據、簡短回答的材料，效果最好。

實務上，三樣就夠了。

• 一頁說明備忘：簡短說明該批號已在期日前完成上市、屬於過渡條款對象、通報與通知義務也已對應
• 佐證紀錄：能證明該批號首次商業供應的發票或收貨紀錄影本
• 聯絡窗口：負責回覆後續問題的承辦人

只回一句「這批庫存不需要新文件」，和附上依據回覆，對交易關係的影響差很多。若話題延伸到銷售名義或角色分工本身，可參考 ODM 與供應鏈指南的整理。

現在就能做的事

在期日之前完成下面五件事，庫存判定就會變成幾天內能結束的工作。

1. 列出 EU 向 SKU 清單：把目前在 EU 銷售中的產品，和未來一年內預定出貨的產品分開
2. 把批號、序號對應到首次供應日：從紀錄中確認哪一台在何時、因對誰的供應而上市
3. 用判定流程分類：依本文流程分成期日前、期日後、未投放三組
4. 盤點預定的更新：整理 2027 年 12 月 11 日之後預定發布的韌體更新與功能追加，在發布前評估是否可能構成重大修改
5. 設置變更關卡：之後的更新，改成發布前先確認對使用用途與安全適配的影響再放行

做到這裡，向交易對象說明或面對主管機關詢問時，拿出既有紀錄就能應對。

CRA Evidence 的顧問服務

CRA Evidence 為供應產品到 EU 市場的台灣製造商，提供從庫存與出貨紀錄盤點、過渡條款適用判定，到變更管理制度建置的完整顧問服務。

依產品線與批號拆分「哪一台屬於哪一邊」，並整理成可提供給市場監督機關查核的紀錄格式。歡迎透過免費評估，說明你的產品與庫存現況。也可以先用 CRA 適用性確認工具，確認產品是否落入 CRA 範圍。