台灣網通/IoT品牌廠的CRA實戰指南：路由器、NAS、工控設備的合規路徑

台灣的路由器、NAS、工控設備正在 EU 貨架上，而 CRA 即將改變遊戲規則。

依 Eurostat 2024 年高科技貿易統計，台灣是 EU 高科技進口的主要來源之一，進口額約 260 億歐元、占比約 6%。歐盟執委會的台灣貿易頁也指出，2024 年 EU 自台灣進口貨品以機械與電機設備為主。台灣經濟部國際貿易署則在 2026 年 1 月發布的台歐經貿關係說明中記載，2025 年台灣對 EU 出口成長 12.1%。對網通設備與 IoT 裝置廠商來說，EU 市場仍在成長，但成長也伴隨更高的產品資安審查。Zyxel 的防火牆佈建在歐洲中小企業的機櫃中，D-Link 的路由器在歐洲家庭隨處可見，QNAP 和群暉的 NAS 是歐洲企業資料儲存的主力。

這些品牌廠與 ODM 代工廠有根本性的差異：ODM 面臨的是 EU 客戶的合約壓力，而品牌廠則直接承擔 CRA 的法律義務；因為在 EU 法規定義中，品牌廠就是「製造商（manufacturer）」。

為什麼台灣網通/IoT 製造商受 CRA 衝擊最大

CRA 的「重要產品」清單幾乎是為台灣網通產業量身打造的。路由器、防火牆、NAS、工業控制器（這些不是邊緣品項，而是台灣對 EU 出口的主力）。

flowchart TD
    TW["台灣品牌廠產品"] --> R["路由器\n（家用/企業）"]
    TW --> FW["防火牆\nUTM/IDS/IPS"]
    TW --> NAS["NAS\n網路儲存"]
    TW --> IND["工業路由器\n工業閘道器"]
    TW --> CAM["IP 攝影機"]
    TW --> SBC["工業電腦\n單板電腦"]

    R --> C1["Class I 重要產品"]
    FW --> C2["Class II 重要產品"]
    NAS --> C1
    IND --> C1
    CAM --> DEF["一般產品 或 Class I\n（依功能判定）"]
    SBC --> DEF2["一般產品\n（自我評估）"]

以下是台灣主要品牌廠的產品分類對照表：

重要提示： 「Class I 可自我評估」有一個前提：該產品類別的歐盟調和標準（harmonised standard）已正式發布，且產品完全符合該標準。標準狀態須直接查詢 EU 官方發布與 NANDO / OJEU 資訊。在標準發布前，即使 Class I 產品也可能需要第三方評估或適用歐盟網路安全認證方案（EUCC）。

Class I vs Class II：對台灣製造商的實際影響

Class I（路由器、NAS、工業路由器）： 若歐盟調和標準已發布且製造商完全符合，可執行自我評估。但若無適用調和標準，製造商須選擇：(a) 委託歐盟認定的符合性評鑑機構（Notified Body）進行第三方評估，或 (b) 取得 EUCC 認證。目前實務上，多數 Class I 產品的調和標準尚未就位。

Class II（防火牆、IDS/IPS、工業作業系統）： 無論調和標準是否存在，一律須第三方認證。對 Zyxel 而言，旗下企業級防火牆/UTM 產品線全數落入 Class II，認證成本與時程是現實考量。

關鍵差異： Class I 的自我評估路徑是一項成本優勢（前提是標準到位）。台灣品牌廠應密切追蹤 CEN/CENELEC TC 13 的調和標準制定進度，這直接影響是否需要編列第三方認證預算。

漏洞管理的現實檢驗：QNAP 的教訓

QNAP 是理解 CRA 漏洞管理要求嚴格程度的最佳案例。QNAP 產品曾在公開漏洞競賽與安全公告中多次被點名，也長期遭 DeadBolt、Qlocker 等勒索軟體鎖定。這類案例說明，NAS 不是單純的儲存設備，而是會暴露在網際網路、遠端管理與供應鏈漏洞風險中的產品。

這不是對 QNAP 的指責，NAS 設備面對的威脅面本就廣泛。但這正是 CRA 預設的威脅環境。

在 CRA 框架下，QNAP（以及所有 NAS/路由器製造商）面臨的義務：

• ENISA 漏洞通報： 每一個被積極利用的漏洞，須在發現後 24 小時內向 ENISA 提交早期預警，72 小時內提交完整通報，並於修補或緩解措施可用後 14 天內提交最終報告
• 安全更新支援期： 免費安全更新須覆蓋產品支援期；支援期原則上不得少於 5 年，若產品預期使用年限短於 5 年，則可依預期使用年限設定，且須文件化並清楚揭示
• SBOM 持續更新： 每次韌體更新後，SBOM（軟體物料清單） 須同步更新

以公開漏洞競賽或多個漏洞同時揭露的情境為例：若漏洞在 CRA 第 14 條生效後被積極利用，製造商可能需要在數天內處理多條 ENISA 通報流程。這對任何組織的資安應變團隊都是嚴峻考驗。

IEC 62443 認證：台灣工控廠商的優勢

台灣的工業控制設備製造商在 CRA 合規上有一項結構性優勢：IEC 62443 認證。

• Moxa（四零四科技）： 已取得 IEC 62443-4-1（安全開發生命週期）認證
• 研華（Advantech）： 已取得 IEC 62443-4-2（元件安全）認證

IEC 62443 與 CRA 附件 I 的要求有大幅重疊，尤其在安全設計、存取控制、加密通訊、安全更新機制等面向。

flowchart LR
    subgraph IEC["IEC 62443 已覆蓋"]
        A1["安全開發流程\n（SDL）"]
        A2["存取控制\n身份認證"]
        A3["加密通訊\n資料保護"]
        A4["安全更新機制"]
        A5["事件偵測\n日誌記錄"]
    end

    subgraph GAP["CRA 額外要求\n（IEC 62443 未覆蓋）"]
        B1["SBOM\n軟體物料清單"]
        B2["EU DoC\n適合性宣言"]
        B3["ENISA 24h 通報"]
        B4["CE 標章"]
        B5["技術文件\n（產品證據）"]
    end

    IEC --> PARTIAL["IEC 62443 可重用\n主要流程證據"]
    GAP --> MUST["仍須額外\n準備的項目"]

IEC 62443 的實務價值：持有認證的廠商在 CRA 適合性評估中可以援引 IEC 62443 的測試報告與流程文件，減少重複工作。但 IEC 62443 不涵蓋 SBOM 機器可讀格式、EU DoC 文件、ENISA SRP 通報、CE 標章等 CRA 專屬要求（這些缺口必須獨立補齊）。

對於尚未取得 IEC 62443 的網通廠商（如 D-Link、QNAP），CRA 合規需從頭建構完整的安全開發流程、漏洞管理程序及文件體系。

UK PSTI Part 1 對映表（僅限消費性連網產品）

英國《產品安全與電信基礎設施法（PSTI）》第一部已於 2024 年 4 月 29 日生效，適用於在英國市場銷售的消費性連網產品。已將消費性路由器、智慧家庭裝置出貨給英國零售商的台灣廠商（如 Zyxel、D-Link 的消費系列），通常已實作 PSTI 控制項。以下是 PSTI 控制項與 CRA 對應要求的對映：

適用範圍限制： PSTI Part 1 僅適用於「消費性連網產品」。工業級閘道器、OT 網通設備（如 Moxa、研華的工控產品線）、純 B2B 裝置不在 PSTI 涵蓋範圍內，但仍在 CRA 範圍內。本對映表僅作為已出貨英國消費市場 SKU 的起步基線，不可視為完整的 CRA 解決方案。

ODM/代工角度

對於以 ODM 模式為 EU 品牌代工的台灣廠商，CRA 法律義務落在 EU 品牌（即 CRA 定義的「製造商」）身上。但這不代表 ODM 可以置身事外。

EU 品牌在 2026 年至 2027 年可能在代工合約中加入以下條款：

• 要求 ODM 提供韌體的完整 SBOM（CycloneDX 或 SPDX 格式）
• 要求 ODM 建立 CVD（協調漏洞揭露）政策
• 要求 ODM 承諾在合約期間提供安全更新
• 要求 ODM 在取得被積極利用漏洞的可信證據時，以短於 24 小時的 SLA 通知 EU 品牌（常見設計是 12 小時，以便 EU 品牌保留 ENISA 通報作業時間）

B2B 供應鏈注意事項： 無法提供 SBOM 和漏洞管理能力的 ODM，2027 年後在 EU 品牌供應商稽核中的風險會升高。CRA 不會直接把製造商義務轉成 ODM 法定義務，但 EU 品牌很可能透過合約要求供應鏈交付證據。

時程

flowchart LR
    NOW["📅 準備期\n2026 年上半年"] --> M1["2026 年 Q2\n產品分類完成\nSBOM 管線建置\n授權代表選任評估（任意）"]
    M1 --> M2["2026 年 Q3\nENISA SRP 登記\n24h 通報 SOP 演練\nCVD 政策上線"]
    M2 --> SEP["⚠️ 2026年9月11日\nENISA通報義務生效\n含現有EU市場產品"]
    SEP --> M3["2026年Q4\n技術文件初稿\nEU DoC初稿\nClass II認證送件"]
    M3 --> M4["2027年上半年\n適合性評估完成\nSBOM持續更新機制"]
    M4 --> DEC["🔴 2027年12月11日\nCRA全面適用\nCE標章·EU DoC\n全部就位"]

重要提示： 對防火牆/IDS 等 Class II 產品，第三方認證機構的評估流程通常需要 6-12 個月。若在 2026 年底前未啟動送件，2027 年 12 月的期限將非常緊迫。

本文內容僅供參考，不構成法律建議。有關 EU 產品法規的具體合規要求，請諮詢熟悉 EU 法規的法律專業人士。