CRA 漏洞通報找 TWCERT？ 該通報哪個歐盟 CSIRT

漏洞遭積極利用時，台灣製造商的第一個直覺，是通報給熟悉的 TWCERT/CC。這個直覺是錯的。CRA 通報不走本國 CERT。收件者是一個歐盟協調 CSIRT，提交入口是 ENISA 單一通報平台。

真正的規則只有一句：通報一次，給一個協調 CSIRT，ENISA 同時收到，再由它轉發給各銷售國。你不必向 27 個國家各通報一次，也不該把通報送到 TWCERT/CC。

但「哪一個歐盟 CSIRT」這個問題，答案會隨你在歐盟的據點與通路而變。在歐盟有據點和沒有據點，走的是完全不同的路徑。判斷順序是先看歐盟據點，再套用 4 層瀑布，最後對照 27 國名單。

唯一的通報規則

向 EU 市場供應的製造商，在知悉漏洞遭積極利用後，向歐盟通報的方式只有一種：透過 ENISA 的單一通報平台 (SRP)，向一個協調 CSIRT 提交，ENISA 在同一時間收到同一份通報。

收件的那個協調 CSIRT，會把通報轉發給你產品有銷售的每一個歐盟國家的 CSIRT。你只動一次手，後續的跨國分發由協調者完成。

時限維持三段式：知悉後 24 小時內提交早期預警、72 小時內提交完整通報、修補措施可用後 14 天內（事件則為 1 個月內）提交最終報告。但「向誰提交」才是台灣業者最常搞錯的一步。

歐盟據點決定路徑

第一個分歧點，是你在歐盟有沒有一個「負責產品資安決策」的據點。

如果你的產品資安決策主要在某個歐盟成員國的據點裡做，那個成員國就是你的主要營業據點。你向該國的協調 CSIRT 通報，後面的四層瀑布完全不啟動。多數純台灣出口商沒有這種據點，所以才需要往下走瀑布。

只有在歐盟沒有主要營業據點時，才依固定順序往下找。順序是嚴格優先的瀑布，由上而下，停在第一個能定出成員國的層級：

1. 授權代表 (AR) 所在國：先看處理你最多產品的授權代表設在哪一國。
2. 最大進口商所在國：沒有授權代表時，看投放你最多產品的進口商在哪一國。
3. 最大經銷商所在國：沒有進口商時，看提供你最多產品的經銷商在哪一國。
4. 使用者最多的國家：以上皆無時，看你的使用者集中在哪一國。

舉一個常見組合。授權代表在德國，最大進口商在荷蘭。你向德國的 BSI（CERT-Bund）通報，不是荷蘭，因為授權代表排在進口商前面，瀑布在第一層就停了。

這裡有一個要先講清楚的限制。「處理最多產品」的計算基準，法規沒有明確界定：是按 SKU 數、出貨數量，還是產品族來算，目前沒有定論。「使用者」的算法同樣未定義。所以你只能用「處理你最多產品的業者」這個概略判準，不要自行發明百分比門檻。多個授權代表並存的情形，也還沒有定論，不要假設只能有一個授權代表。

歐盟 27 國通報對象 CSIRT 對照表

下表依 ENISA 標示日期為 2026 年 9 月 10 日的協調者 CSIRT 名單對照。名單涵蓋全部 27 個成員國，因此每一列都已可對照官方指定，不再有預期或未定的狀態；最後一欄標示該國是否列入該份名單。

提交的入口只有一個。SRP 自 2026 年 9 月 11 日起在 portal.cra-srp.enisa.europa.eu 開放，登陸頁先選 Assigned Representative 角色，再以 EU Login 登入。EU Login 是個人帳號，而且必須啟用 MFA。你在那裡選的協調者 CSIRT，就是下表要確認的對象。

合計：27 國全部列入 ENISA 標示日期為 2026 年 9 月 10 日的協調者名單。

最容易報錯對象的陷阱

同一個國家裡常有兩個名字相近的單位，報錯的通報可能被作廢。西班牙、捷克、克羅埃西亞與丹麥最容易造成誤送。

• 西班牙：ENISA 名單列的是 INCIBE，並分別列出事件通報與漏洞協調兩個聯絡位址。那是聯絡參考，不是 CRA 通報的提交管道；CRA 通報一律透過 SRP 送出，協調者選 INCIBE。
• 捷克：GovCERT.CZ（NÚKIB 轄下）是官方窗口，不是民間的 CSIRT.CZ。
• 克羅埃西亞：ENISA 名單列的是 CERT.hr。
• 羅馬尼亞：窗口是 DNSC，不是舊稱的 CERT-RO。
• 希臘：窗口是 NCSA 轄下的 CSIRT，不是軍方的 Hellenic CSIRT。
• 盧森堡：窗口是 CIRCL，不是 GOVCERT.LU。
• 丹麥：CSIRT 設在國防情報機構 (FE) 之下，與一般民間 CERT 的運作邏輯不同。

選錯協調者的代價

ENISA 說明，通報若送給錯誤的協調者，可能被作廢，必須向正確的協調者重新提交。期限自你知悉起算，重送耗掉的時數要自己吸收。

• 平台的倒數不是你的時鐘。 目前版本的 72 小時到期時間，是早期預警提交時間再加 48 小時。至於遭積極利用漏洞的知悉時間欄位，兩份現行文件說法不同：《CRA SRP Glossary》1.3 版標注該欄位「將於平台下一版提供」，ENISA 的常見問答（2026 年 9 月 10 日更新）則在欄位表裡把同一個欄位列為 24 小時早期預警的必填項。在 ENISA 釐清之前，知悉時間要記在你自己的系統裡，兩種情況都能提供。
• 欄位語意以 Glossary 為準。 CRA SRP Glossary 是欄位的權威參考，僅有英文版。
• 未驗證帳號最多 20 件。 未經驗證的 AR，對同一家製造商最多可提交 20 件通報，之後驗證就是必要條件。ENISA 的常見問答（2026 年 9 月 10 日更新）、AR Interface functions 指南（2026 年 9 月 9 日）與 AR User Manual（PDF，55 頁，版本 1.1，2026 年 9 月 9 日首次發布，逐畫面附螢幕截圖，是 ENISA 目前最完整的操作文件）都寫同一個數字。這個額度是驗證排隊太慢時的安全閥，不是可以拿來規劃的餘裕；請把驗證走完。

本國 CERT 是另一回事

TWCERT/CC（台灣電腦網路危機處理暨協調中心）在 CRA 通報裡沒有任何角色。把漏洞報給 TWCERT/CC，不會被歐盟視為已完成 CRA 通報。

台灣國內規範可能對你另有通報要求，那是平行而額外的義務。國內通報與 CRA 通報互不取代：報了 TWCERT/CC 不代表滿足 CRA，反之亦然。兩條軌道要分開走。台灣製造商的整體通報架構與時限，參閱台灣製造商的 CRA 漏洞通報指南。

授權代表不是通報窗口

「報給授權代表所在國」這句話，常被誤讀成「把報告送給授權代表」。授權代表所在國只決定收件的歐盟協調 CSIRT，不是報告的收件人。

通報只走一個平台：ENISA 的 SRP，不是授權代表的任何平台。授權代表是法律聯絡點與文件保管人，負責保存符合性聲明與技術文件、回應市場監督機關的查詢，不是漏洞通報的中繼站。授權代表所在的國家，只是用來定出哪一個歐盟協調 CSIRT 收件，僅此而已。

通報的內容也常被搞混。你提交的是 24 小時早期預警、72 小時完整通報、以及 14 天或 1 個月的最終報告，不是「送出一份 SBOM」當作通報。SBOM 留在你的技術文件裡，是評估漏洞影響的依據，不是通報本身。

EUVD（歐洲漏洞資料庫）也不是通報管道。EUVD 可用來追蹤漏洞遭利用狀態與緩解資訊，作為監測和優先排序資料源。若已有 EUVD ID，可以在 SRP 表單中作為參考；CRA 通報本身仍是透過 ENISA SRP 提交給一個協調者 CSIRT。

如果問題不是通報窗口，而是 SBOM 命中 CVE 後如何判定產品是否受影響，請看台灣韌體 SBOM 漏洞判定指南。

官方清單已經公布

ENISA 的協調者 CSIRT 名單標示 2026 年 9 月 10 日，涵蓋全部 27 個成員國：協調者 CSIRT 名單。上表已依該名單對照，不再是 NIS2 協調窗口的推定。

名單上每一國都連到該國 CSIRT 自己的頁面，聯絡位址由各國維護。提交當下請以 ENISA 名單與該國頁面上的資訊為準；ENISA 標示其 SRP 資料反映目前所掌握的最佳資訊，日後可能變更。

提交前的盤點清單

通報窗口要在事件發生前就定好，不能等到 24 小時時鐘開始倒數才查。三件事先做：

1. 先盤點授權代表、進口商、經銷商在歐盟的分布。 這直接決定你會落到哪一國的協調 CSIRT。等漏洞遭利用時才查通路，時間會在內部釐清裡流失。
2. 先把 EU Login 帳號與 MFA 準備好。 ENISA 建議在真的要提交通報時才註冊 SRP，不必預先註冊；但 EU Login 是個人帳號且必須啟用 MFA，這一段牽涉到裝置與人，不要留到事發當天。平台目前沒有現成 API，通報透過平台介面提交；我們建議事先指定負責送件的人。
3. 備妥早期預警的必填欄位。 受影響的成員國清單、是否疑似遭惡意利用等資訊，事先做成範本，事件當下只需填值，不用從零寫起。

CRA Evidence 的顧問服務

決定通報對象，要先把授權代表、進口商、經銷商在歐盟的分布盤清楚，再對照各國協調 CSIRT 的指定狀態。CRA Evidence 的顧問服務涵蓋通路盤點與協調者 CSIRT 順序判定、SBOM 生成輔導、ENISA 通報流程設計，以及第三方認證導入，協助台灣製造商把通報路徑定好。

可預約免費評估，由顧問協助你定出產品線該對應哪一個歐盟通報窗口。也可先用 CRA 適用性確認工具做初步判定。

本文內容僅供參考，不構成法律建議。有關 EU 產品法規的具體合規要求，請諮詢熟悉 EU 法規的法律專業人士。