歐盟網路韌性法案：對硬體的實際要求
兩個日期，近的那個常被漏掉
(EU) 2024/2847，也就是網路韌性法案（Cyber Resilience Act，CRA），管的是投放到歐盟市場的「具數位元件產品」。實務上就是任何帶韌體的東西，而在消費性電子與居家健康裝置這一塊，幾乎等於全部。
多數規劃簡報上只有一個日期：2027 年 12 月 11 日，全面適用、不符合的產品不得再投放市場。大家的路線圖都對著這一天在排。
先到的是另一個：2026 年 9 月 11 日，第 14 條的通報義務生效。它常被漏掉，因為那不是產品設計期限，所以不會出現在硬體時程表上。
它應該要出現。理由在下面。
通報時鐘會往回抓
2026 年 9 月 11 日起，製造商一旦得知自家產品有正在被實際利用的漏洞，或發生影響產品資安的嚴重事件，就進入一個階梯式的時鐘：
| 階段 | 自得知起算 |
|---|---|
| 早期預警 | 24 小時 |
| 技術通報 | 72 小時 |
| 最終報告 | 14 天（被利用的漏洞）／1 個月（嚴重事件） |
通報對象是 ENISA 與相關的國家 CSIRT。
值得讀兩遍的是這一段：通報義務適用於已經在歐盟市場上供應的產品，包含期限之前就投放的單位。附件一的設計要求是從 2027 年 12 月 11 日起投放的產品才適用，較早的產品只有在經過實質修改時才會被納入。通報義務沒有這個切點。
所以品牌在 2026 年 9 月要回答的問題，已經越過了「我下一個產品合不合規」。真正要答的是：
我們 2023 年出的某台裝置，現在有漏洞正在被利用。我們會在 24 小時內知道嗎？而且對裡面有什麼東西，清楚到足以描述問題嗎？
多數硬體品牌對後半句的誠實答案是不知道。那在成為資安問題之前，先是一個生產紀錄問題。
→ 另一條會變成外殼設計決定的歐盟期限：歐盟電池法規 2027：可拆換電池
支援期是一個料件決策
附件一要求宣告至少五年的支援期，產品預期壽命較短時以壽命為準，而且買方在購買當下就要知道結束日期。這段期間內，製造商負責處理漏洞並免費提供安全修補。
把這句話當成採購約束來讀，因為它就是。
如果你設計裡的無線模組跑的是原廠 SDK，而那份 SDK 第三年就不再收到安全修補，你就沒辦法修補疊在它上面的東西。你在銷售當下宣告了五年支援期，卻在第三年失去履行能力，而失去的原因是選料階段的一個決定。
於是有兩個問題應該進入模組評估，跟價格、交期、二供並列：
- 這家原廠會為這顆料發多久的安全修補，要書面的，以及停產後怎麼辦？
- 有沒有第二來源跑的是我們遷得過去的軟體堆疊，而且不必重畫板子？
這兩題通常不在 BOM 審查裡。但它們該和供應風險放在同一場對話，因為那是同一種風險：一顆料變得不可用，一個是商業上的，一個是法律上的。
→ 料件怎麼分級、亮紅燈代表什麼：OEM 專案的料件供應風險矩陣
SBOM 要描述韌體裡真正有的東西
附件一第二部分要求提供通用且機器可讀格式的軟體物料清單，至少涵蓋產品的第一層依賴。
對一個網頁應用來說那是建置工具的輸出。對一個實體產品來說那是組裝問題，因為韌體很少全部是你自己的。一台典型的連網消費裝置裡有：
- 為這個產品寫的應用層韌體
- 跟著無線模組一起進來的原廠 SDK
- 以二進位形式交付的協議棧（藍牙、Wi-Fi、Thread）
- 一套即時作業系統
- 上述任何一項拉進來的開源函式庫
品牌通常擁有第一項，對其餘完全沒有視野，因為那些是透過工廠與它的模組供應商進來的。要組出一份真實的 SBOM，意味著要問工廠，再請工廠往下問供應商。
這個要求在開發期間提出，比事件發生後便宜太多。而且你會在這時候發現，模組廠願不願意告訴你他們的二進位檔裡有什麼，而這件事本身就值得在把它設計進去之前先知道。
預設安全，以及「收得到更新」這件事
附件一還有兩項要求，落在硬體很早期的決定上。
預設安全指的是產品出廠時就是安全設定：沒有共用預設密碼、沒有不必要的服務或開放埠、攻擊面收到最小。這些是韌體預設值，而韌體預設值通常由寫韌體的人決定。如果那是你的代工廠，這項要求就是他們實作、你規格化。
支援期內免費提供安全更新的前提，是產品真的收得到更新。收不收得到不是軟體決定：
- **Flash 預算。**要做安全的 OTA，雙分區大約讓韌體所需空間翻倍。等 BOM 凍結才發現這件事，就只剩換記憶體或放棄 OTA 兩條路。
- **連線能力。**沒有網路路徑的裝置只能靠現場更新或手機 App，兩者的完成率都遠低於一個五年義務所假設的水準。
- **電力。**在低電量下執行更新而把機器變磚，比不更新更糟，所以更新邏輯需要一個電量下限，而那需要電量計。
這三件都不便宜回頭補，也都在開模之前的工程審查裡就決定了。
→ 這類限制會浮出來的那個階段：開模之前的 DFX 風險審查
一個專案實際上會變成什麼樣
一個現在進入開發、要賣進歐盟的產品，有三件事會改變：
- **模組評估多一題修補年限。**跟原廠要書面的安全支援承諾，而「我們不公開這個」本身就是一種答案。
- **SBOM 變成一項交付物。**在開發合約裡跟圖面、測試報告並列，讓它隨產品一起交付；等 24 小時的時鐘開始跑才回頭重建，那是最貴的時機。
- **可更新性在開模之前就規格化。**Flash 餘裕、分區方式、更新路徑，在概念階段決定很便宜，等外殼做出來再加就不是了。
至於已經在市場上的產品，短期問題更窄也更急：你查得出裡面有什麼嗎，多快？
適用範圍的說明
這是對已公布法規的解讀，不是法律意見，而且 CRA 的實施細節仍在透過標準與指引補齊。要據此做計畫之前，請與合格的法律顧問確認它對你的產品類別與市場如何適用。目前足以據以設計的是方向：資安支援已經變成一個有宣告、有日期的承諾，而讓這個承諾可能或不可能的決定，是在硬體端、而且很早就做完了。
→ 板子這一層的細節，從電路圖到 SMT 產線：消費性電子代工製造
技術討論前可先簽署 NDA。