VicOne CRA Studio
CRA 合規一站式平台

歐盟《網路韌性法案》（Cyber Resilience Act，CRA）已於 2024 年 12 月正式生效。該法規要求所有具備數位功能的產品製造商，包括 IoT 裝置、工業設備、EV 充電設備、農業機械及各類非道路設備（Off-Highway Systems）等，在產品全生命週期中符合強制性的資安要求。相關要求包括 SBOM 文件管理、持續漏洞管理、安全更新機制及事件通報等。

其中，第 14 條（Article 14）事件通報義務自 2026 年 9 月 11 日起適用。當製造商發現產品存在已遭利用的漏洞（actively exploited vulnerability）或發生影響產品安全的重大事件（severe incident）時，須於 24 小時內提交初步警示（Early Warning）、72 小時內完成正式通報（Notification），並依規定時程提交最終報告（Final Report）。所有通報均須透過 CRA Single Reporting Platform（SRP）提交至相關 CSIRT，並由 ENISA 接收。

CRA 的主要合規義務則將自 2027 年 12 月 11 日起正式適用。屆時，所有適用範圍內的新產品及經重大修改後重新上市的產品，均須符合 CRA 的相關要求。

CRA 適用於所有在歐盟市場銷售、具備網路或裝置連線能力的硬體與軟體產品製造商。涵蓋範圍包括 IoT 裝置、工業控制系統、EV 充電設備、消費性電子產品、農業機械、非道路移動機械（NRMM），以及各類非道路工程設備（Off-Highway Equipment）等，並不限於汽車或關鍵基礎設施產業。對於部分產品類別（例如具備無線電通訊功能的裝置），在 CRA 過渡期間，仍可能適用《無線電設備指令》（Radio Equipment Directive, RED）所規定的資安要求。自 2027 年 12 月 11 日起，RED 資安授權法規（Cybersecurity Delegated Regulation）預計將正式廢止，相關產品的資安要求將主要改由《歐盟網路韌性法案》（Cyber Resilience Act, CRA）規範。

VicOne CRA Studio 可自動化處理手動合規流程中最耗費工程資源的工作，包括 SBOM 擷取、已出貨韌體漏洞掃描、漏洞可利用性優先排序，以及稽核文件產生。當新的 CVE 被揭露時，VicOne CRA Studio 會自動比對完整產品目錄，快速識別哪些已出貨產品受到影響，並同步產生 CRA 所需的稽核文件，不需要工程團隊在每次漏洞揭露後額外投入大量人力處理。

Software Composition Analysis（SCA）工具主要著重於開發階段的漏洞識別。然而，CRA 要求製造商在整個產品生命週期中，持續監控、評估並記錄漏洞回應狀態，包含那些早已出貨、但在後續才揭露新 CVE 的產品。多數 SCA 平台無法持續重新掃描已出貨產品，也缺乏超越國家漏洞資料庫（NVD）的漏洞覆蓋能力與進階威脅情報，同時無法自動產生 CRA 技術文件（Technical File）所要求的稽核文件。

根據《歐盟網路韌性法案》（CRA），當製造商發現產品存在已遭利用的漏洞（actively exploited vulnerability）或發生影響產品安全的重大事件（severe incident）時，須於 24 小時內提交初步警示（Early Warning）、72 小時內完成正式通報（Notification），並依規定時程提交最終報告（Final Report）。VicOne CRA Studio 可協助企業快速識別受影響產品、分析攻擊路徑、支援初步事件評估，並自動產生通報所需文件，協助企業更有效率地因應 CRA 分階段事件通報流程。

VicOne CRA Studio 所處理的核心需求，包括持續性 SBOM 管理、產品出貨後漏洞監控、供應鏈安全，以及產品生命週期文件管理等，本質上也是 CRA 對所有產品製造商提出的共同要求。JRC Mobility 作為建築與農業機械 ETC 裝置製造商，便透過 VicOne CRA Studio 在沒有過往合規經驗的情況下完成 CRA 合規。相較於人工流程，可降低約 70–80% 的工作量，並成功在法規期限內完成導入。