漏洞被利用，24 小時內要通報：歐盟網路韌性法案上路，委託開發 App 與聯網產品前先問清楚四件事
如果你的 App、聯網裝置或桌面軟體有賣到歐洲，2026 年 9 月 11 日是一個該記下來的日子。從這一天起，歐盟 網路韌性法案（Cyber Resilience Act，簡稱 CRA）的通報義務正式上路：產品一旦出現「被實際利用」的漏洞，製造商要在 24 小時內提出初步通報。歐盟網路安全局 ENISA 也在同一天啟用了統一通報平台。這不是遙遠的法規新聞，而是會直接影響你怎麼委託開發、怎麼簽合約的事。
網路韌性法案管的是誰：不只硬體，App 也在裡面
CRA 規範的對象叫做「具數位元素的產品」，簡單說就是會直接或間接連上網路的硬體與軟體。愛爾蘭國家網路安全中心列出的例子包括筆電、智慧裝置、作業系統、手機 App 與工業物聯網設備。
有三點最容易被誤會：
- 不是只有歐洲公司要管：判斷標準是產品有沒有在歐盟市場販售，而不是公司設在哪裡。台灣品牌只要把產品賣進歐洲，就要把這件事放進評估。
- 舊產品也要通報：2027 年 12 月之前上市的產品，可以不受新的設計規範約束；但只要還在歐盟市場上販售，通報義務照樣適用。
- 純雲端服務要個別判斷：一般的線上服務多半由其他法規處理，但如果雲端後台是某個 App 或裝置運作必需的部分，就可能一起被納入。這需要逐案評估，最好請法務或顧問確認。
CRA 的完整資安設計要求要到 2027 年 12 月 11 日才全面適用，但「出事要通報」這一段，已經開始了。
24 小時、72 小時、14 天：通報時鐘怎麼走
依照愛爾蘭國家網路安全中心整理的流程，通報分成三個階段：
- 初步預警（24 小時內）：知道漏洞正被利用，或發生影響產品安全的嚴重事件後，24 小時內先送出基本通報，不必等技術分析做完。
- 詳細通報（72 小時內）：補上初步嚴重程度、可能原因與暫時的緩解措施。
- 最終報告：被利用的漏洞，要在修補或替代方案推出後 14 天內提交；嚴重事件則是在詳細通報後一個月內。
所有通報都透過 ENISA 的統一通報平台送出，平台會轉給負責協調的國家資安應變中心。電子郵件只有在平台正式宣布離線時才能當作備案。
真正的難題不在填表，而在「24 小時」本身。要在一天之內知道哪個產品、哪個版本、影響多少用戶，前提是你平常就掌握這些資訊。很多品牌的 App 外包給廠商開發，上線之後就不再過問，出事時連用了哪些第三方元件都要重新問一輪，這樣的時間根本不夠。
委託開發前，先問清楚這四件事
如果你正打算開發一個會在歐洲上架的 App 或聯網產品，報價和時程之外，請把下面四個問題放進需求討論：
1. 有沒有一份「元件清單」？
現代軟體大量使用開源套件與第三方元件。CRA 也規定，如果是第三方元件出問題，最終產品的製造商在確認自己受影響之後，就要負責通報。所以你需要一份清楚的元件清單（業界常稱為 SBOM），記下每個版本用了哪些元件，出事時才能在幾小時內判斷「我們有沒有中」。
2. 漏洞回報的入口在哪裡？
外部研究人員或用戶發現問題時，要能找到你。網站上有沒有固定的資安聯絡管道？收到之後誰負責判斷嚴重程度？這條路要在上線前就設計好。
3. 更新能不能快速送到用戶手上？
修補做好了，還要能推送出去。App 的強制更新機制、裝置的遠端韌體更新，都應該寫進第一版的規格，而不是等出事才補。
4. 半夜出事，誰接電話？
24 小時的時鐘不看上班時間。開發廠商在維運期間的回應時間、聯絡窗口與交接方式，都要事先講好。
這些問題和一般的程式碼資安檢查是互補的；如果你還沒看過，可以搭配閱讀〈能跑，不代表安全：委託客製化開發前，該問的四個 AI 程式碼資安問題〉。
品牌和開發廠商之間：責任要寫進合約
在 CRA 的框架裡，負責通報的是「製造商」，也就是用自己名義把產品推上市場的一方。對大多數品牌來說，就算程式是外包寫的，責任仍然落在品牌身上。
因此合約裡至少要寫清楚：
- 維運期間的資安回應時間：例如發現被利用的漏洞後，廠商要在幾小時內提供影響範圍與初步分析。
- 元件清單的交付與更新：每次發版都要同步更新，並交給品牌保存。
- 支援期限：產品在市場上賣多久，資安更新就要支援多久。CRA 本身也很重視讓用戶知道產品的支援期間。
- 通報分工：誰負責上平台填報、誰提供技術資料、誰對外說明。
AI 讓寫程式越來越快，但「出事時誰負責、多快能回應」這種事，沒有工具可以代替人事先想清楚。
結語：把通報能力當成產品的一部分
網路韌性法案傳遞的訊息很明確：軟體不是交件就結束，而是要在整個銷售期間持續被照顧。對品牌來說，這反而是一個機會：把元件管理、更新機制和回應流程一開始就設計進去，產品在歐洲市場上才走得穩，也更容易取得通路與企業客戶的信任。
TitApeX 在規劃客製化系統與 App 時，會把這些維運需求和介面設計一起放進藍圖。如果你的產品正準備進入歐洲市場，歡迎和我們聊聊，或先看看我們的服務內容。
留言