歐盟 CRA 白皮書
歐盟資安韌性法案 (CRA) 白皮書
Industrial Cybersecurity Readiness for Industrial IoT Devices
1. 摘要（Executive Summary）
隨著歐盟資安法規持續演進，《資安韌性法案》（Cyber Resilience Act, CRA）已對所有具備數位功能的產品提出強制性資安要求。
泓格科技致力於符合 CRA 規範，透過強化產品資安設計、安全開發流程，以及漏洞管理機制，全面提升資安能力。
為落實此承諾，我們已啟動以下國際標準認證：
- ISO/IEC 27001（資訊安全管理系統）
- IEC 62443-4-1（安全產品開發生命週期）
預計於 2026 年底前完成認證。
本白皮書說明我們邁向 CRA 合規準備（CRA Readiness）的策略與執行方向，確保合作夥伴與客戶能長期獲得安全可靠的產品。
2. 什麼是 CRA（Cyber Resilience Act）？
《資安韌性法案》（CRA）為歐盟針對數位產品所制定的資安法規，主要針對：
- 具備數位元素的產品（Products with Digital Elements, PDE）
- 強制要求（資安內建（Security-by-Design）
- 規範產品全生命週期資安管理
- 要求建立漏洞通報與修補機制
主要目標：
- 提升歐盟市場整體產品資安水準
- 強化製造商責任
- 降低連網設備的資安風險
3. 產品適用範圍
下列產品皆屬於 PDE 範疇，需符合資安要求：
- 遠端 I/O 模組
- 工業控制器
- 工業通訊閘道器
上述產品皆屬於 CRA 所定義之「具數位元素產品（PDE）」，需符合相關資安要求。
4. CRA 合規策略
為符合 CRA 要求，我們從以下幾個面向進行強化：
4.1 安全開發流程（Secure Development）
- 導入 IEC 62443-4-1 安全開發流程
- 建立以下機制：
- 安全程式設計規範
- 威脅建模（Threat Modeling）
- 資安測試（SAST / DAST）
4.2 資訊安全管理（ISMS）
- 建立 ISO/IEC 27001 資訊安全管理系統
- 涵蓋範圍：
- 風險評估
- 資產管理
- 存取控制
- 資安事件應變
4.3 漏洞管理機制
- 持續監控資安漏洞
- 建立 PSIRT（產品資安事件應變小組）
- 導入協同漏洞揭露（Coordinated Vulnerability Disclosure, CVD）流程
4.4 產品資安設計
我們的產品設計包含：
- 身分驗證與授權機制
- 安全通訊（如 TLS）
- 韌體完整性驗證
- 安全更新（Secure Update）機制
5. CRA 準備時程 (Roadmap)
| 階段 | 時程 | 說明 |
|---|---|---|
| 第一階段 | 2026 Q1 | 專案啟動與差距分析 |
| 第二階段 | 2026 Q2-Q3 | 建立 ISMS 與安全開發流程 |
| 第三階段 | 2026 Q4 | 進行認證稽核 |
| 第四階段 | 2027 起 | 持續維運與合規改善 |
6. 對合作夥伴的價值
透過 CRA 準備與資安強化，我們的經銷商與系統整合商可獲得：
- 降低歐盟市場法規風險
- 加速專案導入與審核
- 提升終端客戶信任
- 確保產品長期資安支援
7. 持續合規承諾
資安並非一次性工作，而是持續改善的過程。
泓格科技將持續：
- 精進資安流程與制度
- 即時修補已知漏洞
- 與合作夥伴保持透明溝通
8. 結論
透過導入 ISO 27001 與 IEC 62443-4-1，
泓格科技正積極邁向 CRA 合規準備（CRA Readiness）。
我們致力於為歐洲市場提供安全、可靠且具未來性的工業解決方案。
9. 法律免責與聯繫聲明
- 資訊性質：本白皮書所載之時程與目標僅供參考，不構成法律意義上的「保證取得認證」或「產品絕對安全」之承諾。
- 時程變動：相關認證進度可能受第三方稽核機構時程、法規變更或其他不可抗力因素影響。
- 契約優先：產品之具體技術規格與資安支援條約，應以雙方正式簽署之採購契約或產品說明書為準。
