歐盟 CRA 通報義務上路，臺灣廠商建置 PSIRT 升溫

歐盟《網路韌性法案》（CRA）第 14 條所規範的漏洞與資安事件通報義務正式上路，部分義務先行適用。針對遭實際利用的漏洞，製造商須在知悉後 24 小時內提出早期預警、72 小時內完成漏洞通知，並在修正或緩解措施可用後 14 天內提交最終報告；而影響產品安全的嚴重資安事件也適用同樣的時限。

這套時限設計把產品安全從自律轉為法定義務。過去產品出廠後的漏洞處理主要依賴廠商的自我要求，處理速度與揭露程度都由業者自行決定；而現在延遲通報本身就構成違規，其後果是裁罰與市場准入的風險。

24 小時的時限對組織能力提出了具體要求。要在這個時間內完成通報，企業必須有明確的接收管道、能立即啟動的評估流程，以及具備決策權限的負責窗口；這正是產品安全事件應變小組（PSIRT）的功能，也解釋了臺灣廠商近期建置這類組織的升溫。

不過，資安院提醒臺廠的成熟度仍有落差。設立組織與具備實質能力是兩回事——能否在假日與深夜維持回應、能否快速判斷漏洞是否遭實際利用、能否協調研發與製造部門在期限內提出緩解措施，這些都需要流程演練與資源投入。

對出口導向的製造業者而言，這項規範的影響難以迴避。歐盟市場的規模使得放棄並非選項，而合規的成本則必須納入產品的長期維護規劃中——特別是使用年限長的工業與嵌入式產品，其安全支援的義務可能延續十年以上。

後續觀察重點在於實際的執法力度與首批案例。規範上路只是起點，而主管機關對逾期通報的處理方式將決定業界的重視程度；同時，臺廠在首次面對實際事件時的表現，也會暴露目前準備的實際落差。