歐盟《網路韌性法案》（CRA）為所有進軍歐洲市場的「內含數位元件產品（PwDE）」樹立全新標竿，全面將硬體與軟體納入強制性的網路安全監管範疇。這項法規的推行，旨在督促製造商貫徹端到端的安全承諾，要求製造商在產品生命週期中導入安全設計、漏洞管理與安全更新機制，以提升產品韌性。

 歐盟《網路韌性法案》（CRA）的規範範疇極為廣泛，全面涵蓋所有能直接或間接連接至其他設備或網路的「內含數位元件產品（PwDE）」，不論是智慧型手機、IoT 設備、路由器等可連線硬體，或是作業系統、應用軟體及軟體程式庫等範疇皆在其列；僅有醫療設備、汽車等已受其他專門法規監管的特定產品，以及非商業用途的開放原始碼軟體得以豁免。面對此項新制，DFI 多數可連網之工業電腦、嵌入式系統與相關軟體，可能落入 CRA 所定義的 PwDE 範疇，實際適用性仍需依產品配置與市場用途評估。DFI 已將相關產品線納入 CRA 準備與評估範圍，協助客戶銜接國際資安要求。

在 CRA 的框架下，製造商的合規義務橫跨了產品從研發到售後的完整生命週期。在產品上市前的整備階段，企業必須落實網路安全風險評估以確保產品合規，並同步完成技術文件的備妥、符合性評估程序與 CE 標誌之獲取；而在產品推出後的營運階段，製造商需在產品支援期間履行安全更新與漏洞管理義務，並在遭遇已被利用的安全漏洞或重大資安事件時，主動且迅速地向官方機構履行通報義務。 

調和標準是由 CEN、CENELEC 與 ETSI 等歐洲標準組織制定的技術規範，核心任務是將《網路韌性法案》（CRA）的基本安全要求，轉為研發端可實作的明確規格。這套標準以現行全球資安標準為基石，其「橫向」與「縱向」標準預計於 2026 年 8 月與 10 月陸續發布；DFI 將持續追蹤最新標準進展，並逐步調整產品開發與資安流程以保持對齊。

掌握 CRA 合規時程，有助於降低產品進入歐盟市場時的合規風險。本法規將分雙階段正式推行：2026 年 9 月 11 日起率先將「漏洞與資安事件通報」列為強制性法定義務；而最關鍵的全面合規截止日則定於 2027 年 12 月 11 日，屆時CRA 相關市場准入要求將正式適用，未達標產品將無法取得 CE 標誌，企業必須從現在開始加速產品線的資安佈局。

未能符合 CRA 規範的企業，未符合 CRA 要求者，可能面臨行政罰鍰、產品下架或市場銷售限制等風險。法規針對核心違規行為制定了嚴格的懲罰機制，最高可處 1,500 萬歐元，或企業全球年度總營業額的 2.5%（以金額較高者為準）；其餘技術性或程序性違規亦有相應的罰則。此舉明確彰顯了歐盟全面提升數位設備資安的決心，CRA 合規將成為適用產品進入歐盟市場的重要條件。

歐盟 CRA 與 NIS2 兩大資安法規齊頭並進，但各自建立了不同維度的安全防線。NIS2 指令著重於保護「關鍵基礎設施與基礎服務營運商」的資訊系統與網路安全；而 CRA 則直接聚焦於「數位產品本身」，強制落實源頭安全設計與全生命週期漏洞治理。兩大法規相輔相成，全面築起歐洲數位環境的整體防禦韌性，而 DFI 的工業運算平台可作為客戶建構 CRA-ready 產品時的重要基礎，協助導入安全設計、漏洞管理與長期維護機制。

軟體物料清單（SBOM）是詳列產品內所有軟體元件與程式庫的「數位成分表」。CRA 要求製造商針對產品軟體元件建立相關清單與技術文件，以支援漏洞管理與合規查核；雖然目前法規並未強制製造商主動公開此項資料，但若監管機構或市場監督當局依法提出查核要求，企業需具備依主管機關或市場監督機構要求提供相關 SBOM 資訊的能力。

DFI 已取得 IEC 62443-4-1 安全開發生命週期（Secure Development Lifecycle, SDL）相關認證，確保其產品設計與開發流程符合嚴謹的工控資安標準。目前公司正依內部政策及客戶需求，規劃取得 IEC 62443-4-2 認證。相關證書請點我查看。