文／游政卿（合勤投資控股資安長）
距離 CRA 通報義務適用不到八個月，這是一場治理壓力測試，企業準備好了嗎？歐盟《網路韌性法案》真正改變的不是技術清單，而是市場規則。產品資安不再是加分題，它直接決定能不能賣進歐盟，能不能留在供應鏈名單上。歐盟在意的也不只是出廠那天有沒有過測，而是事件發生那天能不能把事情接住。能不能啟動通報，維持修補節奏，把目前掌握的情況講清楚，同時交得出能被回放的紀錄。
對台灣網通與電子製造業來說，第一個會被放大檢視的日期是 2026 年 9 月 11 日。從那天起，通報義務開始適用，包含 24 小時內的 early warning。歐洲採購端的問題已經換了方向。他們不再只問交期、報價、規格，而是更務實地問一句，事件發生第一天，準備怎麼交代。很多公司到這一步才發現，內部真正卡住的不是技術，而是誰能決定要不要對外說，誰敢在資訊不完整的時候簽字。
PSIRT（產品資安事件應變小組）的節點怎麼跑，24 小時內誰拍板要不要報、怎麼報。若出現正在被利用的漏洞，客戶常常不是等你寫完報告才問，他會先丟一句話過來，先告訴我會不會波及既有設備，先給我能用的緩解措施，下一次更新什麼時候給。
[ 加入 CIO Taiwan 官方 LINE 、 Facebook 與 LinkedIn，與全球CIO同步獲取精華見解 ]
採購端看的不是修辭，而是交付的東西能不能被驗證。資訊不完整、情勢還在變的時候，能不能把風險說清楚，把行動先動起來，並在需要時拿得出佐證。只要回答含糊，對方就會用最保守的假設來看待供應商，名單管理會跟著動。
2026 年 9 月 11 日的考題，不是 24 小時內釐清全貌，而是 24 小時內要能啟動、要能決策、要能對外說明 CRA 的 early warning 常被誤解成一天內要查清楚一切。它其實不要求在一天內破案，它要看的是掌握到重大事件或高風險線索時，能不能把流程跑起來，能不能先把第一輪說明交出去。後續資訊可以補，正式通知與最終報告也有時限，但第一輪不能空白。
實務上，第一輪至少要抓得住兩份最基本的交付。第一份是「第一輪對外說明」，一頁就好。把目前掌握的事實寫清楚，把已經啟動的動作寫清楚，把下一次更新的時間點寫清楚。不要把它寫成承諾書，更不要寫成作文，採購、資安、法務能在同一頁上對齊就夠。
第二份是「影響範圍初判表」，一到兩頁。型號、版本、部署情境、初判狀態、依據來源要能對得起來。客戶不是要立刻得到百分之百答案，他要確認的是在混亂中切得出範圍，而且切法能回頭追。
第一輪對外交付通常繞不開兩件事。得先切出可能影響範圍，哪些型號、哪些版本、哪些部署情境可能被波及。也得交代當下處置，是先停用某功能，先給緩解措施，或啟動緊急修補。更重要的是，下一次更新什麼時候給，買方要看到的是節奏。
產品交付到使用端後，知道風險不等於監控用戶
常見的疑問是，不監控用戶行為，怎麼知道是否遭受攻擊。CRA 要的是合理知悉，不是要求監控用戶。難題在於既要看得到風險，又不能踩到隱私與法務紅線。務實做法是最小化安全遙測與風險判斷，例如健康狀態回報、異常跡證、攻擊指標。技術往往不是最難，難的是原則先訂清楚。原則不清楚，最後很容易走向資料蒐集過度，反而引出新的資料治理風險。收得越多，後面越難說明，也越難讓客戶放心。
底線很簡單。只收集支撐安全判斷所需的最少資料，用途限於偵測、評估、通報與修補決策。在可行範圍提供清楚選項，同時把隱私影響評估、法務與合規檢視放進產品生命週期。要能說得清楚，也交得出佐證。
情資能幫忙省時間，但不會替企業做決策
大型企業可以自建完整偵測體系，但對多數中型製造業而言，成本與維運門檻都不低。更務實的策略，是先縮短時間差。接入國家級或產業級情資共享機制，在同業遭遇攻擊的第一時間取得攻擊樣態、偵測指標與防護建議，先把辨識與判讀往前拉。
但情資只會讓企業更早知道，不會替企業拍板。若缺少清楚的通報門檻與拍板機制，情資反而會讓告警量失控，團隊更快耗盡能量。最後能不能留在名單上，看的還是出事當下能不能決定、能不能交付。
很多公司不是修不出來，而是說不清楚
很多公司不是做不到修補，而是敗在說不清楚。一旦說不清楚，客戶只能用最保守的方式對待供應商，先停用、先退貨、先換供應商。CRA 只是把市場早就在做的事，寫成必須交付的制度。
[ 推薦閱讀：資安成為供應鏈信任門檻 以 CSF 2.0 建立信任基石 ]
企業需要能拿得出可追溯的決策時間線。何時知道、何時評估、何時決策、何時通報、何時修補，都要說得清楚，也拿得出紀錄。每次重大漏洞或事件，都應該能交出一張單頁，用最少文字交代三件事，做了什麼，為什麼這樣做，下一步怎麼做。這張單頁不是寫給工程師看的，它要讓採購、法務、稽核，甚至董事會都看得懂，也能回頭追。
供應鏈責任怎麼切，最後看誰能證明
供應鏈型態不宜用 ODM 或 OEM 一概而論，但多數企業仍可回到幾個現實問題。合約怎麼寫，實際能控制到哪裡，拿不拿得出證據。「設計端」通常具備修補能力，關鍵在 SBOM 透明度、影響判定時效、修補時限承諾與版本支援政策。「製造端」未必主導底層修補，但必須能證明製程安全與交付完整性，例如產線隔離、韌體燒錄完整性驗證、金鑰注入控管與追溯機制。品牌與出貨方最終要承擔市場與商譽風險，交不出證據，事故當天就很難談信任。
把通報變成日常，不要等事故當天才第一次演練
距離 2026 年 9 月 11 日不遠，建議立刻啟動桌面演練，把通報門檻、角色分工、決策節點與對外溝通模板跑過一輪。不要等到事件發生，才第一次臨時湊流程、湊帳號、湊通報平台與內外部窗口。
順序可以很務實：
- 先把通報門檻與拍板機制講清楚，誰啟動、誰核定，哪些情境必須通報，第一輪能說到什麼程度。
- 接著跑一次演練，把資料來源、影響範圍怎麼切、第一輪對外說明怎麼交付都走過一遍。
- 最後再補最小化遙測與存證，不需要蒐集一堆資料，關鍵是事件當下看得到風險，同時把何時知道、何時決策、何時通報、何時修補留成拿得出手的證據。
對外溝通模板也要先準備好，至少兩套。一套給客戶，一套給監管或稽核。事故當天沒有時間重寫，需要的是能立即套用、也不會踩法務地雷的第一段說明。客戶要的是第一時間能不能說清楚目前掌握的事實，監管要的是有沒有依門檻啟動流程並留下紀錄。兩套放在同一份檔案裡，事故當天才不會同時踩到兩種風險。
最後回到最核心的問題。CRA 通報義務不是要在 24 小時內破案，它要看的是治理節奏。做得到的人會被視為可預期，做不到的人會被視為不可控。差別通常不是技術，而是交不交得出東西。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
