## 歐盟 CRA 進入強制合規階段！全球聯網製造商迎戰 SBOM 管理新挑戰

- 種別: news
- 重大度: critical
- 公開日時: 2026-05-29T02:18:00.000Z
- 情報源: TWCERT/CC 資安新聞 (https://www.twcert.org.tw/tw/cp-104-10934-3e66a-1.html)
- パーマリンク: https://vulnpulse.app/items/twcert-news-0255bb6bb886

《網路韌性法案》（Cyber Resilience Act, CRA）執行時程已正式進入倒數階段，最具衝擊力的第 14 條「漏洞通報義務」將於2026年9月11日 正式強制執行。屆時，所有進入歐盟市場的具備數位功能產品，若得知存在「活躍漏洞利用（Actively Exploited Vulnerability）」，製造商必須在24小時內發布早期預警。這項嚴格的法規不僅是歐盟境內的法律義務，更對全球電子製造供應鏈帶來巨大的連鎖反應，迫使廠商必須全面升級產品開發與漏洞應變機制。 根據法案最終公告條款，製造商在獲悉漏洞後將面臨極具挑戰性的時間壓力，企業必須在發現漏洞的24小時內，透過歐盟「單一通報平台 (SRP)」向當地電腦安全事件應變團隊 (CSIRT) 及歐盟網路安全局 (ENISA) 發出早期預警，並於72 小時內補齊詳細的漏洞災損評估。此外，在具備可用的矯正或緩解措施後 14 天內，製造商還需提交最終報告，若屬於重大資安事件則放寬至一個月內提交。一旦未能履行這項通報義務或產品不符資安規範，違規廠商最高將面臨1,500萬歐元或全球年營收2.5%的高額罰鍰，相關產品也可能遭受下架、召回或限制銷售等嚴厲處分。 這項涵蓋所有已在市場流通數位產品的生命週期追溯機制，正促使軟體材料清單（SBOM）成為實務上不可或缺的隱性先決條件。由於法規限定的通報時效極短，製造商若缺乏清晰的產品組件清單，…