歐盟《網路韌性法案》（Cyber Resilience Act, CRA）於2024年正式生效並分階段適用，影響正擴及全球半導體供應鏈。CRA將產品資安責任由市場自律或使用者承擔，轉為以製造商為主、其他經濟營運者共同承擔的法定義務。凡屬適用範圍並於歐盟市場提供的具數位元素產品，原則上皆須證明其在設計、開發、上市與支援期間符合資安要求；自有品牌商、設備商與OEM／ODM／EMS的具體責任，則須依市場投放名義、產品控制權與契約分工判斷。對半導體供應鏈企業而言，資安已成為影響歐洲市場產品上市、供應穩定與營收表現的營運風險。
半導體代工廠及早建立完整合規支援能力
即便半導體供應鏈中上游的代工製造業者，未必直接面對歐盟主管機關裁罰，仍可能透過品牌客戶的供應鏈管理、契約條款與稽核機制層層轉嫁，直接或間接形成供應鏈不可逆的外溢合規壓力。若代工廠能及早建立完整的產品資安證據與合規支援能力，將有助於降低客戶法遵風險，並強化合作信任。對高度仰賴出口的臺灣科技與製造業而言，這將是影響競爭門檻與供應鏈分工的重要挑戰。
然而，不少企業仍存在合規迷思，並誤以為持有ISO／IEC 27001認證或遵循SEMI E187半導體設備資安標準，即可作為CRA合規證明或歐盟市場准入保證。事實上，ISO／IEC 27001屬於組織層級管理制度，無法直接證明單一產品符合CRA對架構設計、漏洞處理、技術文件與符合性評估的要求；SEMI E187雖具產業參考價值，亦非CRA指定的法規符合標準。治理原則回答「做什麼」，工程落地則必須回答「如何做到」；管理與技術之間的落差，正是企業在面對「安全設計」要求時顯得進退失據的主要困境。另依CRA規定，製造商在知悉產品存在遭積極利用之漏洞或發生嚴重資安事件後，須依分階段通報機制於法定時限內提出早期預警及後續通報。若企業缺乏研發、品保與法務的事件協同應變機制，危機爆發之際將可能失去應變主導權與客戶信任。
實務上企業面臨五項關鍵缺口
歸納實務經驗，企業存在五項關鍵的缺口包括：缺乏安全產品開發流程與明確權責分工、未在設計初期進行威脅建模、測試過度偏重功能驗證而忽略安全韌性、上市後缺乏漏洞處理與事件回應機制，以及安全強化指引不足，這些缺口直接提高CRA違規風險。若違反核心資安要求與製造商義務，最高可處1,500萬歐元或全球年營業額2.5%的罰鍰，並可能面臨限制上市、下架、召回等措施，影響產品在歐盟市場的供應與准入。
為能順利跨越合規斷層，企業可參考IEC 62443，整合資安治理與產品安全設計。其中，IEC 62443-4-1著重安全開發流程，IEC 62443-4-2著重產品技術要求，與CRA在安全設計、漏洞處理與技術控制方面高度相關，尤其適用於工業設備與控制系統產品。實務上，企業可透過威脅分析、SBOM自動化管理、弱點掃描整合CI／CD合規檢核，建立漏洞處理與事件回應能力。但須注意，相關標準僅提供框架性支援，並不等同自動符合CRA，企業仍須逐項檢核法規要求。
從經營戰略角度來看，決策者可將合規成本轉化為拓展國際市場的競爭優勢。在供應鏈責任共擔的趨勢下，率先完成工程化轉型的企業，將同時收穫資安韌性與營收成長的雙重碩果。
Contact us
Contact us
