(持續更新 2026/7/21) EU CRA 適用哪些產品？本文整理硬體、軟體、元件、連網產品、B2B、自用、FOSS及排除情形等常見問題，協助企業初步判斷產品是否落入 EU CRA的適用範圍。
EU CRA 適用哪些產品？
這個問題，看似簡單，實際判斷時，似乎又挺複雜的。
先來看看定義：
EU CRA 主要規範的對象，是在歐盟市場上提供的「具數位元素之產品（Products with Digital Elements）」，包括硬體、軟體，以及單獨投放市場的軟體或硬體組件。
簡單來說，產品需要同時滿足三個條件，才會被歸類在EU CRA的適用範圍：
- 屬於「具數位元素之產品」
- 提供至歐盟市場
- 產品的用途，會直接或間接、以邏輯或實體方式，與其他裝置或網路進行資料連接。
筆者註記：產品的用途
上述內容是為了簡化描述，關於EU CRA所提及的產品用途，可以分為兩類：
* 預定用途（Intended Purpose）
簡單來說就是：製造商原本規劃、設計或宣稱的產品用途。
通常可以從產品說明書、操作手冊、技術文件、產品規格、網站介紹或行銷資料中確認。例如：製造商宣稱智慧手錶可與手機 App 同步健康資料，這個連線同步資料的功能，就是「產品的預定用途」。
* 可合理預見的使用方式（Reasonably Foreseeable Use）
簡單來說就是：即使製造商沒有明確宣稱，但依照產品的設計、功能、使用環境及一般使用習慣，可以合理預期使用者會這樣使用產品。
值得注意的是，這不代表任何 「不正常」或「刻意濫用」的情況都要納入，而是指製造商在合理情況下，應該能預見的使用方式。
例如：產品提供藍牙、Wi-Fi、USB 或網路介面，即使說明書沒有詳細描述所有連線情境，若使用者通常會透過這些介面與其他裝置交換資料，仍可能被視為「可合理預見的使用方式」。
EU CRA ：有關「範圍」的基本問題
以下，筆者整理EU CRA法規的定義，列出跟EU CRA範圍有關的問題。
Q1: 什麼產品屬於「具數位元素之產品」？
首先，要確認評估對象是否符合 EU CRA 對「具數位元素之產品」的定義。
這類產品可能包括：
- 軟體產品
- 硬體產品
- 單獨投放市場的軟體元件
- 單獨投放市場的硬體元件
- 符合法規定義的遠端資料處理解決方案
EU CRA 所稱的硬體，是指能夠處理、儲存或傳輸數位資料的實體電子資訊系統或其部分；元件則是指預定整合至電子資訊系統中的軟體或硬體。
不只有完整設備才需要評估
具數位元素之產品不只包含完整的終端設備，下列產品也可能符合其定義：
- 可下載並安裝的應用程式或獨立軟體
- 單獨提供、預定整合至設備中的韌體或軟體
- 與硬體一同提供的作業系統、驅動程式或開發工具
- 積體電路、主機板、感測器等硬體元件
- 智慧型手機、筆記型電腦及智慧家電
- 工業物聯網設備及具有數位功能的機械設備。
因此，不能只針對最終完成的設備進行 EU CRA 評估。單獨提供至市場的軟體、韌體、函式庫、晶片、感測器或其他硬體元件，也可能需要進一步判斷。
符合上述定義，不代表一定適用 EU CRA
確認產品符合「具數位元素之產品」的定義後，仍需要繼續判斷：
* 是否投放或提供至歐盟市場；
* 預期用途或可合理預見的使用方式，是否包含與設備或網路建立直接或間接的資料連線；
* 是否屬於 EU CRA 明文排除或受其他特定歐盟法規規範的產品。
請參考以下...Q2、Q3、...
法規參考:
EU CRA Article 2：適用範圍
EU CRA Article 3(1)：具數位元素之產品
EU CRA Article 3(2)：遠端資料處理
EU CRA Article 3(4)：軟體
EU CRA Article 3(5)：硬體
EU CRA Article 3(6)：元件
Q2: 產品是否提供至歐盟市場？
EU CRA 是歐盟的產品法規，因此適用於當產品提供至歐盟市場的情境。
依據 EU CRA Article 3 之定義：
- 投放市場（Placing on the Market）：產品第一次在歐盟市場被提供。
- 提供至市場（Making Available on the Market）：在商業活動中，將產品提供於歐盟市場進行流通或使用，不論是收費或免費。
下列的幾種情況，都可能屬於提供至歐盟市場：
- 直接銷售給歐盟消費者；
- 提供給歐盟境內的企業客戶；
- 透過進口商、經銷商或線上平台提供；
- 在商業活動中免費提供軟體或產品；
- 將軟體、韌體或硬體元件，單獨提供給其他企業整合使用。
產品在哪裡開發或製造，通常不是關鍵；產品是否在商業活動中被提供至歐盟市場，才是 EU CRA 適用範圍的重要判斷條件。
筆者註記：開發地點或製造地點不是主要判斷依據
盤點產品時，不能只看產品的製造地點。
真正需要確認的是：
* 產品是否提供至歐盟市場；
* 是第一次投放市場，還是後續由經銷商提供；
* 是完整產品，還是單獨提供的軟體、韌體或硬體元件；
* 產品是在商業活動中提供，還是僅供企業自身內部使用；
* 由誰以自己的名稱或商標將產品提供至市場。
EU CRA 所稱的「製造商」，不一定是實際執行生產或程式開發的單位，也可能是委託他人設計、開發或製造，並以自己的名稱或商標銷售產品的企業。
此外，如果 進口商 或 經銷商 改以自己的名稱或商標投放產品，依據 Article 21，其可能被視為製造商，並承擔相應義務。
如果企業為自身使用而開發的產品，並未提供至歐盟市場，通常不會落入 EU CRA 的適用範圍。
例如：企業自行開發並僅供內部使用的工具，就不在 EU CRA 範圍內；但若之後將該工具作為獨立產品提供至市場，則需要重新評估。
法規參考:
EU CRA Article 3(13)：Manufacturer
EU CRA Article 3(21)：Placing on the Market
EU CRA Article 3(22)：Making Available on the Market
EU CRA Article 21：進口商及經銷商被視為製造商的情況
Q3: 產品用途是否包含資料連接？
EU CRA 適用範圍的第三個條件，是確認產品的用途，是否包含與其他裝置或網路建立資料連接。
這裡所稱的資料連接，不只包括一般理解的網際網路、Wi-Fi、行動網路或雲端連線；EU CRA Article 3 進一步定義不同的連接方式：
- 邏輯連接 Article 3(8)：透過軟體介面建立的資料連接。例如： API、Socket、Pipe、檔案或其他軟體介面。
- 實體連接 Article 3(9)：透過電氣、光學或機械介面、線材或無線電波建立的連接。例如：USB、Ethernet、光纖或銅線、PROFIBUS 等工業通訊線路、Wi-Fi、Bluetooth、NFC、等…。
- 間接連接 Article 3(10)：產品本身不是直接連接裝置或網路，而是作為較大系統的一部分，透過該系統建立連接。
為什麼要考慮這些連接的方式呢？
EU CRA Recital 9 特別說明，即使產品只與其他裝置或網路間接連接，仍可能成為攻擊者進入較大型系統的途徑。
因此，產品沒有連接網際網路、 Wi-Fi、行動網路或雲端功能，仍存在風險，所以也都被劃入EU CRA的適用範圍。
企業需要注意什麼？
企業在判斷產品是否具有資料連接時，不應只確認產品是否可以連上網際網路，也不能只查看產品是否具有 Wi-Fi 或雲端功能。
建議進一步盤點：
- 產品是否具有 USB、Ethernet 或其他通訊介面；
- 是否使用 Bluetooth、NFC 或其他無線通訊；
- 是否透過工業通訊協定與控制器或其他設備交換資料；
- 是否透過檔案、API、Socket 或其他軟體介面交換資料；
- 是否安裝或整合在可連線的主機、作業系統或設備中；
- 產品的用途，是否包含上述連接方式。
法規參考:
EU CRA Article 2(1)：適用範圍
EU CRA Article 3(8)：Logical connection
EU CRA Article 3(9)：Physical connection
EU CRA Article 3(10)：Indirect connection
EU CRA Recital 9：實體、邏輯及間接連接所產生的資安風險
Q4: 上述三項基本條件都符合，就一定適用 EU CRA 嗎？
當產品同時符合前述 Q1、Q2、Q3 的三項條件時，代表該產品已初步落入 EU CRA 的適用範圍。
不過，判斷還沒有結束。
還需要進一步確認產品，是否屬於 EU CRA 明定的排除或不適用範圍。
EU CRA Article 2(1) 規定法規的一般適用範圍；Article 2 (2) 至 (4) 則排除部分已受到其他特定歐盟法規管理的產品。
這邊要注意！排除 ≠ 不管，是有其他歐盟法規管理喔！
依據 Article 2(2)，EU CRA 不適用於受到下列法規規範的具數位元素之產品：
- Regulation (EU) 2017/745 所規範的醫療器材；
- Regulation (EU) 2017/746 所規範的體外診斷醫療器材；
- Regulation (EU) 2019/2144 所規範的機動車輛、拖車，以及相關系統、元件。
此外：
- Article 2(4) 排除落入 Directive 2014/90/EU 適用範圍的船舶設備。
- Article 2(3) 排除依據 Regulation (EU) 2018/1139 完成認證 的 民用航空相關產品；
因此，即使產品已符合 Q1、Q2、Q3，仍不能直接認定一定適用 EU CRA，還需要搭配 Article 2 的排除規定進一步確認。
歐盟執委會授權規則/委任規則：Commission Delegated Regulation (EU) 2025/1535
(EU) 2025/1535 是歐盟執委會依 EU CRA Article 2(5) 的授權制定，用來補充 EU CRA 的適用範圍。它明確排除部分受到 Regulation (EU) No 168/2013 管理的 L 類車輛（二輪、三輪及四輪車輛），避免相同產品同時受到兩套資安法規重複管理。
筆者備註：法規排除，不代表客戶不會提出要求
產品不適用 EU CRA，不代表客戶或供應鏈不會提出相關要求。
以汽車產業為例，並不是整個汽車產業及所有供應商產品都一律排除，而是需要確認個別車輛、系統、元件或獨立技術單元，是否實際落入 Regulation (EU) 2019/2144 的適用範圍。
筆者也觀察到，部分歐洲車廠仍會在 RFQ 或供應商要求中，要求 Tier 1、Tier 2，甚至 Tier 3 供應商滿足 EU CRA 的要求。
至於為什麼產品可能依法排除，客戶卻仍要求供應鏈比照 EU CRA 執行，背後還有許多實務考量。這個故事...說來話長，之後有機會再另外撰文分享。
排除範圍的常見陷阱：不是看產業，而是看產品身分
判斷產品是否排除時，不能只看產品屬於哪一個產業，而應確認：
- 產品實際受到哪一項歐盟法規規範
- 是否已依指定法規完成認證或型式認證
- 該元件本身是否也落入特定法規的適用範圍
- 該元件是否以獨立產品形式提供至歐盟市場
案例：以航空產品為例
並不是所有航空相關產品都會自動排除。
只有依據 Regulation (EU) 2018/1139 完成認證的產品，才適用 Article 2(3) 的排除規定。
未依該法規完成認證的產品，例如：部分開放類別無人機，若符合具數位元素之產品及市場提供等條件，仍可能需要符合 EU CRA。
同樣地，某個元件即使預定整合至已認證的航空產品中，只要該元件本身未依航空法規完成認證，且以獨立產品形式提供至市場，仍可能落入 EU CRA 的適用範圍。
案例：以船舶設備為例
船舶設備可能落入 Directive 2014/90/EU，因此不適用 EU CRA。
但提供給該設備使用的軟體或硬體元件，如果本身不在船舶設備指令的適用範圍內，且單獨提供至歐盟市場，仍可能需要符合 EU CRA。
案例：以車輛為例
落入 Regulation (EU) 2019/2144 適用範圍的機動車輛、拖車，以及相關系統、元件，原則上不適用 EU CRA。
此外，(EU) 2025/1535 也進一步排除落入 Regulation (EU) No 168/2013 適用範圍的具數位元素之產品，包括相關二輪、三輪及四輪車輛。
不過，設計為可踩踏的 L1e 類別車輛 不適用此項排除。
值得注意的是，並不是所有車用零組件都會因為安裝於車輛中而自動排除。若某項軟體、硬體或零組件本身未落入上述車輛法規的適用範圍，並且以獨立產品的形式提供至歐盟市場（例如：部分後裝產品），仍可能需要符合 EU CRA。
法規參考:
EU CRA Article 2(1)：適用範圍
EU CRA Article 2(2)：醫療器材、體外診斷醫療器材及特定車輛產品之排除
EU CRA Article 2(3)：依 Regulation (EU) 2018/1139 完成認證之航空產品
EU CRA Article 2(4)：Directive 2014/90/EU 適用之船舶設備
EU CRA Article 2(5)：其他歐盟法規產品之限制或排除機制
EU CRA Article 2(6)：符合特定條件之相同替換零件
EU CRA Article 2(7)：國家安全、國防及機密資訊處理產品
EU CRA ：有關「範圍」的延伸問題
除了上述的基本問題之外，以下是筆者收到最常詢問的企業問題。
如果你也有相關問題，歡迎留言 或 來信，我會再持續更新內容 🙂
Q: 產品不上網，也算在 EU CRA 的範圍嗎？
不少企業在判斷 EU CRA 適用範圍時，第一個想到的是：
「我們的產品沒有連接上網，是不是可以排除？」
但實際上，不上網，不代表不適用 EU CRA。
EU CRA 關注的不只是產品能不能連上網際網路，而是產品的預期用途或可合理預見的使用方式，是否包含與其他設備或網路，建立…
- 直接或間接連線；
- 邏輯或實體連線；
- 用於傳輸、處理或交換數位資料的連線。
依據 EU CRA Article 2(1)，只要具數位元件之產品被提供至歐盟市場，而且其預期用途或可合理預見的使用方式包含與設備或網路，建立直接或間接的邏輯或實體資料連線，就可能落入 EU CRA 的範圍。
沒有連上網際網路，仍可能適用
例如：產品具備以下連線方式時，即使沒有連上網際網路，仍可能屬於 EU CRA 範圍：
* 透過 Ethernet 連接企業內部網路或區域網路
* 透過 USB 與電腦或其他設備交換資料
* 透過 CAN、Modbus、RS-485 或 UART 傳輸數位資料
* 透過 Bluetooth、Wi-Fi Direct、Zigbee 或 NFC 連接其他設備
* 透過 Fieldbus 或 Industrial Ethernet 與 PLC、HMI 或 Gateway 通訊
EU CRA 對「實體連線」的定義相當廣泛，包含透過電氣、光學或機械介面、線材及無線電波建立的連線。邏輯連線則包括透過軟體介面建立的資料連線，例如：網路通訊端、檔案、API 或其他軟體介面。
筆者備註：介面存在，不代表一定適用EU CRA
值得注意的是...不能只看到產品具有 USB、RS-485 或其他介面，就直接判斷一定適用。
仍應進一步確認：
* 該介面是否用於傳輸數位資料；
* 是否會與其他電子資訊系統或元件連線；
* 這種連線是否屬於產品的預期用途；
* 或是否屬於可以合理預見的使用方式。
例如：USB 若僅用於供電，而不具備資料傳輸能力，其判斷結果可能與可傳輸韌體、設定檔或操作資料的 USB 介面不同。
其他例如：洗碗機、基本型計算機、電子玩具、咖啡機及無線充電牙刷、等...；若其內建韌體只控制本身功能，且不具備連接其他設備或網路的能力，通常不屬於 CRA 的適用範圍。
法規參考:
EU CRA Article 2(1)：適用範圍
EU CRA Article 3(8)：Logical connection
EU CRA Article 3(9)：Physical connection
EU CRA Article 3(10)：Indirect connection
本文同步發布於 LinkedIn 【EU CRA 問與答】 #008
Q: ODM 白牌產品由品牌商掛牌銷售，誰要符合 EU CRA？
假設 企業 A 負責 ODM，完成產品的設計、開發及製造，再由 企業 B 掛上自己的品牌，提供至歐盟市場。在這個情況下，誰才是真正需要符合 EU CRA的規範呢？
在一般情況下，企業 B 會被視為 EU CRA 所稱的「製造商」，並對最終產品承擔主要的合規責任。
為什麼品牌商 B 會被視為製造商？
EU CRA 判斷「製造商」時，不是簡單的看誰實際設計、開發及製造產品；依據 EU CRA Article 3(13)，製造商的定義包括：
- 自行開發或製造產品的企業；
- 委託他人設計、開發或製造產品的企業；
- 並以自己的名稱或商標將產品提供至市場的企業。
因此，即使產品實際上由企業 A 開發及製造，只要是企業 B 委託，並以自己的品牌將產品提供至歐盟市場，企業 B 通常仍屬於 CRA 法規上的製造商。
企業 A 與企業 B 實際的區分
| 企業 | 一般角色 | EU CRA 下的責任 |
|---|---|---|
| 企業 A | ODM、實際開發及製造供應商 | 依合約提供設計、測試、元件、漏洞及更新等合規資料 |
| 企業 B | 品牌商、CRA 法規上的製造商 | 對以自身品牌提供的最終產品承擔主要合規責任 |
企業 B 需要負責什麼？
企業 B 不能只以「產品是其他公司設計製造」為理由，將責任全部推給企業 A。
作為 CRA 製造商，企業 B 原則上需要根據 EU CRA Article 13 確保產品的設計、開發及生產符合基本網路安全要求，執行風險評鑑、第三方元件盡職調查、漏洞處理、技術文件及符合性評估、...等工作。此外，EU 符合性聲明由製造商簽署；製造商簽署該聲明後，即對產品符合 EU CRA 承擔責任。
但是...企業B畢竟沒有深入產品的開發與設計，又該如何確保呢？
答案是：通常...他們會透過「合約」要求 企業A
企業 A 完全沒有責任嗎？
不能這樣理解。
就企業 B 品牌的最終產品而言，企業 A 通常不是 CRA 法規上的製造商；但產品的實際設計、原始碼、硬體架構、第三方元件及更新能力，多半掌握在企業 A 手中。
因此，企業 B 若缺乏企業 A 的配合，實務上很難完成 CRA 合規。
值得一提的是：最終產品製造商在整合第三方元件時，仍須執行適當的盡職調查，確認元件不會危害整體產品的網路安全。即使漏洞來自整合的第三方元件，最終產品製造商仍須對完整產品履行漏洞處理義務，包括通知使用者、提供緩解措施、更新文件及安排修補。
合約可以把責任轉給 ODM 廠嗎？
企業 B 可以透過合約，要求企業 A 執行特定工作，並約定責任、時限、費用及損害賠償。
但對歐盟主管機關而言，若企業 B 是 CRA 法規上的製造商，企業 B 仍是主要的法定責任主體。雙方合約可以分配內部工作與商業風險，但不會僅因合約約定，就將企業 B 的製造商身分改成企業 A。
需要特別注意的其他情況
如果企業 A 也以自己的名稱或商標，將相同或不同版本的產品提供至歐盟市場，企業 A 也可能成為 EU CRA 所稱的製造商。因此，企業 A 並不是在所有情況下都與 EU CRA 無關，仍須依實際供應及投放市場的方式分別判斷。
法規參考:
EU CRA Article 3(13)：製造商定義
EU CRA Article 13：製造商義務
EU CRA Article 14：製造商通報義務
EU CRA Article 21：進口商或經銷商被視為製造商的情況
EU CRA Recital 34：第三方元件的盡職調查
本文同步發布於 LinkedIn 【EU CRA 問與答】 #028
Q: 公司自行開發、內部使用的軟體，也需要符合 EU CRA 嗎？
常見情境
公司為了維運設備，自行開發一套系統，用來掃描與日常維運。這套工具只提供內部技術人員使用，包含公司在歐盟境內的子公司，但是沒有對外銷售，也沒有提供給客戶、合作夥伴或其他企業。
簡要說明
這個問題其實包含兩個不同的判斷層次：
第一，是工具是否真的「僅供自己使用」
如果工具始終由企業自行開發、僅供自己使用，且沒有被提供或投放至歐盟市場，原則上不會落入 EU CRA 的適用範圍。
第二，是提供給歐盟境內的子公司使用，是否仍可視為企業內部使用
如果工具也提供給歐盟境內的子公司使用，則還需要進一步確認該子公司是否為獨立法人，以及工具是否已實際提供給另一個法律實體使用。
因此，不能只因雙方屬於同一企業集團，就直接認定該工具仍屬於「僅供自己使用」。
EU CRA Article 2(1) 的適用前提之一，是具數位元素之產品已被提供至歐盟市場。
EU CRA 本身並未另外將「自行開發、僅供自己使用」列為一種產品類別，而是因為這類產品通常沒有被提供或投放至市場，所以不符合 EU CRA 的市場適用前提。
製造商自行開發、僅供自己使用的開發工具或組態工具，原則上不屬於 EU CRA 的適用範圍；除非該工具後續被作為獨立產品投放市場。
因此，公司自行開發的設備維護工具、掃描工具、組態工具或內部管理軟體，只要始終僅供自己使用，原則上不會落入 EU CRA 的適用範圍。
《Blue Guide》Section 2.3 進一步說明，產品如果是為了自己使用而製造，原則上不會被視為已「投放市場」，除非相關歐盟調和法規明確將自行使用納入適用範圍。
需要特別注意的其他情況
由於本案例中的工具也提供給歐盟境內的子公司使用，因此這部分仍存在進一步判斷的必要。
針對問題中所提到的「子公司」，不能只看公司名稱或集團關係，而是需要確認：
- 子公司是否為獨立法人
- 工具是否由一個法律實體提供給另一個法律實體
- 工具是否涉及授權、交付、安裝、下載或遠端使用
- 工具是否與集團內部的產品、服務或其他商業活動有關
《Blue Guide》指出，產品的移轉可以透過銷售、借用、租賃或贈與等方式進行，而且不論收費或免費；產品被交由另一個自然人或法人使用，可能構成市場上的供應行為。
簡單統整
若工具只由同一法人內部的部門、分公司或員工使用，通常較接近「僅供自己使用」，原則上不會落入 EU CRA 的適用範圍。
但若工具被提供給集團內另一家具有獨立法人身分的子公司使用，即使沒有收費，也不宜直接認定為「僅供自己使用」，而應重新評估是否已構成提供至歐盟市場。
企業需要注意什麼？
企業在判斷「內部工具」是否適用 EU CRA 時，建議至少確認以下事項：
- 誰開發這套工具？
確認開發、維護及控制工具的法律實體。 - 誰在使用這套工具？
確認使用者是同一法人內部的員工，還是集團內其他公司、客戶或合作夥伴。 - 是否有對外提供？
包括下載、授權、交付、借用、遠端存取或安裝於客戶環境。 - 是否涉及商業活動？
即使軟體免費提供，只要是為了支援產品、服務、維護合約或其他商業活動，仍可能構成提供至市場。 - 是否已成為產品的一部分？
若內部工具後來被包裝為客戶端軟體、產品設定程式、監控工具或售後服務工具，就應重新進行 CRA 適用性判斷。
如果遇到以下情況時，應重新評估：
- 免費提供客戶下載；
- 安裝在客戶的設備或系統中；
- 提供經銷商或維修合作夥伴使用；
- 提供獨立法人子公司使用；
- 與公司銷售的硬體或付費服務搭配；
- 改為對外授權、訂閱或提供遠端使用。
比較穩妥的判斷方式是：
只要工具從「同一法人自行開發、自己使用」，轉變為提供給其他自然人或法律實體使用，就應重新評估是否已構成提供至歐盟市場。
法規參考:
EU CRA Article 2(1)：適用範圍
EU CRA Article 3(21)：Placing on the Market
EU CRA Article 3(22)：Making Available on the Market
EU Blue Guide 2022，Section 2.2：Making available on the market
EU Blue Guide 2022，Section 2.3：Placing on the market and products manufactured for one’s own use
本文同步發布於 LinkedIn 【EU CRA 問與答】 #031
Q: 無線設備應該符合 RED 的資安要求，還是 EU CRA？
部分無線設備原本受到《無線電設備指令》（Radio Equipment Directive，RED）及 Commission Delegated Regulation (EU) 2022/30 的網路安全要求約束。
自 2027 年 12 月 11 日起，Commission Delegated Regulation (EU) 2022/30 將正式廢止。原本由該補充法規啟用的 RED 網路安全要求，將改由 EU CRA 的產品資安要求承接。
不過，這項轉換主要針對網路安全要求。無線設備並不會因此完全脫離 RED，仍可能需要符合 RED 有關安全、電磁相容性及無線電頻譜使用等其他要求。
簡單總結：需要依個別產品投放歐盟市場的時間判斷，請參考以下：
| 投放歐盟市場的時間 | 主要適用的產品網路安全要求 |
|---|---|
| 2025/8/1 前 | Regulation (EU) 2022/30 尚未開始適用，但仍須確認 RED 的其他要求 |
| 2025/8/1 至 2027/12/10 | RED Article 3(3)(d)、(e)、(f) 及 Regulation (EU) 2022/30 |
| 2027/12/11 起 | 原則上改由 EU CRA 規範產品網路安全要求；RED 的其他要求仍可能適用 |
筆者補充：
《無線電設備指令》的 Article 3(3)(d)、(e) 及 (f) 分別涉及：
* 保護網路及其運作，避免無線設備對網路造成傷害；
* 保護使用者及訂閱者的個人資料與隱私；
* 防止詐欺。
Commission Delegated Regulation (EU) 2022/30 自 2025 年 8 月 1 日起，將上述要求適用於特定類別的無線設備，包括部分可連接網際網路的無線設備、兒童照護設備、無線玩具、穿戴式設備，以及可處理金錢或虛擬貨幣交易的設備。
然而，後續發布的 Commission Delegated Regulation (EU) 2026/339 已進一步明定，上述的 2022/30 將自 2027 年 12 月 11 日起廢止。其理由是 EU CRA Annex I 的基本網路安全要求，已包含 RED Article 3(3)(d)、(e) 及 (f) 所涉及的資安要素，藉此避免同一產品同時受到兩套重複的網路安全要求約束。
採用 EN 18031，不代表已經完全符合 EU CRA
歐盟已將以下 EN 18031 系列標準引用為支援 RED 網路安全要求的調和標準：
- EN 18031-1:2024：支援 RED Article 3(3)(d)
- EN 18031-2:2024：支援 RED Article 3(3)(e)
- EN 18031-3:2024：支援 RED Article 3(3)(f)
但是，EN 18031 系列標準是為了是為支援 RED 法規，並不是 EU CRA 的完整符合性標準。
如果產品已採用EN 18031，在 2027 年 12 月 11 日後投放歐盟市場，仍應進一步確認是否完整滿足 EU CRA 的要求。
筆者備註：
EU CRA 針對產品的資安需求，要求要參照水平標準及垂直標準；儘管 EN 18031也是一份產品的資安要求，但是仍不一定滿足EU CRA之規定，建議等待EU CRA相關標準發布後，再進行差距分析，進一步降低合規的風險。
法規參考:
(EU) 2022/30 Article 1: 適用的無線設備類別
(EU) 2022/30 Article 2: 排除範圍
(EU) 2022/30 Article 3: 適用日期
(EU) 2023/2444: 將適用日期調整為 2025 年 8月 1 日
(EU) 2026/339 Article 1: 自 2027 年 12 月 11 日起廢止 Regulation (EU) 2022/30
EU CRA Article 2(1)：適用範圍
EU CRA Article 71(2): 2027 年 12 月 11 日全面適用
