DEKRA 德凱取得 RvA CRA 認證，Module B、Module H 雙路徑同步到位

歐盟《網路韌性法案》（Cyber Resilience Act, CRA）將於 2026 年 9 月 11 日啟動首波強制通報義務，CRA 也正式從法規準備期進入實際執行階段。自通報義務生效日開始，未來只要在歐盟市場銷售的連網或數位產品出現遭主動利用的漏洞，或發生影響產品安全的重大資安事件，製造商即須在規定時限內完成通報。對台灣資通訊、工控、車用與智慧聯網產業而言，企業是否能快速完成事件判定、掌握受影響產品範圍並提出可追溯的技術證據，將成為下一階段的重要合規能力。

在 CRA 進入實際執行階段之際，荷蘭國家認證機構 Raad voor Accreditatie（RvA）已將 CRA 納入 DEKRA Certification B.V. 認證範圍，涵蓋 EU 型式檢驗 Module B 與全面品質保證 Module H，產品範圍包括一般類產品、重要產品 Class I、Class II 及關鍵產品，並已具備進入 CRA 公告機構通報程序的重要前置資格。
 
Module B 著重特定產品型式的符合性評鑑，Module H 則涵蓋設計、開發、生產及品質管理體系。DEKRA 同時具備兩項認證範圍，可因應不同產品線、開發模式與企業合規策略。對產品線廣、軟體更新頻繁的 OEM、ODM 與科技製造商而言，也能在同一驗證體系下規劃不同產品的 CRA 路徑。
 
隨著 9 月 11 日通報義務上路，CRA 準備也從文件盤點進一步走向實際營運。PSIRT、SBOM、協調式漏洞揭露（CVD）、漏洞監控、事件分級與修補管理，都將影響企業是否能在法定期限內完成通報。
 
對台灣製造業而言，許多企業已透過 IEC 62443、ISO/SAE 21434、EN 18031 等標準建立產品資安基礎。下一步的重點，是盤點既有流程與技術證據，確認與 CRA 要求之間的差距，並補強上市後弱點管理、事件通報及持續維護機制。
 
DEKRA 德凱集團亞太區數位信任服務暨安華聯網科技總經理蔡昌益表示，CRA 進入通報階段後，企業面對的不再只是法規準備，而是能否在事件發生後快速判斷影響、掌握產品資訊並提出完整證據。台灣產業已有一定資安工程基礎，現在的重要工作，是把既有能力轉換成可持續、可追溯，也能銜接 CRA 符合性評鑑的合規證據。
 
DEKRA 德凱目前已在台灣提供 CRA 適用性與產品分類、差距分析、Secure Development Lifecycle、SBOM／開源軟體管理、產品資安測試、漏洞與事件通報，以及合規文件與技術證據準備等服務，協助企業從產品開發階段提前盤點要求，降低後續重複測試、文件補正及上市時程風險。隨著 2027 年 12 月 11 日 CRA 全面適用期限持續逼近，企業的準備重點正從「了解法規」轉向建立可持續執行的產品資安與合規能力。