歐盟《網路韌性法案》正式上路 台灣企業加緊打造 PSIRT 應變機制
歐盟《網路韌性法案》（Cyber Resilience Act，簡稱 CRA）第 14 條規定的漏洞與資安事件通報義務，已於 2026 年 9 月 11 日正式生效。製造商必須在 24 小時內發出早期預警、72 小時完成漏洞通知，並於 14 天內提交最終修補報告；若為嚴重資安事件，最終報告最遲須於事件通報後 1 個月內完成。此規範不僅測試企業對外通報流程，更直接檢驗其 產品資安事件應變小組（PSIRT） 的持續運作能力。
背景與產業現況
近年來，國內企業在資安院（國家資通安全研究院）推動下，已開始建立 PSIRT 機制。資安院於今年初發布《資通訊產品資安事件企業應變機制手冊》，提供漏洞受理、分析、修補、更新等標準作業流程，並強調跨研發、客服、法務等部門的協作。
資安院院長龔化中指出，AI 技術的快速演進讓漏洞更易被自動化偵測與利用，單一產品的缺口可能迅速形成「攻擊鏈」而波及整個生態系。歐盟、美国、英國、日本與新加坡等已紛紛以法規或制度提升產品資安要求，形成全球同步的趨勢。
成熟度落差與挑戰
儘管部分網通與電子大廠已建立完善的 PSIRT 流程，甚至參與國際認證，但多數中小企業仍受限於 人力、資源，往往在客戶通報後才發現漏洞，缺乏標準化窗口與外部通報管道。資安院國際合作及資安治理中心經理李婉萍提醒，企業是否設有名為 PSIRT 的團隊並非衡量成熟度的唯一指標，關鍵在於 機制是否真正落實、跨部門協調是否順暢。在 CRA 的嚴格時限下，若無法在規定時間內完成資訊蒐集與風險判斷，將面臨罰款與信譽損失。
未來展望與建議
龔化中認為，台灣作為高度數位化且具製造優勢的國家，必須同步制定本土 產品資安法規，明訂企業建置 PSIRT 的基本要求，才能在全球市場保持競爭力。具體建議包括：
-
立法明確化：將產品資安通報義務寫入《資安管理法》，規範通報窗口與時限。
-
資源補助：政府可提供中小企業資安人才培訓與工具補助，降低建立 PSIRT 的門檻。
-
推動標準化：鼓勵業界採用資安院手冊中的 SOP（標準作業流程），並建立業界共享的漏洞資訊平台。
只有從源頭減少產品漏洞、建立穩定的跨部門應變機制，才能在 AI 時代降低整體社會的攻擊風險，保護企業與每一位數位服務使用者的安全。
資安日報與資安週報現已提供免費電子報訂閱，讓您即時掌握全球與台灣最新資安脈動。