設備無法聯網，還需要歐盟資安認證嗎？EN 50742 與 CRA 適用判斷
設備無法聯網，還需要歐盟資安認證嗎？EN 50742 與 CRA 適用判斷
設備無法連上網際網路，不代表一定免除歐盟資安要求。歐盟《資安韌性法》（CRA）與《機械法規》關注的範圍不同，必須分別確認產品的資料連接能力，以及軟體或資料遭竄改後是否影響機械安全。
本文適合出口歐盟的機械設備製造商、控制系統整合商與品牌商。先判斷適用法規及評估程序，才能確認需要哪些測試、技術文件，以及是否必須由第三方參與。
設備不上網，就不適用 CRA 嗎？
不能只憑「不上網」判定。CRA，即 Regulation (EU) 2024/2847，第 2 條涵蓋預定用途或合理可預見使用中，具有直接或間接、邏輯或實體資料連接至其他裝置或網路的數位元素產品。
歐盟執委會 FAQ 明確列舉 USB、工業現場匯流排等資料連接方式。相對地，具有內建韌體，但確實沒有連接其他裝置或網路能力的產品，可能不在 CRA 範圍內。
| 設備實際情況 | CRA 初步判斷方向 |
|---|---|
| 不上網，但以 USB 傳輸資料或更新韌體 | 仍有資料連接，需評估適用性 |
| 僅連接工廠內網或其他設備 | 不因未連網際網路而排除 |
| 維修時連接工程電腦、使用通訊埠 | 應納入預定用途及合理可預見使用分析 |
| 僅供電，沒有資料傳輸功能 | 不能單憑電源連接認定適用 |
| 確實沒有對其他裝置或網路的資料連接 | 可能不適用，仍須確認產品邊界與排除條款 |
上述表格是初步篩選工具。判斷時應涵蓋操作、設定、維修及更新情境，不能只觀察設備正常生產時是否插著網路線。
EN 50742、CRA 與機械法規有什麼差別？
CRA 是產品資安法規；EN 50742 是針對機械「防止遭到破壞或竄改」的標準專案。兩者不能視為同一套要求，也不能以一份報告直接代替所有適用法規的符合性評估。
| 項目 | 性質與重點 | 對設備製造商的意義 |
|---|---|---|
| CRA，Regulation (EU) 2024/2847 | 數位元素產品的資安要求 | 先確認資料連接、產品分類及適用程序 |
| 機械法規，Regulation (EU) 2023/1230 | 機械健康與安全要求 | 評估竄改、外部連接等是否造成危險 |
| EN 50742 | 機械防破壞／防竄改技術標準專案 | 可協助規劃安全相關防護；須核對版次及法律地位 |
EN 50742 的工作範圍聚焦於可能影響機械安全的硬體、軟體與資料，對應機械法規附件 III 的相關要求。它並不是所有電子設備通用的「歐盟資安證書」。
EN 50742 現在已經是強制認證嗎？
不能僅因供應商提到 EN 50742，就認定設備必須申請一張證書。目前查得的標準機構資料仍列有草案及核准階段紀錄，專案資料顯示 50.60 階段；報價前應核對正式出版版次與歐盟公報引用狀態。
標準正式出版，也不等於已取得調和標準的符合性推定效果。依機械法規第 20 條，須符合歐盟公報所引用標準的相關部分，才能就其涵蓋要求主張符合性推定。
建議請服務提供者說明採用版本、對應法規條文、測試項目及交付文件，並釐清費用涵蓋的是差距分析、測試報告，還是法定程序下的證書。
不適用 CRA 的離線機械，還需要評估防竄改風險嗎？
仍可能需要。機械法規附件 III 第 1.1.9 節要求保護與安全符合性有關的硬體、軟體及資料，避免意外或故意的破壞、竄改造成危險；不能僅用「不連網」排除這項要求。
例如維修人員載入錯誤程式，或安全參數被未授權修改，都可能影響停機、速度限制或保護裝置。這些是應依設備設計分析的情境，並非每台設備都要採取完全相同的措施。
離線設備應優先檢查什麼？
先找出哪些程式、參數與介面會影響安全，再檢查誰能修改、如何確認正確版本，以及變更後如何驗證。以下為實務檢查方向，實際措施應由風險評估決定。
| 檢查對象 | 建議確認事項 |
|---|---|
| PLC、HMI、控制器 | 程式存取權限、版本識別及修改管制 |
| USB、維修埠、更新介面 | 使用權限、更新來源及檔案完整性 |
| 安全相關參數 | 修改權限、允許範圍與變更驗證 |
| 維護與還原作業 | 備份來源、還原流程及安全功能確認 |
| 介入與變更紀錄 | 依適用要求保留可追溯證據 |
一定需要第三方認證，才能出口歐盟嗎？
不一定。是否需要公告機構參與，取決於適用法規、產品分類及符合性評估程序，而非單看設備是否聯網。
| 情況 | 符合性評估方向 |
|---|---|
| CRA 一般類別產品 | 可採內部控制程序，由製造商證明符合要求 |
| CRA 重要或關鍵產品 | 依分類及適用條件，確認第三方程序或指定認證要求 |
| 機械法規附件 I 以外的機械 | 採內部生產控制程序 |
| 機械法規附件 I 所列機械 | 依 Part A、Part B 及適用條件確認程序 |
CRA 第 32 條及機械法規第 25 條分別規定相關程序。採用內部控制仍須完成必要評估、驗證與技術文件，並由製造商承擔符合性責任。
企業應注意哪些法規適用時間？
機械法規與 CRA 的主要適用日期不同。企業應依每一件產品的投放市場情況及適用過渡規定安排工作。
| 法規事項 | 適用時間 | 實務重點 |
|---|---|---|
| CRA 第 14 條通報義務 | 2026 年 9 月 11 日起 | 適用產品的遭積極利用漏洞及嚴重資安事件，須依規定通報 |
| 新機械法規主要要求 | 2027 年 1 月 20 日起 | 出口機械應確認新法規與過渡安排 |
| CRA 主要產品義務 | 2027 年 12 月 11 日起 | 適用產品須符合相關設計、漏洞處理及符合性評估要求 |
CRA 的通報義務已先於主要產品義務適用，且涉及適用範圍內、較早投放市場的產品。不能將 2027 年誤解為所有資安義務的統一開始時間。
要判斷設備是否適用，應提供哪些資料？
先提供產品規格、控制架構與全部介面清單，通常比直接詢問「資安認證多少錢」更能確認工作範圍。對無法聯網的設備，維修及更新方式尤其重要。
| 評估步驟 | 需提供的資料 | 預期產出 |
|---|---|---|
| 確認產品邊界 | 型號、用途、銷售配置與投放市場計畫 | 適用範圍初判 |
| 盤點資料連接 | 接線圖、通訊埠、USB、無線及維修介面 | 連接與存取方式清單 |
| 分析安全影響 | PLC／HMI 架構、安全功能與參數 | 風險情境及差距項目 |
| 規劃符合性工作 | 現有 CE 文件、測試及客戶要求 | 評估、測試與文件計畫 |
| 完成改善與驗證 | 設計變更、測試結果及管理紀錄 | 支持符合性判斷的證據 |
若判定不適用 CRA，建議保留產品配置、介面分析與判斷理由。後續新增遠端維護、通訊模組或更新功能時，應重新檢查結論。
費用、時程與技術難度有哪些常見問題？
資安評估費用怎麼計算？
費用應依實際工作項目估算。尚未確認適用範圍前，不宜把所有離線設備都套用同一套測試或認證方案。
| 費用項目 | 主要影響因素 |
|---|---|
| 法規適用性判定 | 型號數、配置差異及資料完整度 |
| 風險評估與文件 | 軟硬體架構、介面數及安全功能 |
| 測試與驗證 | 測試深度、樣品、修改及重測需求 |
| 第三方符合性評估 | 是否依法需要公告機構參與及適用程序 |
評估需要多久？
應在資料審查後排程，沒有適用所有設備的固定天數。單純適用性判定與涉及軟體修改、樣機測試的專案，工作量差異很大。
| 階段 | 影響時程的因素 |
|---|---|
| 適用性判定 | 規格、介面與維護資料是否完整 |
| 差距分析 | 安全功能與存取路徑的複雜度 |
| 改善與驗證 | 控制器供應商支援、程式修改及測試安排 |
| 法定第三方程序 | 機構排程、補件及重測情況 |
已有 CE 文件，還要重新做全部測試嗎？
不一定。可先確認既有文件涵蓋的法規、標準版本與產品配置，再針對缺少的證據補強。原有電氣安全或 EMC 報告，不能直接證明已完成資安與防竄改評估。
封住網路孔或寫「禁止聯網」，就能免除要求嗎？
不能只靠貼標或使用聲明。應確認介面是否實際停用、能否重新啟用，以及維修和更新是否仍需資料連接，並評估合理可預見的使用情況。
一定要更換 PLC 或重新設計整台機器嗎？
不一定。部分差距可透過權限管理、更新控制、版本識別及維護程序改善；若既有控制器無法支持必要防護，才進一步評估軟硬體變更。
還有哪些主題值得延伸閱讀？
歐盟 CRA 資安韌性法：產品適用範圍與符合性評估。
歐盟機械法規 Regulation (EU) 2023/1230：出口設備準備重點。
CE 技術文件與符合性聲明：製造商應保留哪些證據。
IEC 62443 工業控制系統資安：設備與系統的防護規劃。
下一步如何執行，ODI MORGAN 能提供哪些協助？
請先整理設備型號、用途、全部通訊與維修介面、PLC／HMI 型號、軟體更新方式，以及預計投放歐盟市場的時間。提供「無法聯網」的設計依據，可讓適用性判定更具體。
ODI MORGAN 推薦先進行「CRA 與機械法規適用性判定」，再依結果規劃 EN 50742 相關差距分析、防竄改風險評估、測試協調與 CE 技術文件整合。
聯繫 ODI MORGAN，提供設備規格與介面資料，即可討論所需評估項目、服務範圍、時程及報價。
