歐盟網路韌性法案（Cyber Resilience Act，CRA，Regulation (EU) 2024/2847）要求帶有數位元件的產品，在上市前與上市後都要符合資安要求。網路設備屬於適用的硬體類型，歐盟執委會也把路由器列為「重要產品」的例子。
重要時程
日期 事項
2024-12-10 CRA 生效
2026-06-11 符合性評估機構的通知程序（第 IV 章）開始適用
2026-09-11 漏洞與事件通報義務開始適用
2027-12-11 CRA 全面適用
通報義務已經生效，並涵蓋已在市場上的產品。全面適用日之前已上市的產品，只有發生實質修改時，才適用 CRA 的其他要求。
通報時限
遇到實際遭利用的漏洞，製造商要在知悉後 24 小時內提交早期警示，72 小時內提交正式通報，並在修補或緩解措施可用後 14 天內提交最終報告。嚴重資安事件的前兩個時限相同，最終報告則在 72 小時通報後 1 個月內提交。通報都透過 CRA 單一通報平台提交。
符合性評估
一般產品可以自我評估。重要產品如果沒有採用協調標準，就需要驗證機構（Notified Body）參與，關鍵產品一律需要驗證機構。
範圍與排除
汽車、醫療器材與體外診斷器材、航空設備和海事設備不在範圍內。
支援期
製造商要訂定支援期，並在購買時清楚載明結束的年月。歐盟法規前言提到，支援期不應少於 5 年，除非產品預期使用期更短。
現在可以先做的事
盤點產品線，對照附件 III 與 IV 判斷分級。
建立 24 小時與 72 小時的內部通報流程，因為這已經生效。
訂定每個產品的支援期。
閱讀執委會 2026 年 7 月 27 日發布的實務指引。
提醒：請留意法規更新狀態
CRA 仍在分階段實施，指引、標準與分類說明都可能更新。下列項目本文沒有取得條文原文，或只有第三方來源，使用前請對照最新官方資料。
路由器與 AP 的分級： 官方頁面只說路由器屬「重要產品」，沒有指明 Class I 或 Class II，AP 是否適用也請以附件 III 與執委會的類別說明為準。
支援期的條文： 「不少於 5 年」出自法規前言，第 13 條的正式條文請自行核對。
文件保存年限： 官方頁面沒有載明，本文不提供數字。
罰款金額： 官方頁面沒有金額，本文不提供數字，罰則另有會員國的規定。
開源軟體與獨立 SaaS 是否適用： 第三方頁面沒有明確說明，請參考執委會的實務指引。
無線電設備指令（RED）與 EN 18031： 本文沒有取得 RED 網路安全要求的適用日期，以及它與 CRA 全面適用後如何銜接的官方依據。
本文的查證時間： 資料查證於 2026 年 10 月，之後若有新的指引、標準或修正，請以官方最新公告為準。
資料來源
歐盟執委會：Cyber Resilience Act
歐盟執委會：CRA summary
歐盟執委會：CRA conformity assessment
歐盟執委會：2026 年 7 月 27 日實務指引
EUR-Lex：Regulation (EU) 2024/2847
DEKRA 台灣：Cyber Resilience Act