工业网通厂四零四科技（Moxa）宣告，将于 2026 年 9 月 11 日欧盟《网路韧性法案》（CRA）第一阶段营运义务正式生效前，已全面准备就绪遵循强制性漏洞与资安事件通报规范。该法规将漏洞与资安事件的处理机制，由过往的「企业自主实践」提升至「法规强制要求」层级，企业必须具备迅速完成侦测、评估、跨部门协调与法规应对的能力。

根据 CRA 规范，带有数位元件产品（Products with Digital Elements, PDEs）的制造商，在得知产品存在「已被积极利用的漏洞（Actively Exploited Vulnerability）」或发生「重大资安事件 （Severe Incident）」后，必须于 24 小时内向欧盟网路安全局（ENISA）及指定的国家电脑安全事件应变小组（CSIRT）提交早期预警通报；并于 72 小时内完成正式通报。针对遭利用漏洞，制造商须于补救措施或修补程式发布后 14 天内提交最终报告；若为重大资安事件，则须于事件通报后 1 个月内提交最终报告。

Moxa 的 CRA 法规遵循，奠基于经过验证的安全开发生命周期（Secure Development Life Cycle, SDL）。作为全球首批同时取得 IECEE 与 ISCI/ISASecure 双机构 IEC 62443-4-1 成熟度等级 3（ML3）认证的厂商之一，Moxa 的产品安全开发流程展现高度一致性与可重复性，并能在企业组织内持续落实执行。这些深厚实力为履行 CRA 所规范的产品上市后资安义务奠定了稳固的根基。

欲满足 CRA 的 24 小时通报规范，不仅仰赖企业对于资安紧急事件的应变能力，更需要建立一套完善且整合的资安治理架构。透过此架构，企业得以快速识别受影响产品、评估资安冲击范围，并协调工程团队即时采取因应措施，以符合相关法规要求。

Moxa 长期建构的漏洞管理机制，成为因应 CRA 法规要求的核心基础，包括：成熟的产品资安事件应变小组、详尽的软体物料清单管理、涵盖软体组成、韧体发布及产品生命周期纪录的端对端产品可追溯机制、落实完整工程可追溯性与严谨漏洞修补流程的安全开发生命周期、明确的治理程序。

为进一步强化漏洞通报能力，Moxa 持续深化 SBOM 与产品资料库的整合机制。当新漏洞被纳入「已知遭利用漏洞（Known Exploited Vulnerabilities, KEV）目录」时，Moxa PSIRT 能够迅速进行资料关联分析、评估冲击范围、排定应变优先顺序，并确保及时符合 CRA的合规要求。

Moxa 研发中心与产品资安中心资深协理张懿表示：「欲满足 CRA 的 24 小时通报要求，不仅是一场与时间的赛跑，更是展现企业长期投入资安治理所累积的成果。能履行此类义务的供应商如 Moxa ，背后必须具备坚实的工程治理机制、安全开发实务、漏洞管理流程与跨部门协作的基础，才得以快速掌握受影响产品、评估资安风险、协调工程应变措施，并向监管机关提供准确且即时的资讯。」对机械设备制造商、系统整合商及关键基础设施营运商而言，与具备此能力的供应商合作，意味着能够信赖其不仅现在可提供安全的产品，亦足以应对未来持续演变的资安风险。

随着 CRA 重塑产业的资安问责机制，Moxa 强调，企业信任的建立将取决于产品本身的资安功能，以及制造商在整个产品生命周期中持续落实对资安的承诺。透过经认证的 SDL 实务、高效的漏洞管理机制、专责的PSIRT 运作、SBOM 治理与透明的管理流程，Moxa 致力于协助客户降低资安风险，同时简化 CRA 上路后的法规遵循流程。