弱点通报与处理

产品资安事件应变小组（PSIRT）为广积受理产品资安弱点通报之专责单位，负责通报之受理、评估与处理，必要时发布安全公告与安全更新，并于收到通报后回复确认。个案之处理方式与完成时程，视弱点等级、受影响产品范围及可行修补方案而定。

▌通报方式

若您在广积科技产品中发现潜在的资安弱点，请以电子邮件寄送至 PSIRT@ibase.com.tw。为利受理与判别，请于信件中提供下列信息：

• 联络信息：姓名、Email、所在地区、国家等联络方式
• 产品信息：产品型号与版本
• 漏洞说明：攻击码、攻击手法、左证文件等技术说明
• 潜在影响：漏洞可能造成的攻击情境与影响范围

如有相关联系需求，资安弱点通报与安全公告相关询问，请透过产品资安通报（PSIRT）窗口，email 至 PSIRT@ibase.com.tw；若是合规文件、声明书或组件信息申请等业务事宜，请洽业务窗口，并依官网业务联络页提供的方式联系；至于产品安全更新与设定问题，则可透过技术支持窗口处理，同 样请依官网业务联络页进行联系。

通报数据完整性: 请提供目前已知的产品信息、问题描述及相关左证。PSIRT 将记录并进行初步评估，必要时联系通报者补充信息。

安全公告

产品资安事件应变小组（PSIRT）为广积受理产品资安弱点通报之专责单位，负责通报之受理、评估与处理，必要时发布安全公告与安全更新，并于收到通报后回复确认。个案之处理方式与完成时程，视弱点等级、受影响产品范围及可行修补方案而定。

公告编号	发布日期	影响产品	严重度	处理状态
暂无公告

免责声明: 本专区所载信息依现况提供。广积将视弱点等级、受影响产品范围及可行修补方案决定处理方式与完成时程，结果可能因个案而异。其内容可随时修订，并以本网站公告之最新版本为准。对已遭实际利用的弱点或影响产品安全性的重大资安事故，广积将依适用法规通知受影响使用者，并提供必要的风险缓解或矫正措施信息。

常见问题

▌Q: CRA 的规范对象与涵盖范围为何？

A: CRA 为欧盟法规 (EU) 2024/2847，针对所有内含数字组件，涵盖可直接或间接连接其他设备或网络的硬件与软件产品。这类产品在欧盟市场销售，或基于商业目的提供时，原则上须符合 CRA。实际是否适用，须考虑产品的预定用途、可合理预见的使用方式，以及法规明定的排除条件。

▌Q: 广积的哪些产品可能受到规范？

A: 判断依据在于产品是否具备直接或间接之数据联机功能，以及是否于欧盟市场提供。除已受其他专门法规规范者外，广积之工业计算机、嵌入式系统及相关软件多数属适用范围。单一机型之适用与否，仍须就其功能配置、出货型态与销售地区认定，可洽业务窗口就个别机型讨论。

▌Q: 产品分级如何区分？分级会影响什么？

A: CRA 将产品分为默认类、重要类第 I 级、重要类第 II 级与关键类，重要类与关键类分别列于附件三与附件四。分级决定该产品可实行之符合性评估路径，级别越高，第三方参与之要求越严格。

▌Q: 什么是调和标准？目前状况如何？

A: 调和标准由 CEN、CENELEC 与 ETSI 依执委会之标准化请求制定，用以将法规之基本要求具体化为可验证之技术规格。截至目前尚无 CRA 调和标准完成刊登，横向与纵向标准仍在制定与审议阶段。

▌Q: 通报义务何时开始？时限为何？

A: 自 2026 年 9 月 11 日起，制造商于知悉已遭实际利用的弱点或影响产品安全性的重大资安事故后，应于 24 小时内提出早期预警、72 小时内提出通知。弱点最终报告应于矫正或缓解措施可取得后最迟 14 日内提交；重大事故最终报告应于提交事故通知后一个月内提交。

▌Q: 已在市场上的产品是否受到规范？

A: 自 2026 年 9 月 11 日起，CRA Article 14 的通报及使用者通知义务即开始适用，也包括先前已投放欧盟市场的产品。 其他 CRA 要求，则看每台设备首次投放欧盟市场的日期，而不是型号何时上市： 2027 年 12 月 11 日前已投放的设备：原则上只适用上述 Article 14 义务。但若这些设备在 2027 年 12 月 11 日起发生实质变更，就须符合 CRA 的其他适用要求。 2027 年 12 月 11 日起首次投放的设备：须符合 CRA 的全部适用要求，包括产品安全、弱点处理及符合性评估。即使型号早已上市，也一样适用。

▌Q: 什么情况会构成「实质变更」？

A: 当产品之修改改变其预期用途，或可能影响其对基本资安要求之符合性时，可能构成实质变更，并使该产品被视为新投放市场之产品。是否构成实质变更须依修改之性质与影响范围个案评估。

▌Q: 未遵循 CRA 会有什么后果？

A: 主管机关得要求限期改正，并得采取产品下架或限制销售等市场措施。行政罚款方面，违反基本资安要求或制造商主要义务者，上限为 1,500 万欧元或全球年度总营业额 2.5%（以较高者为准）；未依规定提供信息或配合查核等情形，另订较低之罚款上限。

▌Q: CRA 与 NIS2、EN 18031、IEC 62443 有何不同？

A: CRA 规范产品本身；NIS2 规范关键基础设施与重要服务营运者之组织管理；EN 18031 适用于具无线功能设备之相关要求；IEC 62443 则为技术标准体系，可作为建立流程与产品能力之依据。各法规及标准的适用范围不同。其中，RED 资安授权法规 (EU) 2022/30 将自 2027 年 12 月 11 日起废止，相关产品应依 CRA 判定资安义务；RED 的其他适用要求仍须遵守。

▌Q: 广积在法案下属于什么角色？

A: 广积多数产品为供整合使用之组件或主板。以自有名义将最终产品投放欧盟市场者，通常为法规上之制造商并承担相应义务。角色认定须依实际交易与投放型态判断，广积可协助客户就其产品架构进行讨论。

▌Q: 广积目前具备哪些资安基础与认证？

A: 广积已通过 ISO 27001 信息安全管理系统验证，并依 IEC 62443-4-1 建立安全产品开发生命周期并取得认证；IEC 62443-4-2 相关要求规划导入中。相关证书可于证书与合规文件专区查询。

▌Q: 广积是否提供 SBOM？供货商无法提供时如何处理？

A: 广积已建立产品之软件物料列表，并依客户需求与保密条件评估提供方式与范围。对第三方组件，广积原则上要求供货商提供 SBOM；确实无法提供时，须改以足以进行组件辨识、弱点分析与风险评估之信息替代，并经评估后决定是否采用。

▌Q: 如何通报资安弱点或取得合规文件？

A: 资安弱点请以电子邮件寄送至 PSIRT@ibase.com.tw，并提供本专区所列之必要信息。合规文件、声明书与组件相关信息之申请，请洽业务窗口。