二十一項裡，硬體廠通常會在哪三項交白卷。

信箱怎麼收、誰來分、誰按送出鍵、時鐘怎麼管。這些都是門鈴響了之後的事。

但門鈴只是第 14 條，一條。真正決定你能不能在歐盟市場賣東西的，是 Annex I 那二十一項——而它們問的是這棟房子本身合不合格。

最後一列是最多人誤解的地方，等一下單獨講。

標「很難」的那五項有一個共同點：它們的解法不在資安團隊手上，在硬體規格與供應商選型。

這件事的時程意義很重要。如果某一項要動到 BOM 或晶片平台，那它的前置時間是以產品開發週期計算的，不是以季度計算。2027 年 12 月要交的東西，有些在今年的新案選型時就決定了。

好消息是前面十八天並沒有白做。**(5) 跟 (6) 已經完成，(3) 跟 (4) 有了流程的骨架。**壞消息是 (1) 那一項底下藏著接下來六天的工作量。

最容易被誤解的一句：Part II 一直都在

Part I 描述的是投放市場那一刻的狀態。Part II 描述的是之後五年到十年，你要持續做的事。

意思是：真正的成本不在 2027 年拿到那張符合性聲明，在那之後的每一年。

CE 標示是入場券，不是畢業證書。

拿到之後，SBOM 要跟著每個版本更新、測試要定期做、弱點要持續揭露、更新要一直免費散布，而且這些都要留得下紀錄。一家公司如果把 CRA 當成一次性的專案來做，會在 2028 年發現自己得從頭再來一次。

沒有調和標準，所以你得自己說得出話

到目前為止，歐盟官方公報上還沒有 CRA 的調和標準。

實務上的意思是：**符合性推定不可用。**你不能說「我照某個 EN 標準做了，所以我符合 Annex I」，因為那個標準還不存在。

你只能說：「這一項要求，我用這個方法達成，證據在這裡。」

這就是 Day 02 那句話的兌現——CRA 問你證明給我看，NIST、IEC 62443、SSDF 是你手上唯一拿得出來的答案。它們的價值不在於它們是法規，在於它們讓你在被問的時候有話可說。

反過來說，現在的彈性是暫時的。標準一旦公布，沒照做的人就得解釋為什麼，而那份解釋會突然變得很貴。

交付物：21 項對照表

每一項三欄。填完之前，先不要談 2027 年的時程。

三個提醒。

**第一，「不適用」要寫理由，而且理由要寫得像給別人看的。**這一格是查廠時最常被追問的，「我們產品沒有這個功能」不夠，要說明為什麼那項要求在你的產品類別上不成立。

**第二，最後一欄是這張表的價值所在。**標成「是」的那幾項，真正的死線並不在 2027 年 12 月，而在你最近一次能改規格的那個產品節點。那個日期通常早得多。

**第三，「證據在哪」填不出來的，等於現況那欄該改成未開始。**心裡知道有做，跟拿得出來，在查廠時是兩回事。

明天 Day 20：SBOM 不是一個檔案，是一條產線

Part II(1) 那一項要的並非一份文件，而是一個持續產出的能力。格式怎麼選、什麼時候產、誰負責產、版本怎麼綁。後半談一個更實際的問題：合規掃描怎麼安排，才不會把整條建置流程拖垮。

順便問一句。上面那二十一項：

你現在有一張填過的對照表嗎？

（a）有，而且每一項都寫得出證據位置　（b）有，但很多格是空的　（c）看過條文，沒有整理成表　（d）今天第一次看到全部二十一項

留個字母就好，不用打長篇。（d）完全不丟臉，多數人是從第 14 條先被打到，才回頭看 Annex I。

這系列每天更新，覺得有用的話訂閱一下，我盡量不寫廢話。

參考：Regulation (EU) 2024/2847 Annex I Part I (a)–(m)、Part II (1)–(8)，第 13(8)、31 條；截至目前歐盟官方公報尚無 CRA 調和標準。難度標記與對照表欄位為個人判斷與整理，非法規明文。