歐洲客戶機房裡的網通設備運轉多年，原廠釋出韌體更新，客戶端未必立即安裝。 外部研究機構察覺異常攻擊時，警告信多半先寄到業務、客服或工程師私人信箱。 情資幾經輾轉傳回總部，潛伏數月的漏洞早已釀成災情。 要從散落信件中撈出警訊、回頭清查老舊設備並啟動應變，難度遠在官網張貼修補公告之上。 兆勤科技（Zyxel）於2026年6月16日針對GS1900系列交換器漏洞CVE-2026-7273釋出修補韌體，看似化解危機。 然而，威脅情資公司GreyNoise於同年9月21日公布研究，指出依其觀測，駭客約於8月17日利用該漏洞，從分布於48國的996部交換器擷取設備設定、網路資訊及經雜湊處理的最高管理權限憑證。

研究依據該機構的監測網路與攻擊者基礎設施資料，未必涵蓋全部受害設備，受害範圍可能更廣。 原廠發布更新至客戶完成安裝的時間差，正是攻擊者伺機入侵的空窗期。 原廠在6月中旬釋出修補，攻擊卻在8月中旬悄悄發生，威脅研究機構9月下旬才公開情資。 這段過程恰好跨越歐盟新通報義務開始適用的日期。 攻擊雖然發生在法規實施之前，並不當然排除通報義務，關鍵在於製造商何時知悉漏洞遭積極利用。 若在該日後才取得可靠事證，即使漏洞早已存在或曾經公告，仍可能觸發限時通報。 公開研究的日期無法代替原廠知悉的時間，但這項區別凸顯，售後管理須追蹤漏洞處理，也須掌握利用情資何時進入企業。

歐盟《資安韌性法》（CRA）第14條的通報義務，自2026年9月11日起開始適用。 製造商獲悉產品存在遭積極利用的漏洞後，須毫無延誤地通報，最遲於知悉後24小時內提出早期警示、72小時內提出漏洞通報，並於修正或緩解措施備妥後14天內提交最終報告。 這兩道24與72小時的時限均自知悉時點起算，製造商須透過歐盟資安局（European Network and Information Security Agency，ENISA）維運的單一通報平台，向選定的電腦資安事件應變小組（Computer Security Incident Response Team，CSIRT）提交通知，系統同步傳送予歐盟資安局。

第14條另涵蓋影響產品安全的嚴重事件，其最終報告期限為72小時通報後的1個月內，與漏洞通報時限互有區隔。 依第69條第3項，2027年12月11日前已投放歐盟市場、屬資安韌性法適用範圍的產品，同樣納入通報義務。 歐盟資安局說明，製造商在2026年9月11日前已知悉漏洞遭積極利用，無須回溯通報。 這項說明限於通報義務，不能延伸為其他法律責任的全面排除。 資安韌性法主要產品規格義務延至2027年12月11日才全面適用，通報機制卻率先開跑。 對機房裡動輒運轉多年的網通設備而言，早已出貨不構成免除通報的理由，舊型號的情資接收與應變流程此刻就須到位。 遲延通報背後伴隨沉重的法律代價。

依第64條第1項及第2項，會員國須制定並執行罰則，違反第13、14條等義務的行政罰鍰上限為1,500萬歐元；企業違規時，與前一會計年度全球營業額2.5%比較，兩者取其較高者。 天價數字雖非每案必罰的固定金額，裁量時仍須權衡違規性質、持續時間、損害範圍與企業規模，但對製造商而言，更迫切的問題，是收到漏洞遭到利用事證後，能否在期限內完成初步研判，提出所需資料。 歐盟規定的早期警示限期，並不苛求製造商查明整起攻擊細節，重點在於檢驗內部消化情資的敏捷度。 外部機構送來漏洞遭到利用的佐證，技術人員判讀威脅嚴重性，工程單位追查受影響的韌體版本，法遵人員核對法定通報時效，再由獲授權的人員決定通報內容。

清冊缺漏、轉介責任不明與層層請示，都會耗損應變時間。 通報期限因此將平時不易察覺的組織缺口，轉化為事故發生時必須立即處理的法遵壓力。 面對嚴格的監管高壓，防線布局往往考驗領導層的格局。 部分金融機構早已意識到，處置這類涉及外部情資研判、重建攻擊時間軸與保全事證的危機，極度仰賴受過嚴謹鑑識與偵查思維淬鍊的資安長坐鎮統籌。 製造業卻普遍由維護伺服器的資訊維運人員兼管產品安全，要求缺乏刑案調查視野的工程師分神解讀境外威脅特徵、交叉核對海內外清冊並拍板通報時機，無異是用人力缺口去扛法遵重擔。 編列年度預算之際，擴建新產線容易估算營收回報，維護舊型號資料庫、追蹤售後漏洞情資，常被視為看不見產出的純成本開銷。

歐盟《資安韌性法》將產品售後資安轉化為嚴格的法定義務，平時若捨不得建立具備偵查鑑識底蘊的專責指揮體系，面對突如其來的通報倒數，手握再完備的合規文件都無力招架。 ＊作者為法律與資安領域大專院校兼任教師