延續上一篇「我的產品是 Class I 還是 Class II？」，這篇接著回答小網科技老闆的下一個問題：分級知道了，然後呢？
重點先看
9/18（五）Applus+ Laboratories × 安合規律在台北舉辦的實體研討會——主講 Jose Ruiz Gualda Applus+ Laboratories 資安事業處總監——自西班牙專程來台，針對現場企業帶來的產品分級結果，逐一討論該怎麼選符合性評估路徑。這篇文章先把小網科技的答案攤開來看，幫你在現場問得更精準。
CRA 的符合性評估說到底是在回答一個問題：「你說產品做到了 Annex I 的要求，誰來確認這是真的？」答案只有三種：
上一篇留了一個伏筆：小網的路由器是 Class I，理論上符合條件就能走 Module A；但截至 2026 年 9 月，還沒有任何一項 CRA 協和標準被正式引用到歐盟官方公報，「符合條件」這個前提現階段還兌現不了。也就是說，小網的三個產品現在其實都得認真考慮公告機構這條路——差別只在於程度。
| 產品 | 分級 | 現階段實際路徑 | 為什麼 |
|---|---|---|---|
| 家用路由器 | Class I | Module B+C（未來標準公告後，可望改走 Module A） | Class I 自我宣告的前提——完整套用協和標準——目前不成立 |
| 企業防火牆 | Class II | Module B+C 或 Module H（沒有 Module A 選項） | Class II 法條本身就沒有自我宣告路徑，不管標準有沒有公告都一樣 |
| 智慧門鈴 | 一般產品 | Module A | 不在 Annex III／IV 清單上，本來就可以自我宣告，不受標準是否公告影響 |
老闆看完這張表，問了一個很實際的問題：「路由器跟防火牆都要找公告機構，那乾脆兩個都用同一套流程處理不就好了？」
這就是 Module B+C 跟 Module H 的選擇問題了。
Module B+C 是「驗一次型式，量產自己管」。公告機構做的事是：審查技術文件、確認風險分析做得夠不夠扎實、驗證送測樣品是不是真的照文件做出來的，通過就核發一張 EU 型式檢驗證書。之後你依這個核准的型式量產，自己確保每一批做出來的都符合要求，不用每一批都送驗。
但如果小網的路由器一年改版兩三次（換晶片、韌體大改版），只要型式有實質變動，理論上就要重新走一次檢驗流程——這對換代頻繁的產品線是一筆容易被忽略的隱藏成本。
Module H 反過來：公告機構稽核的不是「這一款產品的型式」，而是「你整間公司設計開發、生產、處理弱點的品質管理系統」本身夠不夠好。系統通過後，不同型號、不同版本只要都是在這套系統底下做出來的，原則上不用每次重驗——換來的代價，是公告機構會持續監督，定期稽核你的系統有沒有照你自己寫的規範在運作。
小網路由器產品線換代快、型號多，防火牆則是相對穩定的少數型號——這是「多型號、常改版」適合考慮 Module H、「型號少、穩定」用 Module B+C 就夠的原始邏輯。但這裡有一個常被忽略的細節：如果路由器已經走 Module H，代表公司整套設計開發、生產、弱點處理的品質管理系統已經在公告機構的稽核範圍內；這時候防火牆要不要另外跑一次 Module B+C，關鍵要看這套品質系統的稽核範圍有沒有把防火牆這條產品線也納進去。範圍能涵蓋的話，直接向公告機構申請把防火牆納入既有 Module H 的稽核範圍，通常比重新走一次獨立的 Module B+C 更省事、也少一筆重複費用；只有在防火牆的設計開發、生產流程跟路由器差異太大、公告機構認定不在原本審核範圍內時，才需要另外走 Module B+C。換句話說，「一個產品一個模組」不是唯一答案，同一家公司也該評估要不要把品質系統的稽核範圍一次做大，用一套 Module H 涵蓋多條產品線。
實際選擇仍要看公司品質系統的成熟度、預算，以及公告機構的報價方式，沒有標準答案。
不管走哪一條路，底層要交出來的東西都是同一套——Annex VII 技術文件八大項（可以回頭參考 SBOM 系列文章）。差別在於「誰看」跟「看多細」：
不行，而且這才是現在最卡的地方。CRA 第 35 至 51 條關於公告機構的規則雖然已於 2026 年 6 月 11 日開始適用，但截至查證時間點，歐盟 NANDO 資料庫裡還沒有任何一家 CRA 公告機構正式掛牌。條文要求會員國在 2026 年 12 月 11 日前「確保有足夠的公告機構」，但目前進度離這個目標明顯還有距離。
也就是說，小網的防火牆、以及暫時還走不了自我宣告的路由器，現階段能做的不是「送件」，而是：把技術文件、風險評估、（如果選 Module H）品質系統文件先準備到位，同時開始接觸原本就在做 RED／EN 18031 檢驗、已經在規劃 CRA 就緒服務的檢測機構——排隊卡位，比等萬事俱備更重要。
歡迎參加 9 月 18 日（五）台北實體研討會，直接向來自西班牙的 CRA 專家提問，進一步說明 2027 合規規劃佈局及導入所需的時間與成本估算。報名連結：實體研討會報名連結
Q：我的產品是 Class I，現在完全不能自我宣告嗎？
理論上第 32(2) 條允許，但前提是完整套用已被歐盟正式公告的協和標準或共通規範。截至 2026 年 9 月，還沒有任何一項 CRA 協和標準被引用進歐盟官方公報，這個前提現階段還不成立。等標準正式公告後，可以重新評估是否符合自我宣告的條件。
Q：Module B+C 跟 Module H，費用哪個比較高？
沒有一致答案，取決於公告機構的報價方式與你的產品線規模。大方向是：Module B+C 是「按型式收費」，型號越多次總成本越高；Module H 是「按品質系統稽核＋持續監督年費」收費，型號多但系統穩定的公司，長期分攤下來可能更划算。實際報價仍需直接向公告機構或顧問確認。
Q：現在公告機構都還沒掛牌，那我等標準跟機構都準備好再開始準備文件，可以嗎？
不建議。技術文件、風險評估、（若選 Module H）品質系統文件，不管未來走哪一條路都要先準備好，這些工作跟公告機構有沒有掛牌無關。等到機構掛牌才開始準備，很可能撞上所有人同時排隊送件的塞車潮。
Q：Module A 的「自我宣告」是不是代表完全不用做任何測試？
不是。Module A 一樣要做 Annex VII 的技術文件、資安風險評估，以及對照 Annex I 逐項要求的符合性論證，該做的測試與文件一樣不能少，差別只在於「誰簽字負責」「要不要送第三方審查」，而不是「要不要做」。
本文所引法規條文與時間點，均以下列官方文件為準：
文／安合規律 × Applus+ Laboratories 顧問團隊
＊本文為法規解讀性質，非法律意見。「小網科技」為虛構案例。公告機構指定進度與協和標準時程持續變動，正式決策前請以歐盟官方公報最終公告版本及 NANDO 資料庫查詢結果為準。
