在我們的上一篇部落格文章中，我們提出了此觀點：由於合規性和法規瞬息萬變，因此 OEM 承擔不起錯失網路資安的風險。長遠來看，不接受這種轉變將會對您造成影響。無論是您的名聲、財務，或兩者皆是。
這自然就帶出下一個問題：OEM 應該擁抱哪些合規架構或法規？
您需要注意以下三件事：NIS2、網路韌性法案（CRA）和機械法規。無論您身在世界哪個角落，您在某個時間點很有可能會受到這些法規的影響，而且需要遵守法規。
本部落格旨在協助您更深入瞭解這些架構，並引導您瞭解以下內容：
根據我們的經驗來看，我們正開始看到兩大類不同的 OEM 正在浮現。
有三項法規值得您瞭解，並查看它們之間的比較結果。
*關鍵和重要實體共用相同的核心網路資安風險管理控制和事件報告時程，但其監管方式卻大相逕庭。
NIS2 確立了對關鍵設施應安全無虞的期望。CRA 將此期望延伸至投入其中的事物上。而《機械法規》則著重於確保設備安全。對於 OEM 而言，核心重點將是《網路韌性法案》。
CRA 要求在每個階段都確保安全：設計、部署、執行和維護。追根究底，可以歸結為三個問題。誠實回答每個問題，您就會知道自己所面臨的境況。
不僅是您的產品，更是您的組織。您能否服務您的市場、提供支援，並以您願意捍衛的標準來營運？
最簡單的理解方式就是您的網路資安文化。網路資安是否已成為貴組織的一環，如同安全在 15 至 20 年前成為製造業文化的一環那樣？
這兩個是值得釐清的產業術語。這就是 OEM 需要能夠證明在整個設計和開發過程中都考量了網路資安的地方，以便獲得 CE 標記並符合 IEC 62443 標準的合規性。
這包括它的設計方式、連接方式，以及人們如何以實體或遠端方式與其連接。
這表示其建造方式採用了最少的非必要元件和最少的連接。這些機器並非門戶大開，也不是等著被下游的某人鎖定。
這是強制性規定。這也是OEM最經常低估的一點。
您可以在產品出貨當天驗證其不含病毒，但您要如何長期追蹤新的和不斷出現的漏洞？ 攻擊者在取得該設備的版本並尋找入侵方法後，弱點通常才會浮現。
這表示您的態勢必須隨時保持在最佳狀態。您知道自己賣出的商品，也知道威脅情報和弱點報告對此有何揭示。現在您有責任協助那些買機器的客戶。否則可能會產生進一步的問題。
這是您需要從問題三注意到的另一件事：此責任一直伴隨著機器到產品生命週期結束為止，或機器還在量產期間背負長達 10 年的責任。
假設範例：您的 OEM 每年出貨一百台機器。等您到了第十年時，您實質上就背負著一千台機器的責任。 而每年都有許多安裝的裝置。 假設有 100 台此類裝置。 這表示您必須能夠追蹤對應到您已出貨至多個地點的十幾萬個端點的弱點和產品更新。所有這一切都存在於上千台機器中，而您需要知道、追蹤並回報這些機器的版本和弱點狀態。
接下來，加上勞工成本。這會隨著您的規模而擴大，而且不容小覷。正在面對此一情況的歐洲 OEM 告訴我們，追蹤的負擔極為沉重；而那些已經找到簡化方法的 OEM 則可大幅節省時間。
如此的工作量會讓人面臨艱難的抉擇。您可以將此視為現狀，並將其整合為您產品、功能和服務核心能力的一部分。或者，您也可以把這當成一件麻煩事，敷衍了事，然後拋諸腦後。
第二條路就是問題開始浮現之處。毫無疑問，CRA 將會改變 OEM 市場。問題是，你站在那場變革的哪一邊。
對於北美 OEM 和機器製造商來說，他們很容易會將 CRA 視為是"歐洲問題。"但重要的是要觀察其發展軌跡。
如果您要在歐洲銷售產品，或您的客戶有在歐洲銷售產品，這項要求就會透過採購訂單讓您感受到。
如果您完全以北美為主，聯邦政府已開始提高各行各業和政府部門的網路資安要求，也就是說，這項要求將繼續擴大到其他產業。無論是否有固定的實施時間表，大方向都不會朝著減少課責發展。
生命週期是關鍵的差異化因素。重要的是，應該監控您的機器是否存在弱點，並將修補程式交到客戶手中。這類工作可以自動監控，並為您產生特定修補程式。
而且其回報不僅僅是降低風險。如此高的能見度也能讓您和您的客戶瞭解每台機器隨著時間改變的狀況。到了五年或十年這個時間點，您的客戶將會知道哪些機器需要更換或升級；而所有這一切都有著證據背書。
這也為 OEM 提供了一條新的服務線和成長契機。與那些無法提供追蹤資料或記錄來支持其說法的競爭對手相比，這也讓您成為更安全的選擇。
法規與合規架構可能令人不知所措。在你開始時，可以記住以下四點。
已發佈 2026年10月12日
您可能也會對以下內容感興趣
