OpenSSF 定義三種角色協助開源專案符合 EU 網路韌性法

歐盟《網路韌性法》（Cyber Resilience Act，簡稱 CRA）針對所有內含數位元件的產品規定了一系列安全義務，這些規範對全球開源供應鏈產生了深遠且具體的影響。為了協助開源社群清楚了解各自的合規責任，Open Source Security Foundation（OpenSSF）於 2026 年 9 月正式發布了一份《角色與合規指南》，在其中將生態系統劃分為三種主要角色，並針對每一角色列出必須遵守的義務與落實步驟。

三種角色、三套責任

指南將開源生態系統細分為（1）維護者或貢獻者、（2）開源守護者以及（3）嵌入開源程式碼的產品製造商。這三類角色的劃分直接對應 CRA 法條的語意，分別對應僅提供程式碼的開源貢獻者、提供長期支援與治理的法人實體，以及最終將開源程式碼嵌入硬體或軟體產品並對外銷售的製造商。

大多數非營利性質的開源貢獻者不屬於 CRA 所定義的「製造商」範疇，因而不會自動受到廣泛的報告與修復義務限制。他們的主要責任仍然是確保所撰寫程式碼的品質與安全，無需承擔商業行為者所面臨的嚴格合規負擔。

守護者的職責

開源守護者被定義為為商業使用的開源專案提供長期支援的法人實體。守護者的核心職責包括協調治理、制定與維護安全政策、處理漏洞披露流程，以及促進下游使用者之間的合作與資訊共享。

雖然 CRA 直至 2027 年 12 月 11 日才正式對守護者施加具體義務，OpenSSF 建議守護者提前落實最佳實務，例如設置安全聯絡點、建立升級與回應流程、以及構建跨組織的協作機制，以協助下游製造商順利符合其 CRA 時程。

製造商面臨最嚴格的時程

以自有品牌銷售產品的製造商承擔最廣泛且最嚴格的義務。自 2026 年 9 月 11 日起，製造商必須在 24 小時內向 EU 主管機關報告任何被積極利用的漏洞或重大安全事件，並於 72 小時內向所有受影響客戶發出正式通知。若未能遵守上述時限，將面臨高額罰款或市場准入限制。

• 在每個倉庫維護最新的 SECURITY.md 文件
• 提供持續監控的專屬安全聯絡地址
• 採用供應鏈驗證工具，如 SLSA、Sigstore、GUAC 與 OSPS Baseline
• 文件化升級程序並與下游合作夥伴共享

指南同時強調，將上述工具與流程整合至自動化 CI/CD 流程是關鍵。透過產生加密來源記錄（SLSA）與簽署建置產物（Sigstore），專案能夠證明建置完整性，這些證據在 EU 主管機關審核時將成為製造商合規的核心佐證。

因單一組織可能同時扮演多重角色，指南建議企業內部必須明確劃分職責。例如，同時貢獻開源函式庫並銷售內含該函式庫的硬體設備的公司，應將貢獻活動視為維護者職務，將硬體銷售視為製造商職務，分別依照對應的合規清單執行。

對於台灣的組織而言，實務影響在於必須先辨識自身屬於哪一角色，然後依照 OpenSSF 的建議導入安全文件、供應鏈驗證工具與快速漏洞報告機制。這不僅能降低因違規而產生的罰款風險，亦能提升整體開源供應鏈在歐盟市場的韌性與競爭力。

此外，OpenSSF 亦提醒各角色在跨境合作時應注意資料傳輸與隱私保護的額外要求，特別是涉及歐盟個人資料的情境。遵循 GDPR 與 CRA 的雙重合規框架，將有助於在全球市場建立可信任的供應鏈形象。

最後，OpenSSF 呼籲開源社群持續參與政策討論，透過公開意見回饋機制影響未來法規的細部制定，確保技術與法規之間的平衡，讓開源創新不被過度行政負擔所抑制。