如果你以為工業電腦只要硬體規格夠力、價格夠殺就能賣遍全球，那可能要重新思考了。歐盟《網路韌性法案》(Cyber Resilience Act, CRA)已於 2024 年 12 月 10 日生效,自 2027 年 12 月 11 日起全面適用。屆時受 CRA 涵蓋的產品若未依其產品分類完成相關合格評定程序、取得 CE 標誌,將無法合法投放歐盟市場——這不是危言聳聽,而是正在發生的產業變革。
為什麼資安合規成為市場准入關鍵?
過去工業控制系統習慣「實體隔離」,機台不上網就不怕駭客。但隨著邊緣 AI 與工業物聯網普及,儲能設備、微電網都得連雲端做數據分析,這等於把後門直接開給駭客。歐盟透過 CRA 立法要求：製造商必須在產品設計階段就證明其符合基本資安要求,並依產品類別完成必要的合格評定程序,才能簽署 EU 符合性聲明、加貼 CE 標誌並進入市場。
這就是為什麼研華在 2026 年 10 月 22 日宣布旗下 AFE-E630 邊緣工業系統完成 DEKRA 德凱依 IEC 62443-4-2:2019 進行的評估、取得 Security Level 2 (SL2) 能力的符合性聲明(Attestation of Conformity, AoC)時,市場反應不是「哦又一張證書」,而是「這是技術護城河的開始」。因為 IEC 62443-4-2 可作為工業控制系統元件建立資安能力的技術標準之一,也有助於廠商為 CRA 合規做準備——儘管它並非 CRA 合規的唯一條件,也不是所有工業產品的強制要求。
不只是通過評估,而是重新定義開發流程
更關鍵的是,研華這次不只讓單一產品完成第三方評估,還跟 DEKRA 簽了合作備忘錄(MOU),目標是協助客戶與系統整合商在產品設計階段就處理資安要求,並規劃合規路徑。用研華嵌入式事業群總經理張家豪的話說：「合規已從產品上市前的認證程序,變成設計初期就必須考量的課題。」
這意味著什麼?過去廠商可能開發完產品才想到要認證,現在得從畫設計圖那天起就把漏洞管理、加密機制全部考慮進去。這可能拉長開發時程、增加成本,但換來的是產品能符合特定市場的資安與法規要求——前提是廠商也需符合其他適用的產品法規及客戶需求。
競爭對手的合規布局
別以為只有研華在動。四零四科技(Moxa)在 2026 年 7 月 22 日宣布其 UC-4400A 與 UC-8600A 系列等 64 位元 Arm 架構工業電腦取得 IEC 62443-4-2 Security Level 2 認證。台灣工業電腦廠正在進行一場資安技術能力的競逐——誰能更早建立可驗證的安全標準,誰就有機會在 2027 年後搶占歐洲客戶訂單。
數位信任是工業創新走向全球市場的重要基礎。當 AI 與聯網技術深入製造、能源領域,客戶要的不只是效能,更是「可驗證的安全」。
投資人該怎麼看?
PTT 股版與法人圈已有討論：這類第三方評估與合規準備會不會成為研華等廠商的技術門檻?答案很可能部分是肯定的。但也有專業人士提醒,單一元件通過評估不等於整體系統安全,實際導入場域時,系統整合商還得評估整體網路架構風險。
另一個關鍵問題是成本轉嫁：開發與測試成本增加,這些會反映在終端售價上嗎?客戶願意為「資安保證」多付多少錢?這將直接影響毛利率表現。
作者觀點：如果你在追蹤工業電腦股,IEC 62443 等資安標準的評估進度,以及廠商為 CRA 所做的合規準備,可能是比季報數字更具前瞻性的觀察指標。因為 2027 年 12 月 11 日不遠了,未符合 CRA 適用要求及相關合格評定程序的產品,可能面臨無法合法進入歐盟市場的風險。IEC 62443-4-2 是可協助部分工業產品建立資安能力的標準之一,但並非所有產品的唯一強制通行證。
