本卡為 FR-135 母案。把歐盟網路韌性法（CRA）做成顧問能在系統內開專案跑完的合規框架。分三期：第一期零開發（灌 31 條、建資源庫、拿自家材料當測資、修一個連動 bug），第二期做底層與欄位，第三期做通報模組與文件。本輪只開第一期 3 棒。子卡清單在末段。
這系列在做什麼（白話）
CRA 是歐盟對「賣進歐盟、會連網的硬體與軟體」的強制資安法規，2027-12-11 全面適用、通報義務 2026-09-11 已生效。公司要有歐洲客戶了，顧問要能在系統裡像帶 CMMC 一樣帶客戶走完 CRA：開專案、縮範圍、收證據、判定、結案、出文件。CRA 的 31 條要求（Annex I 第一部 14 條產品安全屬性、第二部 8 條漏洞處理義務、Annex II 9 條使用者資訊）當控制項進框架，走既有的規劃→執行→稽核→矯正流程。
為什麼要做
決策者 2026-10-11 裁定。研究階段查過程式碼與 DEV 資料後的結論：主流程全對得上，真正要新做的只有三件東西（產品主檔加版本與支援期、規劃期風險登錄、通報模組）加一個底層機制（SSP 表單隨資源庫可設定）。其餘是既有畫面加欄位、加資料、加文件範本。第一期完全不改程式就能讓顧問開 CRA 專案。
首腦讀完後的重點（七項裁示，2026-10-11）
- D1 母卡涵蓋第〇步、框架入庫、資源庫表單設定、側寫與風險、文件；通報模組與跨框架對應各另開整數號 FR；「不適用沒排除稽核範圍」bug 獨立小卡（本輪子卡③）。
- D2 風險評估第一版做手填登錄表雛形，預留「威脅來源」「元件連結」欄位；依元件類型建議威脅、畫架構圖自動生威脅留下一階段（GRC）。
- D3 表單設定做成合規資源庫的第四件（與控制項選集、SSP 範本、稽核流程範本並列），隨資源庫複製；擴充欄位「定義」隨資源庫、「值」存專案 SSP 擴充屬性。未來 SEMI E187 複製 CRA 資源庫微調即可。
- D4 評估目標（AO）第一版不寫，每條控制項入庫附「建議證據」一段；第〇步跑完再決定拆哪幾條。系統允許無 AO 控制項（退回控制項層判定，DEV 已有多本無 AO 小 catalog 正常運作）。
- D5 通報第一版只做建案、三期限倒數、寄信、回填送件紀錄、時間軸；不對接 ENISA（它只有網頁人工填表）。最終報告起算點：漏洞自修補可用起 14 天、事件自 72 小時通報送出起 1 個月，不是從知悉起算。
- D6 第〇步第一期就開，與 catalog 灌入同一棒。
- D7 稽核階段對 CRA 專案當作「檢查」：不跳過，稽核員由顧問擔任；系統不改，寫進資源庫說明。
- 條文來源鐵律：catalog 條文只用
docs/reference/CRA/annex-I-II-original-text.md（EUR-Lex 原文）。不抄 EN 40000 草案、不抄 ENISA 對照報告條文（版權，且 ENISA 編號是草案版）、不用 COMPLYD 等第三方摘要。建議證據與評估目標用自己的話寫、附條款編號引用。
怎麼拆（第一期）
- 第 1 棒 ENISA 對照底稿＋31 條建議證據草稿（純文件，1 支 md）— 給之後主筆 AO 與建議證據的人一份工作底稿，不碰 code 不碰 DB。獨立一棒因為它是閱讀與整理工作，與灌庫技能不同。
- 第 2 棒 31 條 catalog 灌 DEV＋CRA 公版資源庫＋第〇步（1 支 seed SQL＋DEV 操作＋1 支清單 md）— 寫 seed SQL 灌 DEV、建資源庫與專案、把 FR-126 的 81 條安全需求測試結果與 FR-134 SBOM 當證據掛上去、產「掛不上去的清單」。零 code 改動。
- 第 3 棒 修「不適用」不排除稽核範圍 bug（1 支 service 改一處）— 與 CRA 無關、所有框架受益，獨立小卡。
建議順序：第 1 棒與第 3 棒可立刻平行；第 2 棒的 seed SQL 部分可與第 1 棒平行，但「建議證據」欄位要等第 1 棒草稿出來再填進 seed（或第 2 棒先灌條文、建議證據留空、第 1 棒完成後補一支 update）。第 2 棒第〇步實測要在第 3 棒修完後做，才能驗「標不適用是否真的排除」。
共同設定