合規 ·網路韌性法案 — 歐盟法規 2024/2847
Stella Ops今天為CRA生產的產品
《網路韌性法案》要求含數位元素產品的製造商維護軟體物料清單、在支援期間處理漏洞、保存技術文件，並回報遭主動利用的漏洞與嚴重事件。回報義務自 2026 年九月 11 日起生效；本法規自 2027 年十二月 11 日起全面適用。
主張邊界
啟用後會以保守的僅證據模式開始收集證據；這並不聲稱符合法規要求。
Stella Ops協助有義務的製造商或營運者組裝並簽署監管機構所需的文物。它從不申報、不認證，也不會讓你合規——營運者始終是受監管的決策者。
兩個重要的日期
2026 年九月 11 日
被積極利用的漏洞與嚴重事件必須通報：24小時內預警，72小時內通知，14天內最終報告。
11 十二月2027
其餘CRA義務仍適用，包括產品上市前的技術文件與合規性評估。
運送文物
以下內容現在都在產品裡——v1.0-RC1，候選版本。每份產出物都是從收集到的證據產生的；若缺少證據，產出物會記錄此缺口。
產生附錄 VII 技術檔案：11 節，確定性輸出，簽名。若源文物遺失或被竄改，產生失敗會關閉，而非掩蓋該空白。
彙整A模組、B+C模組及H模組路線的合格評估檔案。檔案會為你的評估提供參考；評估決定權不是Stella能做的。
產品更新會以DSSE簽名的清單和離線驗證器發行。終止日期由頻道執行，而非作為警示文字。 DSSEDead Simple Signing Envelope - 用於以加密簽章簽署任意資料的簡單靈活標準
RFC 9116 security.txt加上DSSE簽署的 CSAF 諮詢訂閱源，讓研究人員和機器能找到相同的揭露管道，並能驗證簽署者。
簽署清單記錄每款產品的支援承諾——至少五年的漏洞處理經驗，日期作為證據而非政策 PDF。
明確追蹤24小時的早期警示、72小時通知及14天最終報告，並為每個階段建立 ENISA 提交信封。
CycloneDX 1.6/1.7和SPDX 3.0.1，附著在OCI影像上，讓SBOM能與它描述的精確摘要一同傳送。 CycloneDX業界廣泛使用的軟體物料清單（SBOM）開放標準格式 SPDX軟體套件資料交換 - 另一種廣泛用於開源的SBOM開放標準格式
Stella Ops不做的事
缺口清單是產品的一部分。這些就是目前的限制。
自動提交給 ENISA 的程序會等待官方報告架構。現在信封會寫入你控制的檔案系統位置，然後你提交。事件時間軸上的截止時間點無論如何都會持續。
歐盟合規宣言是製造商自身的法律文件。Stella Ops彙整其背後的檔案；你要審查並簽署 DoC。
一個群體負責收集、訂購並簽署證據。該證據是否符合CRA，則只有受監管方或其評估者能做出判斷。
兩包CRA，兩份責任
每個族群的所有權標籤會標明誰負責監管義務。啟用一個包不會轉移它。
manufacturer-self
Stella Ops本身就是一個帶有數位元素的產品，因此這個包本身就是CRA證據：協調揭露流程、RFC 9116 security.txt，以及DSSE簽署的Stella Ops產品諮詢訂閱。
此處涵蓋的責任是Stella Ops作為Stella Ops製造商的責任。
manufacturer-customer-support
附件VII出口、合規檔案及產品支援生命週期證據。Stella Ops支援你的文件工作；責任會留在你身上。
此處涵蓋的義務屬於您，作為您產品的製造商;Stella Ops支援。
其作戰著陸方式
- 1
啟用該包
每個套件一項決策，記錄方式與其他決策相同。收集工作會以保守的僅證據模式開始。
- 2
僅憑證據收集
SBOM、保全事件、建議狀態及事件時間軸都會累積到你的發行紀錄。尚未到位的內容會明確保持為未完成。
- 3
檢視工作區
審查員負責優先排序：先處理報導，接著是實體隔離。每個物品都有其狀態——MISSING、RECORDED或SIGNED。
- 4
簽名出口
將附件VII檔案或合規檔案匯出為簽署的套件。確定性：相同的證據產生相同的文件，因此驗證者可以重新執行。