法規通報模組（白話需求）

狀態：2026-10-13 縮回 FR-135 第三期做成專案頁籤；本檔與 CM-2707 留作日後開獨立模組的起點

法規要求廠商在發現被積極利用的漏洞或嚴重資安事件後，於期限內向主管機關通報。這個模組讓使用者在系統內建一筆通報案件，系統依法規算出各階段截止時間、倒數、寄信提醒，使用者在外部平台送件後回填送件紀錄，全程留時間軸當證據。

決策者 2026-10-12 裁定：通報是獨立模組，CRA 只是第一個使用者。

「多家」指三個方向，全部由資料模型承接：

• 多法規：CRA、台灣資安法、NIS2、GDPR、金管會，各自是一組規則。
• 多對象：同一事件可同時送 ENISA、國家 CSIRT、N-ISAC、客戶，每個對象各自有送法與狀態。
• 多租戶多產品：案件掛在「租戶 × 系統 × 版本 × 適用法規集」上；通報規則分「系統預設」與「租戶自訂」兩層。

• 側選單有獨立入口。
• 案件可以不綁稽核專案。
• CRA 專案只「引用」案件當證據（AO 證據來源 type＝reporting，見 FR-135 E1）。
• 資料模型照 jedi 套件切，主專案只接 UI 與引用。

決策者 2026-10-12 定案，第一版只做這五項：

1. 建案
2. 三期限倒數
3. 寄信
4. 回填送件紀錄
5. 時間軸

範圍限制：

• 法規只做 CRA 一組。
• 不接 ENISA（不做對外自動送件）。
• 不做 STIX／TAXII。

• 案件帶「適用法規」欄，MVP 固定 CRA。
• 通報規則存表、不寫死，MVP 只塞 CRA 一組。
• 階段可掛多個對象的表結構，MVP 只用一個。
• 情資來源表不建。

真有第二家需求進來再擴大。

依據 CRA Article 14（原文見 docs/reference/CRA/article-13-14-original-text.md 第 85 行起）。分兩類案件：被積極利用的漏洞、嚴重事件，各三個階段：

Article 14 (2)(b)(c)、(4)(b)(c) 都有「除非相關資訊已提供」的條款：前一階段已經給過的資訊，後一階段可以省略。

FR-135 規劃稿對第一版功能的細部描述（建案欄位、倒數起算、寄信時機、回填內容、時間軸）見 docs/features/FR-135-2610-cra-compliance-framework/cra-implementation-plan.md「通報模組（第一版）」段：

• 建案：系統、版本、類型（被積極利用的漏洞／嚴重事件）、知悉時間、負責人、通報人員。
• 倒數：前兩個截止點從知悉時間算；最終報告的截止點在對應事件發生時才開始算（漏洞：回填修補可用日；事件：回填 72 小時通報送出時），起算前顯示「待起算」。
• 寄信：建案時寄、截止前提醒、逾期再寄；走既有郵件設定與通知頻道。
• 回填送件：每階段按「已送件」，填送件時間、ENISA 案號、附檔；回填後該階段停止倒數。
• 時間軸：建案、寄信給誰、回填、操作者全部留紀錄，這就是 Art. 14 要留存的證據。

首腦查碼後列出的四個落差，均待決策者裁示：

1. 待裁｜三份填寫範本是否進 MVP：母卡原裁有「三份填寫範本」，MVP 定案五項未列；雛形畫了 DOCX 草稿下載。
2. 待裁｜通報人員來源：D13 把通報窗口放在專案 SSP 的 Party，但案件不綁專案，建案時「通報人員」從哪裡選要對齊。
3. 待裁｜「已於前段提供」的處理：Article 14 允許省略已提供的資訊，階段要不要能標成合併或跳過；雛形沒有這個標記。
4. 待裁｜預警法定內容兩欄：預警的「已上市會員國」與事件類的「是否疑似惡意行為」兩欄，雛形沒有。

• 前作：FR-135 CRA 合規框架（母卡 CM-2675），CRA 是本模組第一個使用者。
• 雛形：docs/features/FR-135-2610-cra-compliance-framework/prototype/phase3-incidents.html（待改：加「適用法規」下拉、時間軸改由規則展開）。
• 審稿結論卡：CM-2706。
• FR-134：弱點可帶入建案。
• FR-133／jedi-notification：寄信。