---
title: 法規通報模組（白話需求）
---

> 狀態：2026-10-13 縮回 FR-135 第三期做成專案頁籤；本檔與 CM-2707 留作日後開獨立模組的起點

## 這是什麼

法規要求廠商在發現被積極利用的漏洞或嚴重資安事件後，於期限內向主管機關通報。這個模組讓使用者在系統內建一筆通報案件，系統依法規算出各階段截止時間、倒數、寄信提醒，使用者在外部平台送件後回填送件紀錄，全程留時間軸當證據。

決策者 2026-10-12 裁定：**通報是獨立模組，CRA 只是第一個使用者**。

## 支援多家的意思

「多家」指三個方向，全部由資料模型承接：

- **多法規**：CRA、台灣資安法、NIS2、GDPR、金管會，各自是一組規則。
- **多對象**：同一事件可同時送 ENISA、國家 CSIRT、N-ISAC、客戶，每個對象各自有送法與狀態。
- **多租戶多產品**：案件掛在「租戶 × 系統 × 版本 × 適用法規集」上；通報規則分「系統預設」與「租戶自訂」兩層。

## 模組邊界

- 側選單有獨立入口。
- 案件可以不綁稽核專案。
- CRA 專案只「引用」案件當證據（AO 證據來源 type＝`reporting`，見 FR-135 E1）。
- 資料模型照 jedi 套件切，主專案只接 UI 與引用。

## MVP 定案

決策者 2026-10-12 定案，第一版只做這五項：

1. **建案**
2. **三期限倒數**
3. **寄信**
4. **回填送件紀錄**
5. **時間軸**

範圍限制：

- 法規只做 CRA 一組。
- 不接 ENISA（不做對外自動送件）。
- 不做 STIX／TAXII。

## 預留（只留資料模型與表結構，不做畫面、不做邏輯）

- 案件帶「適用法規」欄，MVP 固定 CRA。
- 通報規則存表、不寫死，MVP 只塞 CRA 一組。
- 階段可掛多個對象的表結構，MVP 只用一個。
- 情資來源表不建。

真有第二家需求進來再擴大。

## CRA 的通報期限

依據 CRA Article 14（原文見 `docs/reference/CRA/article-13-14-original-text.md` 第 85 行起）。分兩類案件：**被積極利用的漏洞**、**嚴重事件**，各三個階段：

| 階段 | 期限 | 起算點 |
|---|---|---|
| 早期預警 | 24 小時內 | 自知悉起算 |
| 正式通報 | 72 小時內 | 自知悉起算 |
| 最終報告（漏洞） | 14 天內 | 修補或緩解措施可用後 |
| 最終報告（事件） | 1 個月內 | 72 小時通報送出後 |

Article 14 (2)(b)(c)、(4)(b)(c) 都有「除非相關資訊已提供」的條款：前一階段已經給過的資訊，後一階段可以省略。

FR-135 規劃稿對第一版功能的細部描述（建案欄位、倒數起算、寄信時機、回填內容、時間軸）見 `docs/features/FR-135-2610-cra-compliance-framework/cra-implementation-plan.md`「通報模組（第一版）」段：

- **建案**：系統、版本、類型（被積極利用的漏洞／嚴重事件）、知悉時間、負責人、通報人員。
- **倒數**：前兩個截止點從知悉時間算；最終報告的截止點在對應事件發生時才開始算（漏洞：回填修補可用日；事件：回填 72 小時通報送出時），起算前顯示「待起算」。
- **寄信**：建案時寄、截止前提醒、逾期再寄；走既有郵件設定與通知頻道。
- **回填送件**：每階段按「已送件」，填送件時間、ENISA 案號、附檔；回填後該階段停止倒數。
- **時間軸**：建案、寄信給誰、回填、操作者全部留紀錄，這就是 Art. 14 要留存的證據。

## 待裁

首腦查碼後列出的四個落差，均待決策者裁示：

1. **待裁｜三份填寫範本是否進 MVP**：母卡原裁有「三份填寫範本」，MVP 定案五項未列；雛形畫了 DOCX 草稿下載。
2. **待裁｜通報人員來源**：D13 把通報窗口放在專案 SSP 的 Party，但案件不綁專案，建案時「通報人員」從哪裡選要對齊。
3. **待裁｜「已於前段提供」的處理**：Article 14 允許省略已提供的資訊，階段要不要能標成合併或跳過；雛形沒有這個標記。
4. **待裁｜預警法定內容兩欄**：預警的「已上市會員國」與事件類的「是否疑似惡意行為」兩欄，雛形沒有。

## 相關座標

- 前作：FR-135 CRA 合規框架（母卡 CM-2675），CRA 是本模組第一個使用者。
- 雛形：`docs/features/FR-135-2610-cra-compliance-framework/prototype/phase3-incidents.html`（待改：加「適用法規」下拉、時間軸改由規則展開）。
- 審稿結論卡：CM-2706。
- FR-134：弱點可帶入建案。
- FR-133／jedi-notification：寄信。