美國白宮對具危險性的生物研究提出新規範
美國白宮為避免由聯邦補助的生物科技研究案，因研究涉及具危險性生物，而不經意製造出生化武器，繼此於2014年9月24日由國家衛生研究院（National Institutes of Health，NIH）和白宮科技政策辦公室（White House Office of Science and Technology）共同提出新規範，即「美國政府對生物科學雙重用途研究與考量的機構監督政策」（United States Government Policy for Institutional Oversight of Life Sciences Dual Use Research of Concern），旨在加強由聯邦預算補助的生物雙重用途研究（Dual Use of Research）安全性。
前述生物科技研究中的生物雙重用途研究，意指以增進公共衛生、國家安全、農業、環境等為主旨的生命科學研究之外，尚有其他具殺傷力或致命性的合法研究，例如合成病毒、除草劑等。早於2013年，美國白宮即已開始實施「美國政府對生物科學雙重用途研究與考量的監督政策」（United States Government Policy for Oversight of Life Sciences Dual Use Research of Concern），惟本次另以機構為主要規範對象。而作成新規範之重點分述為三如下：
1.原先以補助單位（通常為國家衛生研究院），為具危險性生物研究案為監督、責成單位，現將該監督責任歸屬移轉至取得相關補助的科學家、大學或研究機構。
2.從事相關具危險性生物研究之科學家，必須通報其所屬機構，並且須召開審查委員會評估相關風險，亦須通知聯邦層級的補助單位。此外，該科學家與其機構必須提交一份風險防範之計畫書，例如建立生物安全等級（biosafety rating）較高的實驗室等。
3.違反相關規範之受補助對象，將面臨中止、限制或終止補助之處分，甚至失去申請未來聯邦補助單位所補助一切與生命科學相關研究補助的機會。
美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
基因改造作物種植與否，未來將由各會員國自行決定為期望能打破歐盟長久以來因是否種植基因改造作物所陷入的政治僵局，近來根據一份歐盟內部策略報告文件(internal strategy paper)指出，歐盟執委會針對未來的基因科技政策首次建議表示，未來將授權由各會員國自行決定將批准或禁止基因改造作物於境內種植，並且透過調整相關基因科技法管理規範的方式予以落實推動。 以目前歐盟各會員國觀之，境內支持基因改造科技(gene-technology-friendly)與反對基因改造科技(gene-technology-unfriendly)的國家彼此呈現封鎖阻隔的局面，欠缺透明的決策程序，同時降低民眾對於政策決定了解程度。因此，歐盟執委會建議，關於基因改造作物的批准與種植，在此次建議中，擬朝向將歐盟權限與各會員國權限進行切割的做法，表示此一規劃對於後續選擇栽種與利用基因改造作物的國家將更為簡便，相對於無意栽種基因改造作物的國家則可核發禁令。 為執行上述建議做法，歐盟執委會進一步表示，修改相關法令規範必須取得歐盟議會之同意，如可行將嘗試於現行立法架構下採取政策調整的方式，同時應確保未來新修正的基因科技管理規範和WTO之規定相容，並且不會和其他國家政策立場造成衝突，尤其是向來支持發展基因改造作物的美國。 整體而言，歐盟執委會對於未來調整方向抱持樂觀態度，認為有鑑於目前的情況，此舉將為植物生物科技與相關種子產業帶來正面提升的力量。
歐盟為清潔能源轉型提出再生能源指令修正提案2016年11月30日，歐盟執委會正式推出了清潔能源轉型（Clean Energy Transition）包裹立法提案。這項又名為「全歐洲人的清潔能源」（Clean Energy for All Europeans）包裹立法提案有三個主要目標，分別為「能源效率優先」（putting energy efficiency first）、「讓歐盟於再生能源取得全球領導地位」，以及「提供消費者公平合理的方案」（providing a fair deal for consumers）。而整個包裹措施的內容，除了再生能源指令（2009/28/EC）的修正案的提出外，並包含能源效率指令（2012/27/EU）以及建築物能源績效指令（2010/31/EU）的修正規劃。 在再生能源指令的修正草案方面，根據執委會的說明文件 ，此次的修正大致延續2015年所提出公眾諮詢的架構，分為六個面向，分別為：（1）於電力部門創造可以促成再生能源進一步佈署之架構（2）供冷供熱部門再生能源的主流化（3）運輸部門的減碳與多元化（4）對於消費者之賦權與資訊之提供（5）強化歐盟對於生質能源的永續性門檻（6）確保歐盟層級的具拘束力目標（binding target）能及時並以符合成本效率之方式達成。 在「於電力部門創造可以促成再生能源進一步佈署之架構」方面，執委會指出，依照目前規劃，2030年時歐洲將有一半的電力來自再生能源。而因應上述規劃願景，此次的修正草案融入會員國在設計支持再生能源機制時所應遵循的一般原則，亦即除了確保相關支持機制對於投資人具透明性與安定性，系爭機制亦須符合成本效益且為市場導向。 在「供冷供熱部門再生能源的主流化」部分，執委會首先說明，供冷供熱佔歐洲能源需求的50%，但此部分再生能源的使用仍然發展遲緩。此次修正規劃的主要重點則首先在於讓會員國有機會以供冷供熱部門為選項來增加其再生能源佔比，以2030年為目標，預計每年增加1%。並在特定條件下，開放再生能源發電業者對於區域型供冷供熱系統的近用權利。 我國政府近來為推動能源轉型政策，亦致力提高再生能源配比，並由行政院核定諸如「太陽光電2年推動計畫」等配套方案，近來並將修正再生能源發展條例；歐盟所提出相關規劃內容，或亦有值得我國參酌之處。
日本經產省修正《輸出貿易管理令》對南韓出口之電子原料實施嚴格管制審查2019年7月1日，日本經產省依據《外匯及對外貿易法（以下簡稱外匯法）》，對於產品技術的輸出與輸入進行適當之進出口管制，要求日本國內向南韓進行輸出之行為，必須通過嚴格的出口管制審查。日本經產省表示，進出口管制制度係建構在國際信賴關係的基石之上，近年來有相關產品技術輸出南韓管制不當之案例，已造成日韓兩國間信賴關係嚴重損害（例如二戰強徵勞動力的訴訟案件爭議，以及日本提供的材料可能從南韓非法轉運至北韓、被轉為軍事用途之風險等），故提出兩項政策以為反制，包括將南韓從白色國家名單移除，及提升對南韓出口管制審查標準等，具體說明如下。 1.修正日本對南韓之輸出貿易管理列表 基於《外匯法》第48條，擬修正外匯法之政令《輸出貿易管理令》附件三類別表，將南韓從日本安全保障、友好貿易夥伴的｢白色國家｣列表中刪除，透過監管改革嚴格審查對南韓的出口管制制度。 2.針對向南韓出口之電子原料實施嚴格管制審查與核發特定出口許可證 自2019年7月4日起，針對日本向南韓出口的三項半導體關鍵電子原料，含氟聚醯亞胺（Fluorine Polyimide）、光阻劑（Resist）、蝕刻氣體（Eatching Gas）以及轉讓相關連的製造技術等，均被排除於綜合出口許可證制度範圍外，須額外單獨申請特定出口許可證並進行出口審查。 針對日本管制措施，南韓產業通商資源部（Ministry of Trade, Industry and Energy, MOTIE）表示強烈抗議，認為日本在未提供任何具體證據的情況下逕行對南韓實施出口管制，並將南韓從白色國家名單中刪除，已違反WTO自由與公平貿易原則（Free and Fair Trade），構成貿易壁壘與歧視性差別待遇，嚴重威脅日韓經濟夥伴關係，恐將引發兩國企業及全球產業供應鏈動盪，對自由貿易造成負面影響。南韓政府已強烈要求日本取消對於出口管制的不公平措施，撤銷將南韓從白色國家名單移除之《輸出貿易管理令》修正案，同時積極尋求聯合國安全理事會介入調查。