荷蘭與德國率先成立GO FAIR國際支援與合作辦公室，推動歐洲開放科學雲
歐洲開放科學雲(European Open Science Cloud, EOSC)旨在整合現有的數據基礎設施以及科研基礎設施，為歐洲研究人員與全球科研合作者提供共享的開放資料服務。為此，荷蘭與德國於12月率先成立GO FAIR國際支援與合作辦公室(The GO FAIR international support and coordination office, GFISCO)。荷蘭辦公室坐落於萊頓，並由荷蘭政府與萊頓大學醫學中心(Leiden University Medical Center)所共同出資設立。
該辦公室之成立源自於GO FAIR計畫，GO意即全球開放(The Global Open)、FAIR則分別係指可發現(Findable)、可連接(Accessible)、共同使用(Interoperable)和可重複使用(Re-usable)，其目標在於跨越國界，開放目前科研領域現有的研究數據，係為邁向歐洲科學雲之里程碑。 荷蘭與德國曾於2017年5月時，發表聯合立場聲明書以展現推動歐洲開放科學雲以及全力支援GO FAIR計畫之企圖心，此次辦公室之設立為，包含以下主要任務：
- 支援由個人、機構、計畫組織等各方所組成的GO FAIR實踐網絡(GO FAIR Implementation Networks, INs)之營運工作。
- 進行GO FAIR實踐網絡之協調工作，以避免重複或壟斷之情形發生。
- 透過教育支援等方式倡議推行GO FAIR計畫。
GO FAIR國際支援與合作辦公室主要之角色為提供建言，而非幫助GO FAIR計畫做決策，若無達成預期效果或是缺乏明確的工作計畫時，該辦公室則可提供相關服務，以協助達成預期目標，並協助處理行政上之相關議題。
本文為「經濟部產業技術司科技專案成果」
游于萱
法律研究員 編譯整理
Progress towards the European Open Science Cloud https://www.government.nl/latest/news/2017/12/01/progress-towards-the-european-open-science-cloud
International Support and Coordination Office https://www.go-fair.org/go-fair-initiative/governance/go-fair-international-support-coordination-office/
美國眾議院於2015年4月22日以307票同意，116票反對，通過網路保護法（The Protecting Cyber Networks Act）。本法之立法目的在於移除法規障礙，美國公司藉此將得以與其他公機關或私人分享資安威脅的相關資訊，以防範駭客攻擊。 本法之重點內容主要係為對於網路威脅指標與防禦辦法之分享。依網路保護法第102條與第104條之規定，分享的客體包括「網路威脅指標」（cyber threat indicator）與「防禦辦法」（defensive measures），分享之對象則分為非聯邦機構（non-Federal entities）以及（國防部或國安局之外的）適當之聯邦機構（appropriate Federal entities）。本法第102條規定，在符合機密資訊、情報來源與方法、以及隱私及公民自由之保護下，國家情報總監（the Director of National Intelligence, DNI）經與其他適當聯邦機構諮商後，應展開並頒布相關程序，以促進下列事項之進行：「（一）與相關非聯邦機構中具有適當安全權限之代表，及時分享（timely sharing）聯邦政府所有之機密網路威脅指標；（二）與相關非聯邦機構及時分享聯邦政府所有，且可能被解密並以非機密等級分享之網路威脅指標；（三）於適當情況下與非聯邦機構分享聯邦政府所有，且與該些機構即將或正在發生之網路安全威脅（cybersecurity threat）有關之資訊，以防止或降低該網路安全威脅所造成之負面影響。」 以及，對於隱私權與公民自由之保障亦非常重要，就隱私權與公民自由之保障，網路保護法主要在第103條第4項設有相關規定。對於資訊安全，該項第1款規定，依本法第103條之規定進行資訊系統之監控、執行防禦辦法、或提供或取得網路威脅指標或防禦辦法之非聯邦機構，應實施適當之安全管控，以保護該些網路威脅指標或防禦辦法免遭未經授權之近用或取得。同項第2款則更進一步規定了特定個人資料在一定條件下應被移除。該款規定，依本法進行網路威脅指標分享的非聯邦機構，於分享前應合理地對該網路威脅指標進行復核，以評估該指標是否含有任何令該機構合理相信（reasonably believes）與網路安全威脅非直接相關，且於分享時（at the time of sharing）屬於特定個人之個人資訊或指向特定個人之資訊，並移除該等資訊。
歐洲議會決議通過歐盟數位服務新規章──數位服務法及數位市場法歐盟執委會（European Commission，下稱執委會）於2020年底提出數位服務法（Digital Services Act，DSA）以及數位市場法（Digital Market Act，DMA），而歐洲議會（European Parliament）最終於2022年7月5日以壓倒性的多數決通過上述法案，待歐盟理事會（Council of the European Union）核准通過後，法案將在公告於歐盟官方公報（EU Official Journal）後20天生效，並分別依規定時間開始適用。歐盟理事會已於2022年7月18日率先核准通過DMA，並正進行登載公報相關程序，DMA將於生效日起六個月後開始適用。以下將簡述兩法案主要內容： 1.數位服務法（DSA）：主要係處理線上非法內容、不實資訊以及其他社會風險等散播問題。依DSA，數位服務提供者於其服務或交易平台應針對涉及侵害基本權之非法內容即時採取反制措施、強化平台交易者之查核並提高可追溯性、增加平台的透明度及有責性，並應禁止具誤導性及部分特定類型之定向廣告，如針對兒童的廣告或以敏感資訊為基礎的廣告等。 2.數位市場法（DMA）：要求大型的主流線上平台於數位市場擔任「守門人」（gatekeeper），以確保消費者有公平的交易環境。守門人應與第三方交互使用服務，並使商業用戶得存取於其平台所生之資料，且不得：在其平台的檢索（index）與索引（crawl）相關排名中自我偏好（self-preferencing）自身產品及服務、令使用者難以卸載預先安裝之軟體或應用程式、以廣告為目的利用使用者個資。值得注意的是，執委會得對違反DMA規定之守門人處以其最高全球總營收10%的罰鍰，累犯者之罰鍰上限將提高至年度營收的20%。
Thomson Reuters v. ROSS案──美國聯邦第三巡迴上訴法院認定以商業替代目的訓練非生成式AI不構成合理使用Thomson Reuters v. ROSS案──美國聯邦第三巡迴上訴法院認定以商業替代目的訓練非生成式AI不構成合理使用 資訊工業策進會科技法律研究所 2026年10月16日 人工智慧(AI)訓練利用他人著作是否、如何構成合理使用，是各國著作權法持續討論中的爭議。美國聯邦第三巡迴上訴法院(United States Court of Appeals for the Third Circuit，下稱第三巡迴法院)於今(2026)年9月就Thomson Reuters v. ROSS案作成判決，認定以商業替代目的訓練非生成式AI，不構成合理使用[1]。 壹、事件摘要 美國聯邦第三巡迴法院就Thomson Reuters Enterprise Centre GmbH (下稱Thomson Reuters)及West Publishing Corp. (下稱West)控告ROSS Intelligence Inc. (下稱 ROSS)案(案號 No. 25-2153)作成判決，認定Thomson Reuters之法律裁判要點(headnote)具原創性而受著作權保護，且 ROSS為訓練AI而使用該等裁判要點，不構成合理使用(fair use)[2]。判決指出Thomson Reuters的素材具有「創作火花」(creative spark)，受著作權保護，且ROSS意圖以高度相似的目的使用這些素材，成為直接競爭者，認定不構成合理使用[3]。 Thomson Reuters為蒐集、整理、註解並出版司法判決等法律內容之公司，並推出線上法律研究平台Westlaw。Westlaw以主題與關鍵編號系統整理司法判決，撰擬提供裁判要點，清楚簡明的呈現判決所表明之關鍵法律論點，並讓使用者點選即可前往該要點所依據之判決段落[4]。ROSS係AI法律搜尋引擎開發者，其以數千則 Westlaw裁判要點作為訓練AI的素材，使其能辨識哪些判決段落足以妥適回應法律問題[5]。Thomson Reuters得知後對ROSS提起訴訟，主張著作權侵害。 貳、重點說明 判決指出Thomson Reuters之裁判要點編輯，須決定哪些法律論點重要到足以納入裁判要點，以及如何依Westlaw之撰寫準則表達這些論點，內容必須納入足夠之事實背景與理由，且無須參照判決或任何其他裁判要點即可被理解，首先肯定裁判要點具有原創性[6]。反駁ROSS主張，法院認為裁判要點內容並未等同判決內容，著作權主張並不會實際上壟斷司法判決[7]，而且「表達司法判決中的法律論點有許多方式」，並不適用概念與表達合一原則(merger doctrine)[8]。同時，逐項衡量美國著作權法四項合理使用因素，提出如下看法： 一、使用之目的與性質不利於合理使用 法院首先考量使用屬商業性或非營利性，因為商業性使用不利於認定合理使用；其次考量複製者之使用有多大之轉化性(transformative)，亦即新著作是否僅取代原創作之標的，抑或增添新內容、具有進一步之目的或不同之性質，其指標在於複製者之使用是否維持「獨特的目的」[9]。法院認為ROSS 意在建立一個收費與 Westlaw 相當之法律研究平台，與 Westlaw 爭取客戶，因此 ROSS 之使用具商業性[10]。而且，就轉化性而言，Thomson Reuters使用其裁判要點，協助法律研究者尋找並理解載有與其搜尋相關法律論點之司法判決；ROSS使用Thomson Reuters之裁判要點，建立一個法律研究平台，協助使用者找出回應其搜尋之判決段落。雙方方法雖略有差異，但都是使用裁判要點來建立並改進一個協助使用者尋找相關法律資料之法律研究平台，終極目的相同[11]。法院認定ROSS使用具高度商業性且僅具輕微轉化性，第一項因素不利於合理使用[12]。 判決指出，本案不同於Authors Guild v. Google案，該案Google 掃描整本書籍，供使用者搜尋並閱讀與其搜尋詞相符之書籍小段摘錄；原書之目的是供人閱讀，而搜尋功能之目的，是使使用者得以找到含有搜尋者所感興趣詞語之書籍[13]。但本案不存在這種轉化性目的，相反的，ROSS之平台使用Thomson Reuters之裁判要點，是協助使用者找到與其法律研究詢問相關之司法判決，而這正是Thomson Reuters已經以其裁判要點在做的事。而且Google之搜尋功能可能將使用者導向其後會向原作者購買之書籍，但本案ROSS不會把使用者導向Westlaw，相反地正如 ROSS 所承認，其目的是取代 Westlaw[14]。法院亦未支持ROSS的「中間複製」(intermediate copying)[15]主張，判決指出ROSS無須複製Thomson Reuters之裁判要點，即可取得原始的司法判決，並可自由複製這些判決，ROSS 選擇不這麼做，不是因為複製裁判要點是提供製作訓練備忘錄的「必要」方式，而是因為它是較「簡便」的方式[16]。 二、著作性質雖略為有利於合理使用但影響輕微 著作在被使用時是已發行或未發行，以及該著作雖具足以受著作權保護之創意，是否同時含有事實性或功能性要素；越具創意、越少事實性之著作，越「接近著作權保護的核心」，即越不利於合理使用。法院認為Thomson Reuters在 ROSS 使用前已發行這些裁判要點，且裁判要點較偏事實性而非虛構性，因其必須準確傳達法律，並描述不受著作權保護之司法判決，因此此項因素有利於合理使用[17]。惟法院亦指出，著作性質因素在合理使用判斷中鮮少扮演重要角色[18]。 三、所使用部分之量與重要性不利於合理使用 就量與重要性而言，法院認為ROSS 將 25,000 則 Westlaw 撰寫之裁判要點(本案經認定侵權而受審查者為其中2,243則)[19]全文複製到其備忘錄中，並以之訓練其 AI 程式，且意在利用 Westlaw 之成果，製作 Westlaw 之商業替代品，因此 ROSS 欠缺足以使大量複製成為合理之轉化性目的與性質[20]。雖然ROSS 主張其所取用的僅是Thomson Reuters 2,800 萬則裁判要點之0.08%[21]，但法院認為關鍵在於達成複製者之目的[22]「所取用者是否未超出必要程度」，在ROSS缺乏足以正當化之轉化性目的的情況下，其複製取用這些裁判要點即屬超出必要程度；而且每則被取用之裁判要點，ROSS所複製的都是全部，如此廣泛之複製因缺乏足夠之轉化性目的支持而不合理，故第三項因素不利於合理使用[23]。 四、利用結果產生價值影響與市場取代的效果 第四項因素關乎該使用對受著作權保護著作之潛在市場或價值所生之影響；「潛在市場」包括原著作之市場，以及原著作衍生使用之任何市場[24]。ROSS 主張相關原市場是裁判要點作為獨立產品之市場，Thomson Reuters則主張法律研究平台市場才是相關原市場。 法院認為ROSS 複製裁判要點，是為了在與 Westlaw 相同之競爭性法律研究平台市場中競爭，損害 Westlaw 在該原市場中之地位[25]。而且，縱採 ROSS 所稱的裁判要點市場，ROSS論點仍忽略其使用對Thomson Reuters裁判要點價值之影響。法院援引Video Pipeline案[26]駁斥ROSS類似論點，指出合理使用法規係指示法院考量使用對受著作權保護著作「價值」之影響，而不僅是對「市場」的影響。ROSS 複製裁判要點並以之建立自己之競爭性法律研究平台，挪用裁判要點在尋找與分析司法判決上之價值，並減損其作為吸引使用者前往Thomson Reuters法律研究平台之誘因的功能[27]。 此外，針對潛在衍生市場影響，Thomson Reuters則主張，ROSS 損害其將裁判要點授權作為 AI 訓練資料之潛在衍生市場，ROSS則主張裁判要點之衍生市場並不存在。法院認為將裁判要點作為文本授權用於訓練 AI 之市場正快速發展[28]，Thomson Reuters提出證據顯示，其正將裁判要點用作自身 AI 搜尋產品之訓練資料，而且Thomson Reuters未將其裁判要點授權予他人，並不能證明不存在可供授權之市場。ROSS 未經授權即複製裁判要點作為訓練資料，剝奪Thomson Reuters進入該衍生市場並為此目的授權其裁判要點之機會[29]。 最後，法院針對ROSS 主張其複製將因增加法律之可近性而有益於公眾、AI 對國家安全之主張，表示司法判決本可自由取得，且 ROSS 提供服務之價格與 Westlaw 相當，無法認定 ROSS 之複製能大幅增加公眾對法律之可近性[30]；雖然某些 AI 技術可能涉及國家安全疑慮，但這並不使 ROSS 僅因其納入了 AI，就可毫無顧忌地違反著作權法，不予採納。綜合上述理由，法院認定 ROSS 對這些裁判要點之使用並非合理使用，法院維持原裁定[31]。 參、事件評析 第三巡迴法院認為，本案與Bartz案及In re: OpenAI案之 AI 模型不同，ROSS 之 AI 平台無法產生原創表達，且本案證據支持欠缺轉化性之結論；ROSS 訓練其 AI，目的是創造 Westlaw 之商業替代品。本判決之意義，不在提供一個論述AI 訓練能否主張合理使用之依據，而在於哪些事實使本案走向利/不利於合理使用之結論。 一、著作性質偏事實性，但此因素法院認為權重較低：本案系爭的裁判要點偏事實性，與Bartz案、Kadrey案以創意程度較高之書籍為對象不同。判決雖因其須準確傳達法律、描述不受著作權保護之判決，認定略有利於合理使用，但仍指出該因素在合理使用判斷中鮮少扮演重要角色。 二、AI使用終極目的與原使用等同即欠缺轉化性：本案與Authors Guild 案之搜尋功能導向原書，及Bartz案、Kadrey案之模型生成新文字不同，ROSS雖非為產出相同裁判要點而訓練AI，但其自承產品與 Westlaw 直接競爭，並以取代 Westlaw 為目的；法院雖承認訓練為中間步驟，但仍以該步驟所服務之法律研究平台與 Westlaw 之使用具相同目的，作出輕微轉化之判斷。 三、利用須在達成轉化利用目的所必要的限度內：法院認為關鍵在於達成複製者之目的「所取用者是否未超出必要程度」，本案非如同其他案件，複製係為達成其他目的而必須採取的必要動作，ROSS 原即可自由取得原始司法判決，卻選擇複製裁判要點以求簡便。 四、將 AI 訓練授權機會納入衍生的潛在市場評價：只要能舉證即可納入認定市場影響，Thomson Reuters 提出其已將裁判要點用於訓練自身 AI 搜尋產品，以及 AI 訓練授權市場正在發展之證據，獲得法院支持。法院在有證據之前提下，認定 ROSS 篡奪Thomson Reuters進入並授權該潛在市場之機會。 由上述說明可知，第三巡迴法院與其他法院在判斷架構上並無歧異，不同點在於非生成式訓練、與原著作處於同一市場、且底層資料可自由取得之情況，如何認定使用目的與市場損害。本文認為ROSS使用目的的取代意圖過於明確，實質影響第三巡迴法院對第一、第三及第四項合理使用因素的判斷。特別是在市場影響的認定上，除原著作之市場外，法院明示其亦考量使用對著作價值之影響，即使不存在裁判要點之獨立市場，仍可認定價值受損；而且潛在衍生市場不以著作權人已實際授權為限，只要有證據顯示授權市場正在發展。在AI訓練結果具轉化性與對既有市場影響這兩個要素，可預見將來會有更多不同的判決，因應事實情況的差異，而發展出更細部的判斷因素。AI訓練授權市場之提出，後續如何牽動合理使用邊界值得持續觀察。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]Thomson Reuters Enterprise Centre GmbH v. ROSS Intelligence Inc., No. 25-2153, slip op. (3d Cir. Sept. 29, 2026), https://www2.ca3.uscourts.gov/opinarch/252153p.pdf（最後瀏覽日：2026/10/07）（下稱 ROSS slip op.）。 [2] ROSS slip op., 前揭註 1, p. 2：“We therefore hold that Thomson Reuters’s materials are copyrightable and that ROSS’s use was not fair.” [3] ROSS slip op., 前揭註 1, p. 2。 [4] ROSS slip op., 前揭註 1, p. 3。 [5] ROSS slip op., 前揭註 1, pp. 5–6。 [6] ROSS slip op., 前揭註 1, pp. 10–11。 [7] ROSS slip op., 前揭註 1, p. 11。 [8] ROSS slip op., 前揭註 1, p. 12。 [9] ROSS slip op., 前揭註 1, pp. 14–15。 [10] ROSS slip op., 前揭註 1, p. 16。 [11] ROSS slip op., 前揭註 1, pp. 16–17。 [12] ROSS slip op., 前揭註 1, pp. 17–18。 [13] ROSS slip op., 前揭註 1, pp. 18–19，引述 Authors Guild v. Google, Inc., 804 F.3d 202, 216 (2d Cir. 2015)。 [14] ROSS slip op., 前揭註 1, p. 19。 [15] 即美國聯邦第九巡迴上訴法院之 Sega Enterprises Ltd. v. Accolade, Inc. 案與 Sony Computer Entertainment, Inc. v. Connectix Corp. 案中提及的，複製電腦程式碼之目的，是使使用者得讓其軟體與既有電腦系統相容運作，其使用具有轉化性，因為複製均為接觸電腦程式碼不受保護之功能性面向所必要。ROSS slip op., 前揭註 1, pp. 19–20，引述 Sega Enters. Ltd. v. Accolade, Inc., 977 F.2d 1510, 1514 (9th Cir. 1992)；Sony Comput. Ent., Inc. v. Connectix Corp., 203 F.3d 596, 599, 606–08 (9th Cir. 2000)；Google LLC v. Oracle Am., Inc., 593 U.S. 1, 6–7, 30–31 (2021)。 [16] ROSS slip op., 前揭註 1, pp. 20–21。 [17] ROSS slip op., 前揭註 1, pp. 21–22，引述 Campbell v. Acuff-Rose Music, Inc., 510 U.S. 569, 586 (1994)；Oracle, 593 U.S. at 20, 28–29。 [18] ROSS slip op., 前揭註 1, p. 22，引述 Authors Guild, 804 F.3d at 220。 [19] ROSS slip op., 前揭註 1, p. 7 & n.3；p. 28。 [20] ROSS slip op., 前揭註 1, pp. 22–23。 [21] ROSS slip op., 前揭註 1, p. 23。 [22] ROSS slip op., 前揭註 1, p. 23：“The crux of the inquiry is whether ‘no more was taken than necessary’” to achieve the copier’s purpose. 引述 Authors Guild, Inc. v. HathiTrust, 755 F.3d 87, 98 (2d Cir. 2014)。 [23] ROSS slip op., 前揭註 1, p. 23 & n.10：“So, ROSS took more than necessary when it copied these headnotes without a justifying transformative purpose. Thus, the third factor weighs against fair use.”。 [24] ROSS slip op., 前揭註 1, p. 24。 [25] ROSS slip op., 前揭註 1, p. 25。 [26] 該案認為即使不存在預告片之獨立市場，被告Video Pipeline 發布的預告片，損害預告片吸引使用者前往迪士尼網站購買產品之價值。ROSS slip op., 前揭註 1, pp. 24–25，引述 Video Pipeline, Inc. v. Buena Vista Home Entm’t, Inc., 342 F.3d 191, 202 (3d Cir. 2003)。 [27] ROSS slip op., 前揭註 1, p. 25。 [28] ROSS slip op., 前揭註 1, p. 26。 [29] ROSS slip op., 前揭註 1, p. 26。 [30] ROSS slip op., 前揭註 1, p. 27。 [31] ROSS slip op., 前揭註 1, pp. 27–28。
簡介〈歐盟提供合格信任服務者依循標準建議〉簡介〈歐盟提供合格信任服務者依循標準建議〉 資訊工業策進會科技法律研究所 2021年6月25日 壹、事件摘要 歐盟於2014年通過「歐盟內部市場電子交易之電子身分認證及信賴服務規章」（簡稱eIDAS規章）[1]，並於2016年7月正式生效。eIDAS規章是在歐盟1999年電子簽章指令[2]的基礎上，進一步建構一個更安全、更具信賴、更易於使用電子簽章的法律框架，以促進整個歐盟跨境間的電子交易環境，進而達到歐盟數位單一市場的目標[3]。 eIDAS規章共有六章，其核心包含兩大部分[4]，在第二章中規範了電子識別機制（Electronic Identification），並於第三章中建構一系列電子交易中相關信任服務（Trust Services, TS）的法律架構，包含電子簽章（Electronic signatures）、電子封條（Electronic seals）、電子時戳（Electronic time stamps）、電子註冊傳輸服務（Electronic registered delivery services）、網站認證（Website authentication）。每種信任服務，又可以區分由一般的信任服務提供者（Trust Service Provider, TSP）或由合格信任服務提供者（Qualified Trust Service Provider, QTSP）提供，要成為QTSP必須經各成員國的監督機關授予合格地位後，才能提供該類合格信任服務（Qualified Trust Service, QTS），在eIDAS規章中合格信任服務具有更高的法律效力。譬如，根據eIDAS規章第25條第2項規定，合格電子簽章（qualified electronic signature）與手寫簽章具有同等的法律效力。 歐盟網路安全局（European Union Agency for Cybersecurity, ENISA[5]）於2021年3月發布一份報告，提供合格信任服務者依循標準的建議（Recommendations For QTSPs Based On Standards） [6]，給想要申請成為QTSP的業者參考。 貳、重點說明 承前所述，eIDAS規章的目的是要建構一個促進跨境、跨產業的電子交易的環境，為弭平各會員國對於電子識別服務的落差，報告中指出，必須透過法律框架（Legal framework）、信賴框架（Trust framework）、標準化框架（Standardisation framework）共同達成，以提升歐盟數位單一市場中企業和消費者的信任，並促進信任服務和產品的使用。 （一）法律框架 eIDAS規章中規定了9種QTS的安全要求及其提供者的義務，包括： 1.電子簽章的合格憑證； 2.電子封條的合格憑證； 3.網站認證的合格憑證； 4.合格電子時戳服務； 5.合格電子簽章的合格驗證服務； 6.合格電子封條的合格驗證服務； 7.合格電子簽章的合格維護服務； 8.合格電子封條的合格維護服務； 9.合格電子註冊傳輸服務。 （二）信賴框架 其次，eIDAS規章透過事前（ex ante）和事後（ex post）監督的方式，來確保QTSP及其提供的QTS符合eIDAS規章中的法律要求。欲申請成為QTSP須先經過符合性評估機構（Conformity Assessment Body, CAB）的評估，由其出具評估報告後，再由各成員國的監督機關決定是否授予QTSP資格；取得QTSP資格後會受到不定期稽核，且至少每24 個月須再次自費通過CAB評估審核[7]。 （三）標準化框架 eIDAS規章中對各項TS的安全要求是採取技術中立（technology-neutral）的態度，並未限定要採用何種特定技術。換言之，TSP可以透過不同的技術達到eIDAS規章中要求的必要安全程度。事實上，歐盟希望在eIDAS規章所建構的法律框架和信賴框架中，透過產業自律，慢慢形成相關的標準共識。 歐盟從2009年開始，就由歐洲標準化委員會（European Committee for Standardization, CEN）、歐洲電信標準協會（European Telecommunications Standards Institute, ETSI）等歐盟標準化組織協助擬定和更新電子簽章的相關標準，希望可以建立一個更完整的標準化框架，以解決歐盟跨境使用電子簽章遭遇的問題，至今已經建構出一系列電子簽章和相關信任服務的標準，以滿足國際及eIDAS規章的要求，ETSI/CEN與數位簽章有關的標準包含七個面向。 1.介紹性 此類標準主要是關於各類簽章的共通定義、研究、其他關於整體性架構的介紹。 2.簽章的建立與驗證 此類標準主要是關於簽章建立及驗證的政策與安全要求、所要遵循的規則和程序、格式、保護剖繪（Protection Profiles, PP）[8]。 3.簽章建立和其他相關設備 此類標準主要是與電子簽章產生的設備，以及其他與數位簽章相關服務的設備有關。 4.加密 此類標準主要是與簽章的加密有關，譬如金鑰產生演算法（key generation algorithms）和雜湊函數（hash functions）等。 5.支持數位簽章及相關服務的TSP 此類標準主要是關於核發合格憑證的QTSP、網站認證憑證的TSP、時戳服務的TSP、提供簽章驗證服務的TSP等。 6.信任應用服務提供者 此類標準主要與應用電子簽章提供加值服務的TSP有關，如電子傳輸服務、資料檔案長期保存服務等。 7.信任服務資格提供者 此類標準主要與eIDAS規章中信任名單（trusted lists）相關的程序和格式有關[9]。 其中，在ETSI/CEN關於數位簽章的標準中，主要與QTSP有關的標準如下： 1.電子簽章的合格憑證（eIDAS規章第28條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-2、EN 319 412-5）。 2.電子封條的合格憑證（eIDAS規章第38條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-3、EN 319 412-5）。 3.網站認證的合格憑證（eIDAS規章第45條） ETSI EN 319 411-2（且要符合EN 319 401、EN 319 411-1、EN 319 412-4、EN 319 412-5）。 4.合格電子時戳（eIDAS規章第42條） ETSI EN 319 421（且要符合EN 319 401）、EN 319 422。 5.合格電子簽章的合格驗證服務（eIDAS規章第33條） ETSI TS 119 441（且要符合EN 319 401）、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 6.合格電子封條的合格驗證服務（eIDAS規章第40條） ETSI TS 119 441（且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 7.合格電子簽章的合格維護服務（eIDAS規章第34條） ETSI EN 319 401、TS 119 511、TS 119 512。 8.合格電子封條的合格維護服務（eIDAS規章第40條） ETSI EN 319 401、TS 119 511、TS 119 512。 9.合格電子註冊傳輸服務（eIDAS規章第44條） ETSI EN 319 401、EN 319 521、EN 319 522、EN 319 531、EN 319 532。 參、事件評析 從歐盟ENISA的建議可以瞭解，歐盟希望透過介紹歐盟標準化組織所制定的相關電子簽章標準，來引導資通訊廠商申請成為QTSP，提供歐盟企業和使用者更安全、更值得信賴的電子簽章相關服務，以強化使用者的信心，進而促進整個歐盟電子交易的蓬勃發展。 近年來，我國企業也積極投入數位轉型，在邁向數位化的過程通常需要由外部的資通訊廠商協助。然而，由於企業對於資通訊技術不熟悉，因此在選擇資通訊廠商時，往往不知道如何判斷其專業能力，或許企業可以參考上述的介紹，以該廠商是否符合歐盟相關標準的要求，作為選擇資通訊廠商的參考依據，以確保資通訊廠商的能力具有一定水準，這樣對於企業數位轉型及進軍歐盟市場會相當有助益。 [1]Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Jun. 24, 2021). [2]Directive 1999/93/EC of the European Parliament and of the Council of 13 Dec. 1999 on the a Community Framework for Electronic Signatures, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A31999L0093 (last visited Jun. 24, 2021). [3]參前註1，eIDAS前言(3). [4]中文介紹可參考李姿瑩，〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉，《科技法律透析》，第31卷第11期，25-32頁，（2019年11月）。 [5]「歐盟網路安全局」原名為「歐盟網路及資訊安全局」(European Union Agency for Network and Information Security)，2019年更改為現名，但該局的英文縮寫仍維持舊稱ENISA。The European Union Agency for Cybersecurity - A new chapter for ENISA, ENISA, https://www.enisa.europa.eu/news/enisa-news/the-european-union-agency-for-cybersecurity-a-new-chapter-for-enisa (last visited Jun. 24, 2021). [6]European Union Agency for Cybersecurity [ENISA], Recommendations for Qualified Trust Service Providers based on Standards (2021), https://www.enisa.europa.eu/publications/reccomendations-for-qtsps-based-on-standards (last visited Jun. 24, 2021). [7]參前註1，eIDAS規章第20條。 [8]保護剖繪是指申請者依共同準則規章（common criteria, CC）製作之資通安全產品安全基本需求文件，可提供資通安全產品開發者開發產品之依據。〈常見問題/Q02.何謂保護剖繪?〉，國家通訊傳播委員會，https://ise.ncc.gov.tw/faq（最後瀏覽日：2021/06/24）。 [9]參前註1，eIDAS規章第22條第2項、第4項。