歐洲網路暨資訊安全局發布「重要資訊基礎設施下智慧聯網之安全基準建議」
歐洲網路暨資訊安全局(European Union Agency for Network and Information Security, ENISA)於2017年11月20號發布了「重要資訊基礎設施下智慧聯網之安全基準建議」。該建議之主要目的乃為歐洲奠定物聯網安全基礎，並作為後續發展相關方案與措施之基準點。
由於廣泛應用於各個領域，智慧聯網設備所可能造成之威脅非常的廣泛且複雜。因此，了解該採取與落實何種措施以防範IOT系統所面臨之網路風險非常重要。ENISA運用其於各領域之研究成果，以橫向之方式確立不同垂直智慧聯網運用領域之特點與共通背景，並提出以下可以廣泛運用之智慧聯網安全措施與實作:
(一) 資訊系統安全治理與風險管理
包含了與資訊系統風險分析、相關政策、認證、指標與稽核以及人力資源相關之安全措施。
(二) 生態系管理
包含生態系繪製以及各生態系的關聯。
(三) IT安全建築
包含系統配置、資產管理、系統隔離、流量過濾與密碼學等資安措施。
(四) IT安全管理
帳戶管理與資訊系統管理之相關安全措施。
(五) 身分與存取管理
有關身分確認、授權以及存取權限之安全措施。
(六) IT安全維護
有關IT安全維護程序以及遠端存取之安全措施。
(七) 偵測
包含探測、紀錄日誌以及其間之關聯與分析之安全措施。
(八) 電腦安全事件管理
資訊系統安全事件分析與回應、報告之資安措施。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
余和謙
法律研究員 編譯整理
歐盟「藥品法規包裹法案」（Pharma Package）重點說明與簡析 資訊工業策進會科技法律研究所 2025年09月10日 歐盟理事會（the Council of the European Union）於2025年6月4日就歐盟「藥品法規包裹法案」（Pharma Package）取得一致立場，且正與歐洲議會及歐盟執委會展開三方協商（trilogue），以共同研議最終立法版本[1]。法案預計於2026年初進行表決，若順利通過且加上過渡期，最快將於2028年正式施行，並可能重塑歐盟藥品市場之上市與投資規劃。 壹、背景摘要 有鑑於歐盟現行的藥品法規制度，自2004年修正後施行至今已逾20年，難以充分回應公共衛生需求、藥品可及性落差以及國際市場競爭等多重挑戰。因此，歐盟執委會（European Commission, EC）於2023年4月公布「藥品法規包裹法案」，旨在強化藥品供應鏈穩定性、提升藥品創新與競爭力，以建立更公平、具韌性與永續性的歐洲醫藥市場[2]。而2024年4月歐洲議會（European Parliament）[3]、2025年6月歐盟理事會亦分別提出不同版本，以促進歐洲整合為單一藥品市場。 本次改革對生技製藥產業影響深遠，為協助我國製藥產業在進入歐洲市場前先行掌握相關動向，以下將進行重點說明與分析。 貳、立法重點與比較 一、藥品監管保護期間之修正 在本次藥品法規包裹法案中，有關藥品監管保護期間之修正，為歐盟執委會、歐洲議會與歐盟理事會分歧最大，也是外界高度關注之核心重點。首先，現行歐盟新藥保護是由8年資料專屬保護期（Regulatory Data Protection, RDP）[4]與2年市場獨占期（Market Exclusivity, ME）所構成[5]，若於資料專屬保護期間內取得新適應症可再延長1年市場獨占期，亦即保護期共為10~11年。 歐盟執委會則提議將資料專屬保護期縮短至6年，並搭配延長誘因機制，最多可再延長3年，條件包含： 1.滿足現有醫療需求可延長0.5年。 2.藥品在所有歐盟成員國上市可延長2年。 3.進行比較性臨床試驗可延長0.5年。 此外，不同於現行制度將新適應症延長1年納入市場獨占期，歐盟執委會則提議將此移至資料專屬保護期，因此合併原有2年市場獨占期後，保護期共為8~12年。 反之，歐洲議會則擬將資料專屬保護期調整為7.5年，並同樣設有延長誘因機制，但總延長上限至多1年，條件包含： 1.滿足現有醫療需求可延長1年。 2.進行比較性臨床試驗可延長0.5年。 3.在歐盟境內透過公私協力進行研發可延長0.5年。 若公司另取得比現有療法更有顯著臨床優勢之新適應症，則原有2年市場獨占期可再延長1年，合併計算後保護期共為9.5~11.5年。 而歐盟理事會則不同於歐盟執委會、歐洲議會，選擇將資料專屬保護期維持現行8年，但無法再延長。然而，市場獨占期則提議縮減為1年，但若符合特定條件則可再延長至2年，合併計算後保護期共為9~10年。條件包括： 1.滿足現有醫療需求。 2.產品含有新活性物質，並同時符合以下3項要件： (1)上市許可申請具關聯性且有證據基礎的比較性臨床試驗結果作為支持。 (2)在一個以上的歐盟成員國內進行臨床試驗。 (3)申請人須證明已優先於歐盟申請上市許可，或於首次向歐盟以外地區提出申請後90日內完成歐盟上市申請。 圖一、歐盟藥品法規包裹法案提議版本比較 資料來源：本研究整理 二、針對抗菌藥物引入創新研發機制 抗菌藥物抗藥性（Antimicrobial resistance, AMR）為近年全球公共衛生重要議題，並為世界衛生組織（World Health Organization, WHO）所列全球十大健康威脅之一[6]。因此，除嚴格限制抗菌藥物濫用外，為有效促進新型抗菌藥物之研發，本次藥品法規包裹法案中亦引入「可轉讓資料專屬保護權憑證」（Transferable Exclusivity Voucher, TEV）作為獎勵措施。 使用此憑證可賦予持有人額外1年資料專屬保護期，且除可用於抗菌藥品外，亦可適用於公司內其他更具商業價值藥品，或將此憑證轉賣給其他藥廠，為藥廠提供額外收入，但每張憑證僅能轉讓一次。 考量到憑證可能被用於商業利益龐大之藥品，藉此延緩學名藥與生物相似藥進入市場，並影響病患取得藥物之可及性，歐盟執委會於提議時亦強調此制度預計僅實施15年，或至多核發10張憑證後即停止適用[7]。此外，在歐盟執委會所提議之版本中，對於憑證使用亦設有限制，包含必須於憑證核發後5年內使用，且僅限用於尚在資料專屬保護期前4年之藥品，以確保市場可預測性。 歐洲議會與歐盟理事會雖然大致表態支持，但對憑證效力採取不同立場。歐洲議會態度較為保留，其提議使用憑證所額外延長之資料專屬保護期應依據抗菌藥品優先等級區分為6個月、9個月或12個月，且同樣受有總延長至多1年之限制。換言之，在歐洲議會提議版本下，無論延長事由為何，資料專屬保護期至多僅能延長至8.5年。 相對而言，歐盟理事會並未採納歐洲議會之提議，而是維持歐盟執委會提出增加1年資料專屬保護期之優惠設計。然而，為避免過度限制市場競爭，歐盟理事會亦新增規定，若憑證用於非抗菌藥品，則僅能在該藥品資料專屬保護期的第5年使用，且須證明過去4年內該藥品任一年銷售額均未超過4.9億歐元。 參、總結 「藥品法規包裹法案」反映出歐盟執委會、歐洲議會與歐盟理事會對新藥保護政策之差異，雖然三者皆試圖在鼓勵創新研發與提升藥品可近性之間取得平衡，但在藥品監管保護期間具體設計上仍有差異。歐盟執委會雖提議縮減資料專屬保護期，但也透過延長制度維持研發誘因。而歐洲議會則提議更高的初始保護門檻，但限制總延長期，且更著重在鼓勵研發活動而非市場擴張。至於歐盟理事會則維持現行保護年限，以持續激勵研發投入，但也透過縮短市場獨占期，加速學名藥與生物相似藥上市，以降低藥品價格並滿足醫療需求。 至於「可轉讓資料專屬保護權憑證」制度固然能為抗菌藥物提供研發誘因，但也伴隨著一定的潛在風險與利益分配爭議，如何確保該制度所帶來之公共利益超過公共衛生成本與風險，仍取決於未來最終立法版本應該如何調整與落實。對於我國製藥產業而言，此次改革有可能加速學名藥與生物相似藥進入歐洲市場，亦可能因延長誘因制度而遲延競爭時機，故仍應持續密切關注並審慎調整研發與市場策略。 [1]EUROPEAN COUNCIL, ‘Pharma package’: Council agrees its position on new rules for a fairer and more competitive EU pharmaceutical sector (2025), https://www.consilium.europa.eu/en/press/press-releases/2025/06/04/pharma-package-council-agrees-its-position-on-new-rules-for-a-fairer-and-more-competitive-eu-pharmaceutical-sector/#:~:text=The%20Council's%20position&text=obligation%20to%20supply%3A%20a%20new,patients%20in%20the%20member%20state (last visited Aug. 28, 2025). [2]EUROPEAN COMMISSION [EC], Reform of the EU pharmaceutical legislation (2023), https://health.ec.europa.eu/medicinal-products/legal-framework-governing-medicinal-products-human-use-eu/reform-eu-pharmaceutical-legislation_en (last visited Aug. 28, 2025). [3]EUROPEAN PARLIAMENT, Parliament adopts its position on EU pharmaceutical reform (2024), https://www.europarl.europa.eu/news/en/press-room/20240408IPR20308/parliament-adopts-its-position-on-eu-pharmaceutical-reform (last visited Aug. 28, 2025). [4]「資料專屬保護期」是指專利藥提出新藥上市申請時，所檢附證明藥品安全性與療效之相關申請數據資料，其他藥廠非經原廠同意，於法定保護期間內不得引用，為行政機關針對原廠新藥上市申請資料給予之保護權益。詳請參考：台灣光鹽生物學苑，〈【醫藥小專欄】什麼是資料專屬權（data exclusivity）〉，台灣光鹽生物學苑，https://www.biotech-edu.com/%E3%80%90%E9%86%AB%E8%97%A5%E5%B0%8F%E5%B0%88%E6%AC%84%E3%80%91%E4%BB%80%E9%BA%BC%E6%98%AF%E8%B3%87%EF%A6%BE%E5%B0%88%E5%B1%AC%E6%AC%8A-data-exclusivity/ （最後瀏覽日：2025/08/28）。 [5]「市場獨占期」則是指在一定期間內，即使學名藥或生物相似藥已可向主管機關提出上市許可之申請並獲得核准，但仍不得實質上市銷售，須直到市場獨占期屆滿為止。市場獨占期與資料專屬保護期之比較，詳請參考：Specialist Pharmacy Service, Understanding data exclusivity and market protection (2025), https://www.sps.nhs.uk/articles/understanding-data-exclusivity-and-market-protection/ (last visited Aug. 28, 2025). [6]〈世界抗生素週〉，衛生福利部疾病管制署，https://www.cdc.gov.tw/En/Category/MPage/t2VWXn93ooNVJPuQRF7jzg （最後瀏覽日：2025/08/28） [7]CROWELL & MORING LLP, The New EU “Pharma Package”: The transferable exclusivity voucher—A comparison of Commission/Parliament/Council positions(2025),https://www.crowell.com/en/insights/client-alerts/the-new-eu-pharma-package-the-transferable-exclusivity-vouchera-comparison-of-commissionparliamentcouncil-positions (last visited Aug. 28, 2025).
英國上訴法院認為，法院可強制網路服務業者封鎖侵害商標權的網站日前，英國英格蘭與威爾斯上訴法院在沒有判決先例或法律明文下，於2016年07月06日作出法院得對網路服務業者發出封鎖商標侵權網站強制令的判決，該判決維持本案高等法院的見解。 在卡蒂亞國際集團與英國天空廣播集團與開放權利團體案中，法院要求前開網路服務提供業者，對特定就侵害商標權人商品進行廣告與販售的網站進行封鎖。 本案高等法院認為，對於1988年著作權、設計和專利法第97A條而言，儘管缺乏實體法依據，但藉由本條解釋而探求網路服務業者對於商標權人的網路侵權保護是必要的。 本案業者上訴指出，如法院依據第97A條發佈封鎖網站的強制令，必須先確定：網路服務業者是服務提供者、目標網站的用戶或是業者侵犯著作權、目標網站的用戶或是業者利用網路服務業者提供的服務侵犯著作權以及網路服務業者明知。然而，業者指出，他們是完全出於善意、中立且未違法令，法院不能在缺乏判決先例與證據的情況下，逕自做出封鎖網站的決定，但上訴法院認為比較利益衡量後，強制網路服務業者封鎖特定侵權網站是合理適當的。 先不論強制封鎖網站的命令是否侵害言論自由，甚至有連合法內容也一併封鎖的風險。若該見解成為判決標準，預料將加重英國網路服務業者監管責任與營運成本，相關影響已在智財相關社群中被熱烈討論。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
美國欲修改HIPAA規則以促進「整合醫療照護」，並發表公眾意見徵詢書美國《健康保險可攜性及責任法》（HIPAA）係「保護個人電子醫療資訊隱私」的法規。其「受規範對象」（Covered Entity）為：使用電子方式傳送任何醫療資訊的醫療計畫、健康資訊處理機構（Health Care Clearinghouses）或醫療照護提供者。2018年12月14日，美國衛生及公共服務部（下稱：官方）發表〈公眾意見徵詢書：修改HIPAA規則以促進整合醫療照護〉（Request for Information on Modifying HIPAA Rules to Improve Coordinated Care），擬修正方向如下： （一）促進醫療行為、整合醫療照護、專案管理的資料分享 HIPAA原先僅允許受規範機關在醫療行為、支付、營運中揭露受保護健康資訊（PHI）。然而，這並不包含醫療照護或專案管理。官方傾向修法讓醫療照護或專案管理成為允許揭露PHI的情形。同時，也希望修法讓PHI的取得更具時效性，以利於病歷在受規範對象間的流通。 （二）推動親友參與解決當事人鴉片類藥物成癮和精神疾病問題 HIPAA允許受規範對象在特定條件下，向照護者（Caregiver）揭露PHI，包含緊急狀況，也包含嚴重的精神疾病。然而，許多受規範對象因為擔心違反HIPAA，而不願通知當事人的親友。這種狀況相當不利於整合醫療照護和專案管理的發展。目前官方尚未研擬出具體改善方法，希望外界可以提出方案。 （三）會計資料的揭露以存取報告代替 在當事人申請下，受規範對象或其商業夥伴應提供近六年內與PHI相關的會計資料。然而，許多受規範對象的系統無法分離出應提供給當事人的部分，只好提供整份會計資料，因而造成龐大負擔。官方擬修法，只提供當事人「存取報告」（Access Report），該報告會載明誰曾經存取電子紀錄。 （四）隱私權行為通知（Notice of Privacy Practices） 受規範對象在許多狀況下，需取得當事人隱私權行為通知的書面同意書，這次的修法希望可以減少書面同意，以利於受規範對象發展整合醫療照護。
知名歌手Bruce Springsteen拒絕與美國作曲家、作詞家、出版商協會共同要求康諾利酒吧和餐館支付著作權授權費用美國作曲家、作詞家、出版商協會American Society of Composers, Authors and Publishers (以下簡稱協會)與知名搖滾歌手Bruce Springsteen(以下簡稱Springsteen)，和流行歌曲作者Clinton Ballard, Jr.對於紐約州的康諾利酒吧和餐館提出訴訟，原因在於酒吧和餐館沒有支付授權年費就允許樂團演奏Springsteen的歌曲。 當協會的代表發表此一聲明時，Springsteen實際上並不知道此一訴訟。Springsteen的代表指出：Springsteen事先並未被詢問是否要作為此案的原告，該協會是自作主張的將Springsteen列為此案的原告，而且即便協會事先詢問，Springsteen也不會同意作為此案的原告，也就是說不會提起此訴訟。 紐約每日新聞指出，因為協會並未獲得Springsteen的同意，Springsteen的名字應該會被移除。 協會資深副總裁Vincent Candilora(以下簡稱Candilora)表示，康諾利酒吧與餐館目前尚未發表任何聲明，而康諾利酒吧與餐館允許樂團於去年夏天演奏Springsteen的歌，但卻沒有支付授權年費給協會的行為可能會面臨三萬美元的罰金。 Candilora同時表示，為什麼這些有支付授權金的酒吧或餐館在有同樣法律約束的地區，要處於一個不利的競爭條件。提出此訴訟是給予有付授權費用的紐約酒吧一個公平的環境。