美國證券交易委員會針對上市公司提出網路安全風險管理、治理及網路安全風險事件揭露規則
美國證券交易委員會（United States Securities and Exchange Commission, SEC）於2022年3月9日提出關於上市公司網路安全風險管理、治理及相關事件揭露規則，希望加強上市公司的網路安全風險管理以及網路安全事件之揭露監管，其提案核心內容有二，第一係要求國內上市公司於確定發生重大網路安全事件後四個工作日內，揭露有關資訊，且揭露內容必須包含以下五大項，(1)事件何時發現、目前是否持續中、(2)事件性質與其範圍簡要說明、(3)是否有任何資料被洩漏、竄改或被不當使用、(4)該事件對於公司之營運影響、(5)公司是否已著手進行補救及處理。
該提案的第二個核心內容係定期報告公司的網路安全風險管理及治理資訊，例如公司是否具有網路安全風險評估計畫，其內容為何、公司是否有政策及程序監督第三方服務提供商之網路安全風險、當公司發生網路安全事件時，是否具備應變程序及網路攻擊復原計畫、網路安全相關風險對於營運結果及財務狀況將可能產生何種影響等等。
該提案的公眾諮詢期間為提案發布後60天，鑒於網路安全風險增加，美國證券交易委員會期望藉由此提案，更明確的告知投資者上市公司的網路安全風險管理及治理相關資訊、並且可以即時通知投資者重大網路安全事件，給予上市公司投資者及其他資本市場參與者更周延之保障。
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 美國聯網車監管制度與合規實務說明會
蘇偉綸
副法律研究員 編譯整理
SEC Proposes Cybersecurity Rules for Public Companies, HUNTON ANDREWS KURTH(Mar. 11, 2022), https://www.huntonprivacyblog.com/2022/03/11/sec-proposes-cybersecurity-rules-for-public-companies/#more-21127 (last visited Mar. 14, 2022).
USA: SEC proposes rules on cybersecurity risk management for public companies, OneTrust DataGuidance, https://www.dataguidance.com/news/usa-sec-proposes-rules-cybersecurity-risk-management (last visited Mar. 14, 2022).
SEC Proposes Rules on Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure by Public Companies, U.S. SECURITIES AND EXCHANGE COMMISSION, https://www.sec.gov/news/press-release/2022-39 (last visited Mar. 14, 2022).
美國NPE公司Pendrell Corporation日前宣布從Nokia收購了125項專利。根據Pendrell Corporation之發言可知，前揭125項專利當中，共有81項專利為關鍵專利（essential patent）。主要涉及領域包括運用於智慧型手持裝置、桌上型電腦、MP3播放器等電子設備的多種基礎記憶體技術，其中尚包括以SD卡為主之嵌入式快閃記憶體技術。 市場分析師預估上開技術的全球市場在今年（2013）將有超過120億美元的價值，若僅論及SD卡市場，其價值甚至在2018年將超過210億美元。 依據雙方契約內容可知，為延續Nokia位於芬蘭之研發投入，Pendrell Corporation亦已成立一名為赫爾辛基記憶體技術(Helsinki Memory Technologies，HMT)之子公司。Nokia有權使用HMT未來所收購及所開發之所有專利。又，前揭專利之授權金收入均將運用於進一步之研發活動。 Pendrell Corporation之智財長Joseph Siino則指出，將購自Nokia之125項專利與該公司原有之其他智財組合結合後，除可提供持續性創新之用以外，亦可以公平合理的價格出售給全世界對其感興趣的公司。 赫爾辛基當地律師事務所之合夥律師Jan Lindberg表示大公司將更積極於出售已非其核心資產之專利資產。但應注意對專利之鑑價時有變化。以本件為例，便應考量Nokia之在赫爾辛基交易所之市值僅餘123億美元。
美國OMB發布M-26-04備忘錄，確立聯邦採購之「無偏見原則」與透明度義務美國白宮管理與預算辦公室（Office of Management and Budget，以下簡稱OMB）在2025年12月11日發布M-26-04備忘錄（以下簡稱本指引），目標是落實第14319號行政命令「防止聯邦政府中的覺醒AI」（Preventing Woke AI in the Federal Government）。本指引闡述「追求真相」（Truth-seeking）、「意識型態中立」（Ideological Neutrality）兩大「無偏見AI原則」（Unbiased AI Principles），並強制要求聯邦機構在採購大型語言模型（LLM）時，必須將此二原則納入合約條款。 為確保符合規定，本指引要求聯邦機構在進行採購時，應避免強制供應商揭露過於敏感的技術資料（如模型權重），而是採取以下兩層級的資訊揭露架構： 1. 基本透明度要求（Minimum Threshold for LLM Transparency） 各機構於招標階段，應要求供應商提供以下資訊： (1) 可接受的使用政策：界定產品適當與不適當用途的文件。 (2) 模型、系統和/或資料的摘要卡（Model, System, and/or Data Cards）：包含訓練摘要、風險緩解措施及基準測試評分。 (3) 終端用戶資源與意見回饋機制：包含用戶教程及針對違反無偏見原則產出的回報管道。 2. 強化透明度門檻（Threshold for Enhanced LLM Transparency） 若機構擬將模型整合至其他軟體或服務中，則需獲取更深入的開發與運作資訊，例如： 1. 預訓練和後訓練（Pre-Training and Post-Training）：如影響產出事實性（factuality）的活動、系統提示詞（System Prompts）、以及內容審查過濾器的具體運作。 2. 模型評估：針對政治議題的偏見測試結果與方法論。 3. 模型中嵌入的企業控制（Enterprise-Level Controls）: 如可客製化的系統指令或來源引用功能。 4. 第三方對模型的修改：非原廠開發者所施加的額外控制層。 本指引對聯邦行政機構具有行政拘束力。機構必須於2026年3月11日前更新採購政策，並將上述要求納入新舊合約中。值得注意的是，本指引引入了「實質性要求」（Materiality Requirement），即若供應商拒絕針對違反無偏見原則的產出採取糾正措施，將構成合約違約之重要事由，機構得據此終止合約。 觀察美國OMB此次發布的內容，係透過將「意識形態中立」轉化為具體的採購合規要件，OMB利用聯邦政府龐大的購買力，在採購合約中確立供應商的「透明度義務」，OMB指引不僅建立了明確的法遵標竿，更可能發揮示範效應，將政府端的無偏見規範逐步推廣至私營部門，轉化為產業的最佳實踐標準。
德國聯邦政府提出《資訊科技安全法2.0》草案德國聯邦政府（Bundesregierung）於2020年12月16日通過「提升資訊科技系統安全性的第二版法律（Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme）」草案，又稱「資訊科技安全法2.0（IT-Sicherheitsgesetz 2.0）」，該草案概述如下： (1)加強德國聯邦資訊安全局（Bundesamt für Sicherheit in der Informationstechnik, BSI）權限： BSI可對聯邦行政事務行使控制與審查權、檢測資訊系統和公共電信網路相連的安全弱點、發展分析惡意軟體和攻擊的系統與程序，並擴張其對聯邦通訊技術紀錄資料的儲存期間至12個月。 (2)加強消費者保護： 導入IT安全標籤（IT-Sicherheitskennzeichen），製造商應於該標籤中置入產品安全性聲明與由BSI提供之IT安全性資訊；此外BSI有權要求電信服務業者和產品製造商提供其儲存資料與相關必要資訊。 (3)加強企業作為義務： 關鍵基礎設施提供者有報告及使用攻擊檢測系統檢測安全威脅的義務，該報告義務在草案中將擴張適用於具特定公共利益之公司，如與國防和保密資訊IT產業相關、具經濟上重要性的公司，以及受重大事故條例（Störfallverordnung, StöV）所規範者。 (4)加強國家保護功能： 國家應建立認證機制，並課予關鍵基礎設施的供應者通過該認證的義務，即供應者需確保其設施內的零件不具不適當的技術特性，尤其可能被間諜活動或恐怖主義用以破壞關鍵基礎設施的安全與功能之重要零件。 該草案目前於德國聯邦議院（Deutscher Bundestag）進行審查。
美國商務部取消對來自敏感國家之外國科學家使用部分研究設備之限制911 恐怖攻擊以來，美國持續加強國土安全保護，而為保障國家安全及科技競爭力，美國商務部（ US Department of Commerce ）原本打算制定安全管制規定， 對來自敏感國家之外國科學家， 限制其 使用部分的實驗研究設備。所謂敏感國家（ countries of concern ），包括巴基斯坦、印度、俄羅斯及中國，來自於這些國家的科學研究人員若要在美國境內的從事特定實驗研究，因而需要使用特定設施設備者（主要是可用於軍事用途者），不論研究設施設備是屬於聯邦或民間所有，在開始操作、進行安裝、維護與修繕等之前，必須先向美國政府提出申請始可近用。 現行美國有關技術管制規定主要係針對敏感科技的出口，商務部自 2004 年起，即打算推動修正此等規定，進一步將部分可用於軍事用途之研究設施設備予以立法管制，從美國政府所公布的管制清單來看，其涵蓋範圍甚廣，從化學、雷射到細菌培養等各領域之研究設施設備，均涵蓋在內，故商務部此項修法計畫一經公開，立即震撼外界，除學術界及產業界強烈外抨擊，就連聯邦實驗室也大表反對。反對意見多認為，預計的修正規定將會破壞大學校園中之開放精神，影響科學自由的研究環境；而研究設施設備近用之事前許可制，亦將造成學界與業界的負擔；甚至可能阻礙未來大學或業界延攬外國科技人才參與研究計畫之進行，長期而言，實將會戕害美國的國際競爭力。 面對各界反對聲浪，為避免降低研究型企業之生產力，美國商務部在今年 5 月底宣布取消原來的立法管制計畫，不過，商務部將會召集產學研各界專家，組成一個十二人的委員會，持續就實驗室安全管制的問題交換意見，期能獲致更有效之解決之道。