美國證券交易委員會針對上市公司提出網路安全風險管理、治理及網路安全風險事件揭露規則
美國證券交易委員會（United States Securities and Exchange Commission, SEC）於2022年3月9日提出關於上市公司網路安全風險管理、治理及相關事件揭露規則，希望加強上市公司的網路安全風險管理以及網路安全事件之揭露監管，其提案核心內容有二，第一係要求國內上市公司於確定發生重大網路安全事件後四個工作日內，揭露有關資訊，且揭露內容必須包含以下五大項，(1)事件何時發現、目前是否持續中、(2)事件性質與其範圍簡要說明、(3)是否有任何資料被洩漏、竄改或被不當使用、(4)該事件對於公司之營運影響、(5)公司是否已著手進行補救及處理。
該提案的第二個核心內容係定期報告公司的網路安全風險管理及治理資訊，例如公司是否具有網路安全風險評估計畫，其內容為何、公司是否有政策及程序監督第三方服務提供商之網路安全風險、當公司發生網路安全事件時，是否具備應變程序及網路攻擊復原計畫、網路安全相關風險對於營運結果及財務狀況將可能產生何種影響等等。
該提案的公眾諮詢期間為提案發布後60天，鑒於網路安全風險增加，美國證券交易委員會期望藉由此提案，更明確的告知投資者上市公司的網路安全風險管理及治理相關資訊、並且可以即時通知投資者重大網路安全事件，給予上市公司投資者及其他資本市場參與者更周延之保障。
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
蘇偉綸
副法律研究員 編譯整理
SEC Proposes Cybersecurity Rules for Public Companies, HUNTON ANDREWS KURTH(Mar. 11, 2022), https://www.huntonprivacyblog.com/2022/03/11/sec-proposes-cybersecurity-rules-for-public-companies/#more-21127 (last visited Mar. 14, 2022).
USA: SEC proposes rules on cybersecurity risk management for public companies, OneTrust DataGuidance, https://www.dataguidance.com/news/usa-sec-proposes-rules-cybersecurity-risk-management (last visited Mar. 14, 2022).
SEC Proposes Rules on Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure by Public Companies, U.S. SECURITIES AND EXCHANGE COMMISSION, https://www.sec.gov/news/press-release/2022-39 (last visited Mar. 14, 2022).
中國大陸商務部擬整併外資三法重新建構外資企業管理規範 資策會科技法律研究所 法律研究員 丘瀚文 104年12月 壹、前言 中國大陸自1979年開始為引進並規範外國投資，陸續頒布《中外合資經營企業法》、《中外合作經營企業法》《外資企業法》(下稱外資三法)，雖外資三法奠定了中國大陸開放外資的基礎，惟頒布日期年代久遠，最近一次的修訂是在2000年和2001年，已難以跟上世界潮流。包括外資三法之逐案審批制以及對外國投資者企業組織型態之規定等，皆不利於外資進入中國大陸。因此中國大陸在第十八屆三中全會提出「構建開放型經濟新體制」、「統一內外資法律法規」與「改革涉外投資審批體制」等方針。 有鑑於此，中國大陸商務部隨後於2015年1月提出《外國投資法》草案，並廣徵外界意見。依據商務部草案徵求意見稿說明，《外國投資法》立法目的有三；一為外資三法確立的逐案審批制管理模式已不能適應構建開放型經濟新體制的需要，應建立新管理模式。二為外資三法中關於企業組織形式、經營活動等規定和《公司法》等相關法律重複且適用衝突；三是外資併購、國家安全審查等重要制度需要納入外國投資的基礎性法律建構。草案內容對我方業者影響甚钜，本文將說明《外國投資法》草案重點，供各界瞭解並預為因應[1]。 貳、《外國投資法》草案主要內容 一、外資投資項目：負面表單模式 現行外資三法對於外商投資項目規範方式係採逐案審批制，舉凡一切外國投資事項，例如合資企業與合作企業之契約、章程內容與修正等，皆須經由各主管機關審批方得執行。而由於各地政府於審批時所使用標準不同，容易造成外資審批程序不透明、審查時間長短不同等困擾。國務院為解決此一問題，於2015年頒布〈國務院辦公廳關於印發自由貿易試驗區外商投資准入特別管理措施的通知〉，針對自由貿易試驗區之外商投資案件改採負面表列方式管理，非負面表列之行業均按照內外資一致原則實施管理。 商務部於2015年1月所提出之《外國投資法》草案中，亦承繼此宗旨採取相同管理方式。依《外國投資法》草案第25條與26條之規定，中國大陸官方應設置「禁止實施目錄」與「限制實施目錄」，其中禁止實施目錄指外國投資者不得投資之項目，限制實施目錄則係指外國投資者經須由主管部門許可方得投資之項目，主管部門並得限制如持股比例、投資區域等條件。簡言之，於《外國投資法》草案中，取消了審批制度，除了「禁止實施目錄」與「限制實施目錄」所負面表列之項目外，原則上外資毋庸經主管機關許可即可投資。 二、外商投資組織變更 關於中國大陸外商投資組織，由於外資三法以及各種實施細則對外資企業設有特殊組織機構規範，造成《公司法》頒佈後同時有兩種外資投資組織體系併存，在法制運作實務上迭生困擾。例如關於董事會之職權，依《中外合資經營企業法》董事會為合營企業最高權利機關[2]，且合營企業性質為有限責任公司[3]；惟依《公司法》規範體系觀之，有限責任公司最高權利機關卻為股東會，兩者規範顯有衝突。 本次草案中雖廢除了外資三法適用，惟並未對外資企業形式做出具體規範，僅提及應按《公司法》、《合夥企業法》、《個人獨資企業法》等法律法規變更企業組織形式和組織機構，因此現有外商投資企業若組織形式與《公司法》、《合夥企業法》、《個人獨資企業法》法律規定不一致，則須依該等規範進行調整。 三、外國投資安全審查 為避免外國投資者進入，影響國家安全或造成中國大陸產業打壓可危，國務院已於2011年2月發佈了〈國務院辦公廳關於建立外國投資者並購境內企業安全審查制度的通知〉，並建立了一套國家安全審查體系。而為了鞏固國家經濟體質，本次草案中仍承繼原有的國家安全審查體系，內容包含國外投資者在投資特定項目時，應經由國家審查通過後方得進行，包含外國投資者應透露投資金額、出資比例、經營計畫並與主管機關進行預約商談等程序。而所謂影響國家安全或造成中國大陸產業打壓，則需考量外國投資者投資對國家關鍵研發能力、技術領先地位、國家經濟運行影響等要件。審查結果則分為三類：1.外國投資無危害國家安全疑慮者可通過審查；2.外國投資可能危害國家安全但可藉由限制性條件消除者，可附條件通過審查；3.外國投資危害國家安全重大者不予通過。 四、外國投資企業事前報告與事後監督制度 為顧及國內產業推動，本次草案中並新增訊息報告制度，要求外國投資者在投資實施前或投資實施日起30日內，須向主管機關提交訊息報告，報告內容包含外國投資金額、領域、方式、出資比例等；且外國投資者亦須於每年4月30日前，提交上一年度資訊報告予主管機關。主管機關則具有監督管理之責，應檢察企業「是否投資禁止實施目錄」、「是否履行訊息報告義務」、「是否違反主管機關設立投資限制目錄許可要件」。若審查結果發現確實違反規定，該外資將面臨罰款、沒收非法投資所得並吊銷許可等行政罰，違反訊息報告義務情節重大者，尚可處以最高1年以下之有期徒刑或拘役。 五、判別外資標準：實質控制 本次《外國投資法》草案第15條，重新定義對所謂「外國投資」進行定義，其中最重要是明文限制過去遊走於法律灰色地帶的「協定控管」(Variable Interest Entity)。 由於中國大陸對於外資投資領域的限制相當嚴格，尤其是電信業、金融業、媒體業、出版業等，因此實務上外資則常透過「協定控管」之方式規避官方禁止投資項目[4]。所謂「協定控管」係指外國公司為規避投資項目限制，不以直接購買股份的方式投資，而透過合約方式列協議達到實質上控制境內公司，如此外觀上非屬外國投資企業，即可規避外資三法所設立之外商投資項目限制。 商務部發現外國投資企業可能利用「協定控管」規避負面表單所表列項目，故於本次草案中明文規定外國投資者定義包含受外資「實質控制」的境內公司，而將「協定控管」的投資納入外國投資定義中[5]。值得一提的是，外國投資者如受中國大陸投資者控制，其在境內之投資可視為中國大陸投資者投資，不適用《外國投資法》。簡言之，《外國投資法》建立雙向判定的實質控制標準，判別方式則視「外國投資者是否實質控制企業」以辨別外國投資者與中國大陸投資者。 參、結論 大陸近來對於外資整體管理方向皆為改革開放路線與降低投資標準，本次由商務部所提出之《外國投資法》草案，亦承繼此改革開放精神，進一步擴張了外資投資項目，並加入了事前報告與事後監督制度，一方面放寬外資進入的門檻，同時加強外資進入後的監督。此一作法對於我方業者造成之影響整理如下： 一、契約、章程內容更加靈活 依現行投資三法規定，合資企業與合作企業之契約、章程內容與修正均需得主管機關同意。而《外國投資法》草案中，關於投資契約、章程規定並非審查之重點，縱使投資契約變更亦無須主管機關再次審查，此點變更可使我方業者投資時，契約與章程內容設立、變更皆能更因應情勢而有變化，為雙方交易帶來更大的利益。 二、台商組織變更 本次草案將外資三法之企業組織體系廢除，我方業者商業組織結構應隨之變更。又考量到此一變更將提升外國企業管理成本，商務部亦於草案中規定三年之緩衝期間，亦即應於草案生效後三年內變更完成之。惟企業若經營期限在該法生效後三年內屆滿且擬延長經營期限的，應在企業既有經營期限內進行變更[6]。若相關企業未在規定期限內完成該等變更，根據《外國投資法》草案第151條之規定，主管部門可吊銷許可證件或營業執照，並依法追究刑事責任。 三、投資項目增多 草案將投資項目審閱更改為負面表單方式，即除特定項目外，其他項目均予以開放，並將外國投資項目未在禁止實施目錄與限制實施目錄者，放寬至等同國民待遇，即毋須主管機關核可即可依法辦理工商登記，與舊制之逐案審查制不同。 依草案23條規定禁止實施目錄與限制實施目錄均由相關部門提出，並交由國務院審議後公佈[7]。商務部亦於2015年3月公佈「外商投資產業指導目錄」，關於數位內容產業部份，新版內容將「網路出版服務」列入禁止外商投資產業目錄，惟草案所稱之禁止實施目錄是否會等同於外商投資產業指導目錄，仍需追蹤後續發展。整體而言本次管制鬆綁對於外商投資發展具正面意義，業者可預先構思法案施行後，進入未列入負面表單項目之市場時點與相關策略作法；惟草案同時放寬了外資入門門檻與提升主管機關監督義務之規定，是否會影響我方業者於大陸市場之競爭力，則仍有待持續觀察。 [1] 本文下稱法條、機構，均指中國大陸，合先敘明。 [2] 中外合資經營企業法第6條「 合營企業設董事會，其人數組成由合營各方協商，在合同、章程中確定，並由合營各方委派和撤換。董事長和副董事長由合營各方協商確定或由董事會選舉產生。中外合營者的一方擔任董事長的，由他方擔任副董事長。董事會根據平等互利的原則，決定合營企業的重大問題。」 [3] 中外合資經營企業法第4條「合營企業的形式為有限責任公司。在合營企業的註冊資本中，外國合營者的投資比例一般不低於百分之二十五。合營各方按註冊資本比例分享利潤和分擔風險及虧損。合營者的註冊資本如果轉讓必須經合營各方同意。」 [4] 李貴敏，〈貴在立法：大陸投資法變革，台商應及早因應〉，卡優新聞網，2015/07/28，http://www.cardu.com.tw/news/detail.php?nt_pk=22&ns_pk=26931(最後瀏覽日期：2015/10/22) [5] 外國投資法第11條2項「受前款(外國投資者)規定的主體控制的境內企業，視同外國投資者。」與《外國投資法》草案第15條2項「境外交易導致境內企業的實際控制權向外國投資者轉移的，視同外國投資者在中國境內投資。」 [6] 《外國投資法》草案第157條規定：「本法生效前依法存續的外國投資企業，在本法生效後三年內應按照《公司法》、《合夥企業法》、《個人獨資企業法》等法律法規變更企業組織形式和組織機構，但企業既有經營期限在本法生效後三年內屆滿且擬延長經營期限的，應在企業既有經營期限內進行變更。」 [7] 《外國投資法》草案第23條「特別管理措施目錄由國務院統一制定並發佈。國務院外國投資主管部門會同有關部門，根據國家締結的多雙邊、區域投資條約、公約、協定和有關外國投資的法律、行政法規、國務院決定，提出制定或調整特別管理措施目錄的建議，提交國務院審議。」
歐盟推出《網路韌性法案》補充歐盟網路安全框架歐盟為提升網路數位化產品之安全性，解決現有網路安全監管框架差距，歐盟執委會於2022年9月提出《網路韌性法案》（EU Cyber Resilience Act）草案，對網路供應鏈提供強制性網路安全標準，並課予數位化產品製造商在網絡安全方面之義務。該法案亦提出以下四個具體目標： 1.確保製造商對於提升產品之網路安全涵蓋整個生產週期； 2.為歐盟網路安全之合法性創建單一且明確之監管架構； 3.提高網路安全實踐之透明度，以及製造商與其產品之屬性； 4.為消費者和企業提供隨時可用之安全產品。 《網路韌性法案》要求製造商設計、開發和生產各種硬體、有形及軟體、無形之數位化產品時，須滿足法規要求之網路安全標準，始得於市場上銷售，並應提供清晰易懂之使用說明予消費者，使其充分知悉網路安全相關資訊，且至少應於五年內提供安全維護與軟體更新。 《網路韌性法案》將所涵蓋之數位化產品分為三種類別（產品示例可參考法案附件三）：I類別、II類別，以及預設類別。I類別產品之網路安全風險級別低於II類別產品、高於預設類別，須遵守法規要求之安全標準或經由第三方評估；II類別為與網路安全漏洞具密切關連之高風險產品，須完成第三方合格評估始符合網路安全標準；預設類別則為無嚴重網路安全漏洞之產品，公司得透過自我評估進行之。法案另豁免已受其他法律明文規範之數位化產品，惟並未豁免歐洲數位身份錢包、電子健康記錄系統或具有高風險人工智慧系統產品。 若製造商未能遵守《網路韌性法案》之基本要求和義務，將面臨高達1500萬歐元或前一年度全球總營業額2.5%之行政罰鍰。各歐盟成員國亦得自行制定有效且合於比例之處罰規則。
美國商務部取消對來自敏感國家之外國科學家使用部分研究設備之限制911 恐怖攻擊以來，美國持續加強國土安全保護，而為保障國家安全及科技競爭力，美國商務部（ US Department of Commerce ）原本打算制定安全管制規定， 對來自敏感國家之外國科學家， 限制其 使用部分的實驗研究設備。所謂敏感國家（ countries of concern ），包括巴基斯坦、印度、俄羅斯及中國，來自於這些國家的科學研究人員若要在美國境內的從事特定實驗研究，因而需要使用特定設施設備者（主要是可用於軍事用途者），不論研究設施設備是屬於聯邦或民間所有，在開始操作、進行安裝、維護與修繕等之前，必須先向美國政府提出申請始可近用。 現行美國有關技術管制規定主要係針對敏感科技的出口，商務部自 2004 年起，即打算推動修正此等規定，進一步將部分可用於軍事用途之研究設施設備予以立法管制，從美國政府所公布的管制清單來看，其涵蓋範圍甚廣，從化學、雷射到細菌培養等各領域之研究設施設備，均涵蓋在內，故商務部此項修法計畫一經公開，立即震撼外界，除學術界及產業界強烈外抨擊，就連聯邦實驗室也大表反對。反對意見多認為，預計的修正規定將會破壞大學校園中之開放精神，影響科學自由的研究環境；而研究設施設備近用之事前許可制，亦將造成學界與業界的負擔；甚至可能阻礙未來大學或業界延攬外國科技人才參與研究計畫之進行，長期而言，實將會戕害美國的國際競爭力。 面對各界反對聲浪，為避免降低研究型企業之生產力，美國商務部在今年 5 月底宣布取消原來的立法管制計畫，不過，商務部將會召集產學研各界專家，組成一個十二人的委員會，持續就實驗室安全管制的問題交換意見，期能獲致更有效之解決之道。
科研資源整合之跨國合作趨勢研析與比較