歐盟執委會發布「歐洲風電行動計畫」，支持歐洲風電相關產業之發展
歐盟執委會於2023年10月24日發布「歐洲風電行動計畫（European Wind Power Action Plan）」，以支持歐洲風電相關產業發展並強化其競爭力，同時確保該產業能在綠色轉型的過程中持續扮演關鍵角色，並以此提高整體風電的裝置容量。該計畫要求委員會、成員國和產業應立即採取以下6個方向的行動措施：
（1）透過可預測且快速的許可程序，加速風電的建置
執委會與成員國將共同發布「Accele-RES」倡議，推動許可流程的數位化、許可機關的職員訓練及建立政策指引文件，以及提高許可相關議題之討論層級；並且，鼓勵成員國透過風電承諾（Wind Pledges）、透明的競標時程表和長期的規劃來提高開發專案進度的透明度。
（2）改善風電競標機制的設計
在《淨零產業法（Net-Zero Industry Act）》草案和電力市場設計改革的基礎上，建立更客觀、非歧視性且透明化的風電競標標準，並將目標入法使相關策略具法律約束力。
（3）促進資金的取得
為了擴大對於歐洲風能產業的投融資，歐盟執委會將透過創新基金、歐洲投資銀行（EIB）提供歐盟風電相關產業的資金，以及融資擔保；並利用國家援助（State Aid）規範對歐盟風電供應鏈提供補助。
（4）建立公平且具競爭性的國際環境
為確保風電產業能在公平競爭的環境中順利營運，歐盟執委會將密集監管可能有利於外國業者的不公平貿易行為，並將持續利用貿易協定促進歐盟業者進入外國市場，同時推動風電產業的規格標準化。
（5）培育產業技能
建立「大規模技能合作夥伴關係（Large scale skills partnerships）」以及透過《淨零產業法》推動「淨零產業技能學院」，培訓風電產業技術人才，包含針對青年、婦女與長者的職能培育計畫，以及勞工技能提升與再培訓計畫，因應積極的氣候目標以及市場規模快速擴張所創造之人力需求。
（6）鼓勵產業投入與成員國的承諾
歐盟執委會將與成員國和風電產業共同制定歐盟風能憲章（EU Wind Charter），促進更多風電利害關係人參與締約，擴大憲章適用對象，以建立歐洲風電產業能保持競爭力的優良環境。
本文為「經濟部產業技術司科技專案成果」
顧典晉
副法律研究員 編譯整理
Commission sets out immediate actions to support the European wind power industry, European Commission, Oct. 24, 2023, https://ec.europa.eu/commission/presscorner/detail/en/ip_23_5185 (last visited Dec. 4, 2023)
European Wind Power Action Plan, European Commission, Oct. 24, 2023, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52023DC0669 (last visited Dec. 4, 2023)
顧典晉，〈歐盟執委會提出《淨零產業法》草案，促進歐盟淨零技術的發展〉，資策會科法所法律要聞，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8984（最後瀏覽日：2023/12/4）。
新加坡國會於 2025 年 11 月5日三讀通過「線上安全（救濟與問責）法案」（Online Safety (Relief and Accountability) Bill, OSRA），希望透過「賦權受害者」與「強化平臺問責」來對抗日益嚴重的線上傷害事件。OSRA旨在補充個人在面對有害的線上行為（Online Harmful Activity）傷害時的救濟途徑，並設置「線上安全專員（Commissioner of Online Safety）」為處理投訴與發布救濟指令的專責機關。 OSRA明確定義了多種有害的線上行為，包括針對deepfake的「不實內容濫用」（Inauthentic material abuse），以及惡意公開他人隱私的「人肉搜索」（doxxing），而為了讓損害即時受到控制，線上安全專員在接獲國民投訴並調查評估後，可直接發出具法律效力的指令（Directions），要求平臺移除、隱藏特定內容，或限制惡意帳號的互動；若平臺不遵守指令，線上安全專員亦得向電信業者發出阻斷特定服務，或向應用程式商店發出下架特定應用程式的命令（Orders），無正當理由違反指令或命令皆有可能構成刑事責任。 此外，OSRA亦擴張了平臺的民事責任，當受害者依指定方式向平臺發出「線上傷害通知」後，若平臺未能在合理期間內採取行動，受害者得逕向平臺經營者或網站管理者提起民事訴訟要求損害賠償，若平臺無故怠慢，法院得判決加重損害賠償，希望藉此敦促平臺建立更敏捷的線上傷害控制機制。 值得注意的是，OSRA宣告了廣泛的長臂管轄機制，為保障新加坡國民的權益，不僅法院對OSRA規範的民事、刑事事件有管轄權，線上安全專員發布指令與命令的對象亦不限於境內，表現對抗全球線上傷害的強烈企圖。
BS 10012：2017個人資訊管理系統新版標準已發布BS 10012:2009個人資訊管理系統近期轉版，英國標準協會已於2017年3月31日發布BS 10012:2017新版標準，此次修改主要係為遵循歐盟一般資料保護規則GDPR (General Data Protection Regulation )之規定。為了讓企業組織能更有效率整合內部已導入之多項標準，新標準採用ISO/IEC附錄SL之高階架構（High Level Structure），該架構為通用於各管理系統的規範框架。 2017新版架構由原本的6章變為為10章，新架構如下： 第1章 範圍 第2章 引用規範 第3章 專有名詞與定義 第4章 組織背景 第5章 領導統御 第6章 規劃 第7章 支援 第8章 營運 第9章 績效指標 第10章 改善 新標準主要修改內容如下： 個資盤點單需增加「法規」盤點項目，且應載明個資流向(軌跡紀錄)。 風險管理架構參酌ISO 31000:2009修改。 組織增設資料保護官(Data Protection Officer, DPO)。 個資蒐集、處理及利用： （1）蒐集前須先告知當事人並取得其同意。 （2）蒐集應有必要性且最小化。 （3）兒童個資蒐集、利用須先經監護人同意。 （4）若個資利用目的為開放資料（Open data）須作去識別化。 個資必須維持正確且最新。 個資保存不超過處理目的存在必要之期限(保存期限)。 增加個資完整性與機密性要求。 預先諮詢與授權，例如：網頁有使用cookies需明確告知瀏覽者。 個資管理目標與量測，包括欲導入範圍、現況評估等有效性目標。 增添文件管理規範。 BS 10012:2009版本將於2018年5月25日廢止，公司驗證轉版的過渡期為24個月，因此2019年3月未轉版者證書失效。
歐盟發布數位身分皮夾信賴方登錄實施規則，健全數位信任生態系歐盟執委會於2025年5月6日發布《數位身分皮夾信賴方登錄實施規則》（Commission Implementing Regulation (EU) 2025/848 Laying down Rules for the Application of Regulation (EU) No 910/2024 of the European Parliament and of the Council as regards the Registration of Wallet-Relying Parties）（下稱實施規則），旨在幫助數位身分皮夾（Digital Identity Wallet）用戶確保其身分資料傳輸至可信賴對象，且傳輸之資料並未超過預期用途。 實施規則規範重點如下： （1）建置及維運登錄資料庫：會員國應建置皮夾信賴方(wallet-relying party)登錄資料庫，並指定登錄管理員負責管理及維運。 （2）訂定登錄政策及程序：會員國應訂定登錄政策，內容須涵蓋皮夾信賴方註冊時之身分識別及核實程序、登錄程序所需配套文件及佐證資料、用以確認皮夾信賴方提供資訊正確之真實來源、皮夾信賴方之救濟機制、驗證已註冊信賴方身分之規則及程序，並盡可能採自動化流程。 （3）申請登錄所需資訊：皮夾信賴方申請登錄時應提供之資訊，包括與官方身分紀錄一致之姓名或組織名稱、身分識別資料（如國民身分識別碼、商業登記號碼、加值營業稅號、歐盟經濟營運者註冊及識別碼（Economic Operator Registration and Identification Number））、地址、聯絡資訊、服務類型描述、針對各項預期用途擬請求之資料清單、是否為公務機關等。 （4）簽發相關憑證：會員國應授權至少1家憑證機構簽發皮夾信賴方存取憑證（access certificate），以確認皮夾信賴方之身分。會員國另得授權憑證機構簽發皮夾信賴方登錄憑證（registration certificate），以證明皮夾信賴方所取得之資料未超過預期用途。 （5）暫停或取消登錄資格事由：若有登錄資訊不實、違反登錄政策、請求資料超過預期用途等情事，將暫停或取消皮夾信賴方登錄資格。 （6）紀錄保存年限：登錄及憑證簽發紀錄應保存10年。 此實施規則已於2025年5月27日生效，將於2026年12月24日施行。
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步，伴隨著資安風險的提升，世界各國對於資安防護的意識逐漸升高，紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全管理法制化，有效管理資通安全風險，以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外，另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法，建置了我國資通安全管理之法制框架。然而，資安法及相關子法於108年1月1日實施後，各機關於適用上不免產生諸多疑義，故本文擬就我國資通安全管理法之規範重點為扼要說明，作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象，主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義，指依法行使公權力之中央、地方機關（構）或公法人，但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣（市）政府機關、依公法設立之法人（如農田水利會[1]、行政法人[2]）、公立學校、公立醫院等，均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊，故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定，指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定，須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定，報請行政院核定，並以書面通知受核定者。須注意者為該指定行為具行政處分之性質，如受指定之特定非公務機關對此不服，則可循行政救濟程序救濟之。目前各關鍵基礎設施領域，預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外，政府捐助之財團法人，依該法第3條第9項之規定，指其營運及資金運用計畫應依預算法第41條第3項規定送立法院，及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人，則非屬資安法所稱特定非公務機關之範圍。公營事業之認定，則可參考公營事業移轉民營條例第3條之規定，指（一）各級政府獨資或合營者；（二）政府與人民合資經營，且政府資本超過百分之五十者；（三）政府與前二款公營事業或前二款公營事業投資於其他事業，其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構，可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段，分述如下： （一）事前規劃 就事前規劃部分，資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」，使各機關得據此落實相關之資安防護措施，各機關並應依據資通安全責任等級分級辦法之規定，依其重要性進行責任等級之分級，辦理分級辦法中所要求之應辦事項[5]，並將應辦事項納入安全維護計畫中。 此外，在機關所擁有之資通系統[6]部分，各機關如有自行或委外開發資通系統，尚應依據分級辦法就資通系統進行分級（分為高、中、普三級），並就系統之等級採取相應之防護基準措施，以高級為例，從7大構面中，共須採取75項控制措施。 （二）事中維運 事中維運部分，資安法要求各機關應定期提出資通安全維護計畫之實施情形，上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件，應於機關知悉資通安全事件發生時，於規定時間內[7]，依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施，以避免資通安全事件之擴大。 （三）事後改善 在事後改善部分，如各機關發生資通安全事件或於稽核時發現缺失，則均應進行相關缺失之改善，提出改善報告，並應針對缺失進行追蹤評估，以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通，並考量網路威脅可能來自於全球各地，資安法第8條規定主管機關應建立情資分享機制，進行情資之國際合作。情資分享義務原則於公務機關間，就特定非公務機關部分，為鼓勵公私間之協力合作，故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心（G-ISAC）調整提升至國家層級並更名為「國家資安資訊分享與分析中心」（National Information Sharing and Analysis Center, N-ISAC）。透過情資格式標準化與系統自動化之分享機制，提升情資分享之即時性、正確性及完整性，建立縱向與橫向跨領域之資安威脅與訊息交流，以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實，資安法就公務機關部分，訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容，配合機關內部之人事考評規定訂定獎懲基準，而獎懲辦法適用之人員，除公務人員外，尚包含機關內部之約聘僱人員。就特定非公務機關部分，資安法則另訂有相關之罰則，針對未依資安法及相關規定辦理應辦事項之特定非公務機關，中央目的事業主管機關得令限期改正，並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分，因考量其影響範圍層面較廣，故規定特定非公務機關如未依規定進行通報，則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範，勢必投入相關之資源及人力，以符合資安法之要求。考量公務機關或特定非公務機關之資源有限，故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌，以避免資源或相關措施重複建置，以下則列舉幾點建議： 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制，與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似，故各機關於適用上可協調內部之資安與隱私保護機制，共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制，而個人資料保護法第12條亦規定有向當事人通知之義務，兩者規定雖不盡相同，惟各機關於訂定通報應變機制上，可將兩者通報應變程序進行整合，以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務，個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同，惟均著重對於資料安全及隱私之保護，故各機關可從資料保護層面著手，訂定資安與個人資料保護共同之檢核項目，來進行委外廠商資格之檢視，並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時，須先進行內部之資產盤點及分級，而個人資料保護法施行細則第12條中，則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時，可建立內部共同之資料盤點清單及資料管理措施，並增加資料使用軌跡紀錄，建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定，軍事機關指國防部及其所屬機關（構）、部隊、學校；情報機關指國家情報工作法第3條第1項第1款（包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊）及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定，行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關（構），於其主管之有關國家情報事項範圍內，視同情報機關。 [4] 羅正漢，〈臺灣資通安全管理法上路一個月，行政院資安處公布實施現況〉，iThome, 2019/02/15，https://www.ithome.com.tw/news/128789 （最後瀏覽日：2019/5/13）。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級，各機關應依據其責任等級應從管理面、技術面及認知與訓練面向，辦理相應之事項。 [6] 資通系統之定義，依資通安全管理法第3條第1款之規定，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後，應於1小時內依規定進行資通安全事件之通報；如為第一、二級資通安全事件，並應於知悉事件後72小時內完成損害控制或復原作業，第三、四級資通安全事件，則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉，行政院國家資通安全會報技術服務中心，https://www.nccst.nat.gov.tw/NISAC（最後瀏覽日：2019/5/14）。