歐洲議會全體會議投票通過《資安韌性法》草案，以提高數位產品安全性
歐洲議會於2024年3月12日全體會議投票通過《資安韌性法》（Cyber Resilience Act）草案，後續待歐盟理事會正式同意後，於官方公報發布之日起20天後生效。該草案旨於確保具有數位元件之產品（products with digital elements, PDEs）（下簡稱為「數位產品」）具備對抗資安威脅的韌性，並提高產品安全性之透明度。草案重點摘要如下：
一、數位產品進入歐盟市場之條件
課予數位產品之製造商及其授權代理商、進口商與經銷商法遵義務，規定產品設計、開發與生產須符合資安要求（cybersecurity requirements），且製造商須遵循漏洞處理要求，產品始得進入歐盟市場。
二、數位產品合規評估程序（conformity assessment procedures）
為證明數位產品已符合資安及漏洞處理要求，依數位產品類別，製造商須對產品執行（或委託他人執行）合規評估程序：重要（無論I類或II類）數位產品及關鍵數位產品應透過第三方進行驗證，一般數位產品得由製造商自行評估。通過合規評估程序後，製造商須提供「歐盟符合性聲明」（EU declaration of conformity），並附標CE標誌以示產品合規。
三、製造商數位產品漏洞處理義務
製造商應識別與記錄數位產品的漏洞，並提供「安全更新」（security updates）等方式修補漏洞。安全更新後，應公開已修復漏洞之資訊，惟當製造商認為發布相關資訊之資安風險大於安全利益時，則可推遲揭露。
四、新增開源軟體管理者（open-source software steward）之義務
開源軟體管理者應透過可驗證的方式制定書面資安政策，並依市場監管機關要求與其合作。當開源軟體管理者發現其所參與開發的數位產品有漏洞，或遭受嚴重事故時，應及時透過單一通報平臺（single reporting platform）進行通報，並通知受影響之使用者。
- Cyber Resilience Act: MEPs adopt plans to boost security of digital products, European Parliament (2024)
- European Parliament legislative resolution of 12 March 2024 on the proposal for a regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements and amending Regulation (EU) 2019/1020 (COM(2022)0454 – C9-0308/2022 – 2022/0272(COD)), European Parliament (2024)
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
柯郁萱
副法律研究員 編譯整理
Cyber Resilience Act: MEPs adopt plans to boost security of digital products, European Parliament (2024), https://www.europarl.europa.eu/news/en/press-room/20240308IPR18991/cyber-resilience-act-meps-adopt-plans-to-boost-security-of-digital-products (last visited Mar. 29, 2024).
European Parliament legislative resolution of 12 March 2024 on the proposal for a regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements and amending Regulation (EU) 2019/1020 (COM(2022)0454 – C9-0308/2022 – 2022/0272(COD)), European Parliament (2024), https://www.europarl.europa.eu/doceo/document/TA-9-2024-0130_EN.html#title2 (last visited Mar. 29, 2024).
Cyber Resilience Act - Questions and Answers*, European Commission (2023), https://ec.europa.eu/commission/presscorner/detail/en/qanda_22_5375 (last visited Mar. 29, 2024).
陳政陽，〈新加坡物聯網產品網路安全防護之初探〉，資策會科技法律研究所，2023年6月30日，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9061&no=64（最後瀏覽日：2024/03/29）。
張瀠心，〈歐盟推出《網路韌性法案》補充歐盟網路安全框架〉，資策會科技法律研究所，2022年12月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8915&no=64（最後瀏覽日：2024/03/29）。
美國網路安全暨基礎設施安全局（CISA）於2025年8月13日發布該機關與美國、澳洲、加拿大、德國、荷蘭、紐西蘭等國共計八個國安資安相關機構，合作訂定之《工控資安基礎：適用於擁有者與營運者的資產清冊指引》文件，旨在針對易受惡意網路行為攻擊且提供重要服務的能源、水務、製造業及其他領域關鍵基礎設施營運技術（Operational Technology，OT）系統，協助其資產擁有者與營運者建置與維護完整的OT資產清冊，並輔以OT分類體系（Taxonomy）。 OT資產清冊範圍涵蓋組織OT系統與相關軟、硬體，該指引主要說明OT資產擁有者與營運者建置與維護OT資產清冊的流程，包含： 1. 定義清冊範疇與目標（Define Scope and Objectives） 2. 辨識資產及蒐集屬性資料（Identify Assets and Collect Attributes） 3. 建立分類體系（Create a Taxonomy to Categorize Assets） 4. 管理與蒐集資料（Manage and Collect Data） 5. 實現資產全生命週期管理（Implement Life Cycle Management）； 此外透過OT分類體系可幫助區分優先序、管理所有OT資產，有助於風險識別、漏洞管理，以及資安事件應變；有關如何建立OT分類體系，該指引亦提供流程建議如： 1. 根據功能及關鍵性執行資產分類（Classify Assets） 2. 對資產功能類型與其通訊路徑進行分類（Categorize (Organize) Assets and their Communications Pathways） 3. 建構體系架構與互動關係（Organize Structure and Relationships） 4. 驗證資產清冊資料準確度與圖像化（Validate and Visualize） 5. 定期檢查並更新（Periodically Review and Update） 該指引認為，建置OT資產清冊並輔以OT分類體系對期望建立現代化防禦架構的擁有者與營運者而言至關重要。透過上述作為，資產擁有者與營運者得以識別其環境中應加以防護及管控的關鍵資產，並據以調整防禦架構，建構相應的資安防禦措施，以降低資安事件對組織任務（Mission）與服務持續性（Service Continuity）的風險與影響。該指引亦強調關鍵基礎設施之OT與IT（資訊技術）部門間之跨部門協作，並鼓勵各產業組織參考指引步驟落實OT資產盤點與分類，以提升整體關鍵基礎設施資安韌性。
音樂出版業者控告LimeWire侵害著作權國家音樂出版組織(National Music Publishers’ Association，簡稱NMPA)中8家音樂出版業者在2010年6月16日對LimeWire提起著作權侵權訴訟。8家出版業者包含EMI Music Publishing, Sony/ATV Music Publishing, Universal Music Publishing Group(環球), Warner/Chappell Music, Inc.(華納), Bug Music, MPL Music Publishing, Peermusic and The Richmond Organization.等唱片公司，被告LimeWire是知名的檔案共享線上服務網站。原告指出被告大量的侵害原告的音樂著作，因此要求賠償。 NMPA表示本案和上個月13家音樂公司和美國唱片業協會(Recording Industry Association of American，簡稱RIAA)對LimeWire的著作權訴訟是相關聯的案件。美國地方法院法官於上個月就RIAA和LimeWire一案作出判決，法官認定LimeWire公司及負責人侵害著作權，且構成不公平競爭。13家公司要求凍結LimeWire的資產並且要負擔近十億美金賠償，RIAA要求LimeWire立即關掉網站，但法官於6/8說明LimeWire至少可持續營業兩週。 NMPA的負責人及執行長Israelite表示，LimeWire提供的網路平台有助於網路著作權侵害的產生。每首音樂產出的背後都有一群龐大的網路，包含出版者、作曲家、表演者、錄音者，唱片公司，並非無中生有的，LimeWire檔案分享網站利用提供販賣音樂平台，使他人可以接觸音樂，但拒絕支付合理的音樂授權金。 LimeWire釋出善意歡迎NMPA進行協商談判，並表示將有許多與出版業者、作曲家、表演者、唱片公司的會談，就如同LimeWire新的音樂服務機制與商
日本內閣府發布「綜合創新戰略2024」為應對日益嚴峻的國際情勢，並避免研究能力下降、生態系進展緩慢對經濟、社會發展造成衝擊，日本內閣府於2024年6月4日發布「綜合創新戰略2024」（統合イノベーション戦略2024），提出三大強化措施與三大發展主軸，綜整未來科技與創新的重要發展方向。具體內容整理如下： 1.強化措施 (1)關鍵技術綜合戰略 開發核心技術，在各戰略領域如人工智慧、機器人、物聯網等，透過產官學界合作推進技術融合與研究開發、推動人才培育，並促進新創發展。 (2)加強國際合作 從全球視角積極運用資源進行策略性協作，並以促進開發利用、確保安全性為主要目標，主導、參與重要技術相關之國際規則制定。 (3)強化人工智慧領域競爭力並確保安全性 包含創新研發人工智慧之應用，及利用人工智慧加速創新速度等。 2.發展主軸 (1)推進先進科技戰略 針對各重要領域如人工智慧、核融合能源、量子科技、生物科學、材料科學、半導體與通訊技術（6G）推展研究；確保大學與研究機構之研究安全性與倫理，並為設立智庫強化研究機能預做準備；同時綜合運用各領域的知識創造價值，為整體社會提供自動化、省力化、防災減災之科學技術。 (2)研究能力與人才培育 透過補助優秀大學與研究費用、扶植區域核心及具有特色的研究型大學、強化國家研究設施並促進設施間之合作性發展研究基礎；以及推動開放政府資助研究之資料與學術論文。 (3)營造創新生態系 透過SBIR計畫（Small Business Innovation Research，小型企業創新研發計畫）補助，並促進新創企業之政府採購；藉由產官學合作推展創新；以及擴大政府與民間研發投資規模，促進人才、技術、資金在大企業與新創公司間流動等。 日本政府認為，核融合能源與量子科技等關鍵技術將為新產業發展的開端，本戰略亦將成為未來日本新一期科學技術與創新基本計畫（科学技術・イノベーション基本計画）開展之基礎。我國於半導體、量子科技等關鍵科技發展皆緊跟國際腳步，因此相關戰略措施後續之推動與落實，亦值得我國持續關注、參考。
歐盟「第五洗錢防制指令」將新科技於金融體系的應用納入管制歐盟於2018年4月19日宣布通過「第五洗錢防制指令」(the Fifth Anti-Money Laundering Directive)，並於同年6月19日公布確定案文，其要求歐盟成員國必須於18個月內將該命令納入國內法律中。 歐盟在本次指令中，特別針對恐怖主義組織財政和運作方式揭示出所觀察的新趨勢，其指出某些作為替代金融體系的新技術服務越來越受歡迎，但卻不受法令所拘束，或是被豁免於相關法律適用外等不合理情事，因此「第五洗錢防制指令」為了跟上不斷進步的科技環境，乃要求法人、其他法律實體(legal entities)、信託及具有與信託類似結構或功能的法律協議(類似的法律協議) 應採取進一步措施，以確保提高金融交易的透明度，並藉此改進現有的預防框架，達到更有效地打擊資助恐怖主義行為的目的；另外歐盟亦於該指令中提醒所有採取的措施應和洗錢風險成比例。 有關「第五洗錢防制指令」主要新增及修正包含： 迎接新技術：託管錢包供應商(custodian wallet providers)和虛擬貨幣交換平臺將被視為新的義務主體而納入於洗錢防制法的範圍。另外「第五洗錢防制指令」還允許使用電子身分證明進行客戶盡職調查。 改進執法：各成員國須建立自身國家的銀行帳戶登記系統，以便執法當局能夠方便地查閱在該成員國內的所有銀行帳戶資訊。另外該登記系統須與其他成員國互相連線，並且即便在沒有提交可疑活動報告的情況下，執法當局也可以要求義務主體提供資料。 明確定義"重要政治性職務人士"：各成員國都必須發佈一份清單，列出哪些屬於 "重要的公共職能"。 針對高風險第三國為更嚴格的管制：「第五洗錢防制指令」要求涉及高風險第三國的商業關係或交易須採取強化盡職調查措施,，並允許成員國限制義務主體在高風險第三國設立分支機搆或子公司，亦禁止總部設在高風險第三國的義務主體於成員國設立分支機搆。 提高公司實質受益權的透明度：各成員國的公司實質受益權登記將放寬查詢限制，公眾無須提出任何合法權益證明即可查閱基本資訊。另外還要求企業(登記義務主體)必須針對持有資訊與在登記系統上資訊的差異提出報告。 信託的實質受益權：「第五洗錢防制指令」擴大實質受益權申報義務主體範圍，要求任何類似信託的法律安排及租稅中立性的信託均須申報；另外還擴大該實質受益權申報的查閱至任何能提出具有合法利益的人，但其並未對合法利益提出定義，而是讓各成員國自行訂定。然而「第五洗錢防制指令」指出，該合法利益的定義不應侷限在行政或法律訴訟未決的案件，而是應針對洗錢防制及反資助恐怖組織領域的預防工作為考量。 禁止匿名保險箱。 調整預付工具(prepaid instruments)需進行盡職調查的門檻(如禮品卡、旅遊卡)：價值要求從250歐元降低到150歐元。