歐盟委員會發布NIS 2實施條例以定義資安重大事件
歐盟委員會於2024年10月17日通過了歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》（Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union，下稱NIS 2）的第一個實施條例（下稱「實施條例」）。NIS 2要求企業發生重大事件（Significant incident）後24小時內，應向會員國主管機關通報，依實施條例之規定，符合以下任一條件會被視為重大事件：
1. 造成超過50萬歐元或上一年度營業額5%以上的直接財務損失。
2. 造成商業機密洩漏。
3. 已造成或能造成自然人死亡。
4. 對自然人健康已造成或能造成大量傷害。
5. 疑似惡意且未經授權的存取網路和資訊系統造成嚴重運作中斷。
6. 反覆發生的事件。
7. 符合第5條至第14條特定資訊服務的事件。
實施條例主要在於補充上述條件的第6項及第7項。第6項規定於實施條例的第4條，定義「反覆發生」的要件，包含：(1)6個月內發生兩次；(2)有相同的根本原因；(3)大致符合超過50萬歐元或年營業額5%以上的直接財務損失。第7項則在實施條例的第5條至第14條列舉特定資訊服務提供者的重大事件條件，而其他資訊服務則包含DNS（domain name system）服務、TLD（top-level domain）網域註冊管理、雲端運算服務、資料中心服務、內容交換網路、託管服務、網路商城、搜尋引擎、社群網路服務、信託服務等，對於不同服務可能造成的影響各別列舉視為重大事件的條件。
歐盟委員會發布該實施條例確立何謂重大事件，並依歐盟考量資訊安全威脅所制定的NIS 2，將公共電子通訊網路或服務、會員國等進行連結，要求會員國設置資訊安全主管機關、危機管理機構、資訊安全聯絡點等義務，建立資訊安全通報機制，確保歐盟有整體的資訊安全戰略及框架，阻止潛在危機擴散。我國於2018年已制定《資通安全事件通報及應變辦法》並建立四級資通安全事件的標準，其標準以機敏或業務資訊遭洩漏對機密性的影響、資通系統遭竄改對完整性的影響，以及資通系統運作遭中斷對可用性的影響為依據，但並未對不同類型服務有制定更精細的定義。歐盟實施條例中有關重大事件之定義，可做為我國相關主管機關參考對象，研擬更準確的資通安全事件標準。
- EUROPEAN COMMISSION, COMMISSION IMPLEMENTING REGULATION (EU) …/...of 17.10.2024 (2024)
- Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA relevance), European Union
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 美國聯網車監管制度與合規實務說明會
- 長照系統相關資服業個資線上宣導說明會
毛定瑜
副法律研究員 編譯整理
EUROPEAN COMMISSION, COMMISSION IMPLEMENTING REGULATION (EU) …/...of 17.10.2024 (2024),https://ec.europa.eu/newsroom/dae/redirection/document/109217 (last visited Nov. 07, 2024).
Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA relevance), European Union, https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX:32022L2555 (last visited Nov. 07, 2024).
歐盟議會於2007年5月24日正式通過「視訊媒體服務指令」 (Audiovisual Media Service Directive) 以取代原有的「電視無國界指令」(Television Without Frontiers Directive)。新指令對於視訊媒體服務的規範不僅包括傳統的電視服務，尚擴及至透過電腦網路及隨選服務系統等傳輸的視訊媒體服務。此外，新指令要求視訊服務提供者必須向閱聽人揭露置入性行銷手法的運用。 有關新指令是否應適用於播客(podcasting)與網路上非商業活動性質影片(如網路使用者上傳至YouTube網站上的短片)的爭辯。歐盟媒體委員會強調，新指令之主要目的雖在於將所有新興電視服務業納入規範，但並不是涵蓋所有在網路上播放的視訊媒體內容。執行長Viviane Reding認為新指令為視訊服務供應者奠定一個有利的競爭架構，以避免因過多的管制而妨礙電視技術與服務之匯流發展。 新指令具有幾項重要特點，首先是擬透過單一完整的法律架構規範所有視訊媒體服務業，以降低監管成本；其次，擬定現代化的電視廣告管理規則，以改善視訊媒體節目製作的資金籌措管道；最後，其他諸如鼓勵媒體服務供應者致力於提昇視覺與聽力障礙者的近用能力亦是本指令所重視者。 據新指令之規定，歐盟會員國有兩年時間將新指令落實為國內法，預期於2009年底在歐洲全面適用。
德國社群媒體管理草案交付立法程序德國總理梅克爾（Angela Merkel）所領導的內閣於2017年4月5日通過社群媒體管理草案(Gesetz zur Verbesserung der Rechtsdurchsetzung in sozialen Netzwerken)，該法案要求社群媒體必須積極管理使用者散布的仇恨言論及假消息，未善盡義務的社群媒體最高可裁罰5千萬歐元。 德國早於2015年12月已與Facebook、Google及Twitter等知名社群網站達成協議，必須在24小時內刪除網站上的不實或違法言論。但根據jugendschutz.net組織公布的數據，Facebook刪除了39％違法內容、Twitter只刪除了1％違法訊息，而Google的Youtube則需要以其他工具進行實測。由於社群媒體自我管理的效果不彰，促使德國政府認為在業者自律之外，必須要制定法律與罰則讓社群媒體負起責任，積極管理網站上使用者的不實與違法言論。 本草案重點包括： 適用範圍：本草案適用於電信媒體服務提供商，且該提供商之網路平台係以營利為目的，允許使用者與其他使用者共享訊息或對大眾分享任何資訊。 社群媒體必須設立24小時受理案件之投訴管道。 接到投訴後，社群媒體必須在24小時內刪除「明顯違法」之內容，其他有爭議的內容必須在7天內確認並刪除違法內容。 社群媒體必須定期提供主管機關其投訴之處置報告。 本草案已送交德國立法機關進行立法程序，但反對者認為一旦通過立法，可能會對言論自由產生不良影響，並抑制網路言論的發表。德國對於社群媒體之管理，值得持續關注。
新加坡網路安全局發布人工智慧系統安全指南，以降低AI系統潛在風險新加坡網路安全局（Cyber Security Agency of Singapore, CSA）於2024年10月15日發布人工智慧系統安全指南（Guidelines on Securing AI Systems），旨在強化AI系統安全，協助組織以安全之方式運用AI，降低潛在風險。 該指南將AI系統生命週期分成五個關鍵階段，分別針對各階段的安全風險，提出相關防範措施： （1）規劃與設計：提高AI安全風險認知能力，進行安全風險評估。 （2）開發：提升訓練資料、模型、應用程式介面與軟體庫之供應安全，確保供應商遵守安全政策與國際標準或進行風險管理；並辨識、追蹤及保護AI相關資產（例如模型、資料、輸入指令），以確保AI開發環境安全。 （3）部署：適用標準安全措施（例如存取控制、日誌記錄），並建立事件管理程序。 （4）運作與維護：持續監控AI系統的輸入和輸出，偵測異常與潛在攻擊，並建立漏洞揭露流程。 （5）壽命終期：應根據相關行業標準或法規，對資料與模型進行適當之處理、銷毀，防止未經授權之存取。 CSA期待該指南發布後，將有助於預防供應鏈攻擊（supply chain attacks）、對抗式機器學習攻擊（Adversarial Machine Learning attacks）等安全風險，確保AI系統的整體安全與穩定運行。
因應綠色採購 環保標章實驗室認證問題有待解決近年來，國際企業強調「綠色商機」，綠色競爭力更成為台灣企業進軍國際市場的指標之一。政府配合綠色風潮，鼓勵國內綠色生產及綠色消費，在政府採購法增列綠色採購條款，並通過「機關優先採購環境保護產品辦法」。然而這些美意，卻可能因為環保標章實驗室認證問題，大打折扣。 造成上述結果的主要原因是，我國因相關環保法令不周全，環保管理、監督單位權責不一，形成三不管局面，影響廠商競爭力。舉例而言，現在環保署嚴格把關環保標章實驗室，檢查近 20 家實驗室，最後只認定三家有合格檢測能力，廠商要取得環保標章，一定要找這三家業者，形成供需嚴重失衡局面，廠商耗時、浪費金錢，還是拿不到環保標章。 另外，環保標章實驗室的管理單位，應該是環保署還是經濟部標準檢驗局；發生爭議事件，環保署和標準局各有說詞。環保標章是環保署核發，但實驗室檢測、管理則由標檢局負責，故而出現三不管的局面。 今年 7 月 1 日 ，歐盟全面執行 RoHS （無鉛製程）環保措施，明年，歐盟開始執行 WEEE （廢棄電機電子產品回收）環保措施，由於台灣資訊大廠 98% 為出口導向，這兩個規定使我國資訊廠商不得不審慎因應之，然而， RoHS 及 WEEE 僅是一個開端，未來歐盟一旦通過 REACH 規則，因環保要求而受影響的產業將更多，可見環保標章實驗室認證問題，必須嚴格看待並儘速解決。