歐盟2022/2557關鍵實體韌性指令初探（五之二）

（續前篇） 

適合出口型產業界、韌性能力、驗證業、實驗室、網路安全及工程師、企業管理者或法規政策研究人員，具備大學教育背景但對歐盟法規基本概念的亞洲讀者閱讀。 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢歐盟專業法律、顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱歐盟CRA官方網站和EUR-Lex資料庫。 © All Rights reserved。 版權聲明。CC BY-SA 4。0。

5. 關鍵條文詳解（§4-§9）

5.1 §4： 基本設定與全災害途徑（Basic Settings & All-Hazards Approach）

【法律邏輯】：第4條為整部指令的「錨定條款」，要求會員國建立全災害風險管理架構。不同於傳統僅聚焦網路攻擊或火災的單一風險思維，此條要求涵蓋自然災害（極端氣候、地震）、人為失誤、地緣政治破壞（海底電纜破壞）、大規模傳染病及供應鏈中斷。

【實務意涵】：會員國必須在轉化立法中明確列出「國家風險評鑑」（National Risk Assessment）清單，例如法國必須評估其核電廠在極端熱浪與網路攻擊複合情境下的韌性。對亞洲企業而言，若投資設廠於歐盟，需查閱該國公布的國家風險評鑑報告，以調整廠址選擇與保險策略。 

5.2 §5：成員國層級的風險評鑑 (Risk Assessment by Member States)

【法律邏輯】：認定關鍵實體之前，各成員國必須先做「大環境掃描」。

成員國須與歐盟層級的「共同風險評鑑」（Art. 14）協調，不能隨機挑選企業或公司，而必須建立一套系統性的風險評鑑機制，每四年更新一次跨部門風險評鑑。

• 評鑑內容：政府將會分析該國內哪些部門（如能源、水利）最脆弱，以及面臨何種威脅、威脅的內容是什麼（例如：氣候變遷導致的洪水、地緣政治導致的能源中斷、大規模網路攻擊、恐怖攻擊、供應鏈風險等）。關鍵考量是單一實體的中斷如何透過供應鏈擴散至其他部門，即連鎖效應（Cascading Effects）推演。
• 評鑑技術：必須採用「情境規劃」（Scenario Planning），例如分析主要港口癱瘓對製藥供應鏈的連鎖影響。德國在轉化草案中引入「關鍵性分析」（Criticality Analysis）方法學，要求量化「依賴度指數」（Dependency Index）。
• 動態更新：評鑑結果需公開摘要版本，提供涉及的企業及各層級利害相關者參考。風險評鑑不是一次性的任務，而必須定期更新（每四年），納入更新或新浮現的風險事項。

【實務意涵】：如果您發現歐盟某國政府最近在強化「對單一供應商依賴」的風險評鑑，可能足以視為一個強烈訊號，表明相關產業的企業被認定為「關鍵實體」的機率將大幅增加。

5.3 §6：關鍵實體的識別 (Identification of Critical Entities)

【法律邏輯】：在§5的大環境掃描架構下，成員國開始篩選具體的「對象」。識別門檻採用「部門特定門檻+重大破壞效應」雙重測試準則。識別過程的核心在於「篩選準則」 (Criteria)，依據實體的「擬替代性」（Replaceability，即市場是否存在可立即替代的供應商）、「服務範圍」（Scope of Services，是否跨區域服務）及「存續時間」（Duration of Disruption，中斷多久會造成不可逆損害）進行篩選。企業若被列入，必須遵守額外義務，但也可獲得政府資源協助。 

識別/篩選準則包括：

• 服務的重要性：該實體提供的服務是否為社會運作之必需項目？
• 替代方案的難易程度：如果該實體消失，是否有其他公司能立刻接手？（這就是所謂的「單一失效點」 Single Point of Failure）。
• 地理影響力：該實體是否影響到跨境運作？
• 中斷後的連鎖效應：如果該實體因故而中斷服務提供，後續將會衝擊到哪種層級與若干面向的組織或企業？

【排除機制】：微型企業（依歐盟定義：員工少於10人且年營業額低於200萬歐元）原則上排除適用，除非其服務具不可替代性（如某小島唯一的海水淡化廠）。
亞洲讀者視角：這裡的邏輯是「不可替代性」。如果您是一家在歐洲擁有獨家專利技術或壟斷性供應鏈的亞洲公司，即使規模不大，仍可能被識別為關鍵實體。

5.4 §7：重大破壞性效應 (Significant Disruptive Effect)

【法律邏輯】： 定義「什麼才叫破壞性」？ 因為這恰好正是 CER指令的觸發門檻。只有當實體功能的失效會導致「重大破壞性效應」時，該實體才被納入監管。 

破壞性效應的衡量指標：

• 連鎖效應 (Cascading Effect)，亦稱為「跨邊界效應」：若A實體倒下，導致B實體無法運作，導致C企業崩潰。
• 社會壓力： 是否會引發民眾恐慌或公共秩序混亂？
• 經濟損失： 是否會造成大規模的 GDP 損失或貿易停擺？
• 受影響人口數：受到衝擊的民眾數量、所佔人口比例；
• 恢復所需時間：以破壞規模估算出可能的時間範圍；
• 對國家安全或公共健康的衝擊：

【歐盟例子】：一家小型的藥品包裝廠失效，可能僅影響少數藥品（非重大影響）；但如果一家負責「藥品冷鏈運輸」的物流公司失效，導致全歐盟傳染狷疫苗的普遍失效，就是§7所定義的「重大破壞性效應」。

【亞洲視角】：此條對亞洲跨國企業（如台灣晶片廠在歐盟設廠）至關重要。若該廠被認定為關鍵實體，其生產中斷可能影響歐盟汽車供應鏈，從而觸發「跨邊界效應」條款，導致更嚴格的監管審查。 

5.5 §8：關鍵實體的正式認定 (Critical Entities)

【法律邏輯】： 從「識別」到「法律定名」。 當實體滿足了§6的標準且可能造成§7的衝擊效應後，主管機關會發出正式認定通知，要求關鍵實體做到相應的法律義務，例如：

1. 法律地位的轉變：一旦被正式認定為「關鍵實體」，該公司就從「一般私營企業」變成了「具有公共安全責任的實體」。
2. 義務啟動：認定書發出後，係稱企業須啟動各步驟， 

• 執行風險評鑑，在限定期間內提交「韌性措施計畫」（Resilience Plan），
• 建立符合ISO 22301或同等標準的業務連續性管理系統（BCMS），排程定期演練危機情境，
• 在遭受重大干擾後24小時內，向主管機關報告重大事件，並在30天內提交事後分析；尚須接受政府的定期稽核。
• 供應鏈盡職調查：評鑑關鍵供應商（包括位於歐盟境外的亞洲供應商）的韌性，並在合約中納入韌性條款。
• 文件化要求：認定的關鍵實體必須維持「韌性文件包」（Resilience Documentation Pack），包括風險登記冊、依賴性分析圖、應變計畫及演練紀錄。此處與CRA（網路韌性法）的技術文件要求形成互補。

3. 權利與責任：企業雖然面臨嚴格監督管理，但在某些國家可能獲得政府的韌性補貼或優先資源分配。

5.6 §9：主管機關的設立與責任 (Competent Authority and its Responsibility)

【法律邏輯】： 定義「誰來管」以及「怎麼管」。 每個成員國必須指定單一「聯絡窗口」（Single Point of Contact），但允許依部門設立不同主管機關（Competent Authority），他們扮演的是「警察」與「導師」的雙重角色。 

核心權限：

• 監督權：要求實體提供任何與韌性相關的文件、提供指導、進行稽核，並在危機時協調跨國合作。
• 指令權：主管機關擁有調查權、強制改正權及罰款權；在緊急狀態下，主管機關可以命令關鍵實體採取特定行動（如：強制啟動備援方案）。
• 現場檢查權：可進行無預警的韌性稽核；
• 處罰權：對於未達標或拒絕配合的實體處以高額罰款。
• 資訊共享：在「資訊共享與分析中心」（ISACs）框架下與其他會員國交換威脅情資。

責任與義務：主管機關不僅要處罰，還必須提供「指導」(Guidance)，向企業宣導如何達到韌性要求。

【歐盟例子】：德國由聯邦資訊安全局BSI管理網路與資訊安全，聯邦內政部管理關鍵實體安全。 

6. 實施規則、時程與排除情形(Implementation Rules & Schedule)

6.1 由於 CER 是一項「指令 (Directive)」，其生效過程並非瞬間完成，而是分為三個階段：

• 轉譯期 (Transposition Period)：2023年1月生效，歐盟成員國將 CER 寫入本國法律。
• 認定期 (Identification Period)：2024年1月前，會員國完成首次國家風險評鑑；2024年10月前，各國政府根據 §5, §6, §7完成關鍵實體篩選並通知該等關鍵實體。
• 執行期 (Implementation Period)： 企業在收到通知後，需在限定時間內（通常為 1-2 年）建立韌性措施並通過初次稽核。至遲在2026年10月，關鍵實體必須符合所有義務。

關鍵實體的評鑑方式、名單及認定作業，預期每四年須做出檢討。 
【關鍵實體的認可過程示意圖】

6.2 下列情況通常不被視為關鍵實體：

• 純粹本地小型企業（員工少、影響範圍小）。
• 軍事專屬設施（由共同安全與國防政策規範）。
• 部分微型企業（依會員國判斷）。

【決策者建議】： 不要等待官方或歐洲客戶的正式通知。如果企業屬於關鍵產業，應在「轉譯期」就開始對標 ISO 22301 (業務連續性管理)，因為這將是大多數成員國認可的技術標準基礎要求。

（未完，見續篇）