歐盟網路資訊安全法規初探（七之一）

 EU Regulation 2019/881 (Cybersecurity Act)

適合讀者：大學以上程度｜法規、資訊、資安、工程、產業界從業人員 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢歐盟專業法律顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱ENISA官方網站和EUR-Lex資料庫。 © All Rights reserved。 版權聲明。CC BY-SA 4。0。

摘要（Executive Summary）

歐盟《網路資訊安全法》（EU Cybersecurity Act，即歐盟條例Regulation (EU) 2019/881）於2019年6月27日正式生效，是歐盟在資通訊技術（ICT）安全領域的重大立法里程碑。該CSA條例建立了兩大核心支柱：其一，強化並永久授權歐盟網路資訊安全局（ENISA）的職能；其二，建立歐盟統一的ICT產品、服務及流程網路資訊安全驗證架構（European Cybersecurity Certification Framework，簡稱ECCF）。

本短文遵循「撰寫→核校→修訂」三步驟品質管制流程，涵蓋法規背景、關鍵術語定義、適用標準、驗證機制、市場監督、相關法規連動（GDPR、NIS 2、EU AI Act等）、主要利害關係人義務、專業職人、國際比較分析，實際案例，以及弱點暨改進建議事項，旨在協助產業界、學術界、驗證業及政策制定者全面理解以資遵循該項歐盟CSA條例。

🔑 五大核心要點

① ENISA獲得永久授權，成為歐盟網路資訊安全核心機構

② 建立自願性（部分強制性）ICT安全驗證架構，取代碎片化的各國既有方案

③ 三級保證等級（基本／顯著／高）對應不同產品風險

④ 驗證架構與GDPR、NIS 2、AI Act、無人機歐盟法規等形成法規生態系統

⑤ 2024年後強制驗證範疇持續擴大，預估2031年市場規模達750億歐元

一、背景與立法沿革

1.1 立法動機

隨著數位化進程加速，物聯網 (IoT)、雲端運算(Cloud Computing)與 5G 技術普及，2013年至2015 年之歐盟網路安全策略已指出，缺乏統一的驗證機制導致市場信任度不足，增加了跨國貿易的合規成本。2013年至2017年間，歐盟各成員國資安事件頻發，網路攻擊的頻率與破壞力急遽上升。2017年WannaCry勒索軟體攻擊造成全球損失逾40億美元，波及歐盟多個關鍵基礎設施；2016年Mirai殭屍網路攻擊則凸顯物聯網（IoT）裝置安全嚴重不足。與此同時，各成員國各自發展網路資訊安全驗證方案，造成以下問題：

●     市場碎片化（Market Fragmentation）：德國BSI-C5、法國ANSSI-CSPN等驗證互不承認，企業需重複取證，增加成本。

●     監管套利：廠商傾向在標準較低的國家取得驗證，再於全歐銷售。

●     消費者信任缺失：終端用戶無法判斷ICT產品、服務、流程的安全等級。

●     數位單一市場阻礙：歐盟數位單一市場策略（(Digital Single Market, DSM）的落實受到碎片化驗證的牽絆。 

1.2 立法沿革時間軸

時間節點	重要事件
2013年2月	歐盟委員會發布首部《網路資訊安全策略》，
2016年7月	《網路與資訊系統安全指令》（NIS 1, 2016/1148）生效
2017年9月	委員會提出《網路資訊安全法》草案（COM(2017) 477）
2018年12月	歐洲議會與理事會達成三方協議（trilogue）
2019年4月17日	歐洲議會正式通過（P8_TA(2019)0189）
2019年6月27日	《歐盟網路資訊安全法》(EU Regulation 2019/881正式生效
2021年1月28日	ENISA開始依新架構運作
2022年1月27日	NIS 2指令（2022/2555）取代NIS 1，與該CSA條例深度連動
2024年3月	首批候選驗證架構（EUCC for ICT products）草案諮詢 歐盟正式通過 EUCC 作為第一個驗證計畫實施條例 (Implementing Regulation 2024/482)
2025年起	國家級認可機構 (NCCA) 可開始授權 CAB，並正式核發 EUCC 證書，部分強制性驗證預計逐步生效
2025-2027 年	預期 EUCS 與 EU5G 陸續實施。隨著《網路韌性法》(CRA) 預計於 2027 年全面施行，CSA 的基礎將被大量引用，將許多自願性驗證轉為強制性驗證

1.3歐洲的網路資訊安全產品策略 (European Product Strategy for Cybersecurity)：

1. 核心在於「數位主權 (Digital Sovereignty)」與「設計即安全 (Security by Design)」，包含多項核心企圖：

l   安全設計 (Security by Design)：要求產品在開發階段即內建安全機制。

l   韌性 (Resilience)：不僅防範攻擊，更強調受攻擊後的恢復能力。

l   信任標籤化 (Trust Labeling)：透過驗證標籤讓消費者與企業用戶能快速識別產品安全等級。

2. 統一市場與互相承認機制，促成互操作性 (Interoperability)： 透過建立歐盟級別的資安驗證架構，實現「一國驗證，全歐盟通行」，降低企業合規成本。

3. 提升全球標準制定權： 歐盟企圖透過 CSA 結合 GDPR，將「布魯塞爾效應 (Brussels Effect)」延伸至資安領域，迫使全球 ICT 供應商（包含美、中、台製造商）為了進入歐洲市場而提升供應鏈透明度，強化對ICT 產品、服務及流程建立可信賴的安全基準，確保產品安全穩定地立足在最高層級。

4. 從自願到強制的過渡： 雖然 CSA 初期多屬自願性驗證，但配合新版《網路資訊安全韌性法案》(Cyber Resilience Act, CRA) 與 NIS2 指令，未來針對關鍵基礎設施的 ICT 產品，CSA 驗證將成為實質上的強制市場准入條件。

此項資訊安全策略與《歐洲晶片法案》(European Chips Act) 及《網路韌性法案》(Cyber Resilience Act, CRA) 相輔相成，構成歐盟硬體與軟體安全的雙重防護網。 

1.4條例的雙重支柱結構

歐盟2019/881條例的核心結構可分為兩大支柱，站穩立場，相輔相成：

支柱	核心內容
支柱一： 強化ENISA	將ENISA從臨時性機構轉型為永久授權機構，增加預算，擴大職責至涵蓋驗證、事件應對協調、市場情資、歐洲CERT網路協調等
支柱二： 驗證架構（ECCF）	針對 ICT 產品、服務與流程，建立統一的驗證方案（Schemes）， 採三級保證等級(Assurance Levels)： 基本 (Basic)、顯著 (Substantial)、高 (High)。 取代各國零散驗證，提升數位單一市場互信

二、關鍵術語定義與特殊名詞解釋

以下術語均來自Regulation (EU) 2019/881或相關配套文件，並附實務解釋。

術語	定義與說明
ENISA	European Union Agency for Cybersecurity（歐盟網路資訊安全局）。該CSA條例的核心執行機構，永久授權，總部設於雅典及赫拉克利翁。
ECCF	European Cybersecurity Certification Framework（歐洲網路資訊安全驗證架構）。針對特定類別產品所制定的具體驗證規則，提供統一的驗證架構，各驗證方案（Scheme）在此架構下建立。
驗證方案（Scheme）	針對特定ICT產品類別訂定的驗證規則集，例如EUCC（ICT產品通用準則驗證方案）、EUCS（雲端服務驗證方案）。
保證等級（Assurance Level）	分為「基本（Basic）」、「顯著（Substantial）」、「高（High）」三級， 對應不同的測試嚴格程度與安全需求。
Basic (基本)：	抵禦已知、基本的網路攻擊。允許製造商「自我宣告符合性 (Self-assessment)」
Substantial (顯著)	抵禦具備有限資源與技能的駭客。需由第三方機構進行審查
High (高)	抵禦具備豐富資源與高超技能的國家級駭客 (APT)。強制要求由國家授權的高級第三方機構進行源碼級或滲透測試審查
ICT產品（ICT Product, 資通訊產品）	指網路或資訊系統的任何元素或組件（硬體與軟體），包括硬體、軟體及其組合，例如路由器、作業系統、智慧裝置、工業控制系統等。
ICT服務（ICT Service）	透過ICT系統提供的服務，例如雲端運算、受管安全服務、身分查證服務。
ICT流程（ICT Process）	軟硬體開發、維護、供應等過程，重視安全生命週期管理。
符合性評鑑機構（CAB）	Conformity Assessment Body，具資格對ICT產品進行驗證評估的機構。經國家認證，負責依照ISO/IEC 17025執行第三方測試的獨立實驗室，並依照ISO/IEC 17065執行產品驗證的機構。
國家驗證機構（NAB）	National Accreditation Body，如台灣的TAF，負責對CAB進行認證（Accreditation）。
（NCCA）	國家網路資訊安全驗證主管機關National Cybersecurity Certification Authority：各成員國指定的政府單位，負責監督 CAB 並核發「高」級類別證書。
主管機關（Competent Authority）	各成員國指定的監督機構，負責執行驗證架構、市場監督及處理違規。
供應商自我評鑑（Vendor Self-Assessment）	基本保證等級類別允許的評估方式，製造商自行聲明符合性。
同行評審（Peer Review）	成員國之間針對認證機構能力與認證結果進行的相互審查機制，以確保一致性。
網路資訊安全（Cybersecurity）	保護網路、資訊、系統、產品、服務及流程免受網路威脅之活動，確保其可用性、完整性、機密性。
網路資訊安全風險（Cybersecurity Risk）	潛在損失或破壞的可能性，源於人為或非人為威脅對ICT資產的攻擊或利用。
歐洲網路資訊安全憑證（ECC）	European Cybersecurity Certificate，依驗證方案頒發給符合要求的ICT產品/服務/流程的憑證。
CSIRT	Computer Security Incident Response Team，電腦資安事件應變小組，負責偵測、通報及協調處理網路資安事件。
NIS 2	Directive (EU) 2022/2555，第二代網路與資訊系統安全指令，要求「重要實體」採取安全措施，與該CSA條例驗證架構深度整合。
零信任架構（ZTA）	Zero Trust Architecture，ENISA在政策文件中推廣的安全模型，強調持續查證而非隱性信任。
供應鏈安全	ICT供應鏈各環節（設計→生產→交付→維護）的安全風險管理，為該CSA條例重要政策目標。
漏洞揭露（VD）	Vulnerability Disclosure，當ICT產品存在安全漏洞時，製造商、研究人員與主管機關的協調揭露機制。
通用準則（CC）	Common Criteria，ISO/IEC 15408，用於ICT產品安全評估的國際標準，為EUCC驗證方案的技術基礎。

（未完，見續篇）

五代時〈遼太宗立石敬瑭為大晉皇帝冊〉之聯想（五之三）

 （續前篇）

CC BY-SA 4。0。

內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。

民族身份與文化整合問題

歐陽修強調正統與禮義，對石敬瑭所代表的「中原王朝與契丹共治」模式持強烈批判；司馬光也對其「稱臣」「奉父禮」非常不齒。這反映了中原漢文化對北方民族政權介入的不信任與抵觸。

從大歷史看，石敬瑭的統治啟動了一條「中原與草原互動但不平等」的路徑。雖然之後有融合與協作，但初期由臣屬關係構成的權力結構，為中原政權帶來長期風險。 

歷史教訓與現代意義

現代史家可以把石敬瑭當作一個「權宜之計型統治者」的典範：在極度混亂的時代，他選擇與強鄰結盟，以換取短期生存與政治地位。

但他的策略也揭示了統治合法性（正統）、文化身份、地緣安全三者間的張力。這對現代歷史理解，具有警示意義：民族國家或中央政權若因短期利益與強權妥協，可能換來戰略依賴與長期統治傷害。 

3)綜合定論（大歷史觀）

石敬瑭是五代時期典型的「妥協型權力玩家」：他既有建國野心，也有現實的危機意識，在政治動盪中採用臣附策略。

他的統治帶來短期穩定，但為中原王朝的長遠安全與正統性留下隱憂：割地與稱臣使中原失去重要邊疆，也動搖了中原統治的獨立性。

文化與民族身份認同危機：石敬瑭代表了一種「中原王朝與北方民族共治但不平等」的模式，這種模式雖然解決了當下軍事、政治問題，但在文化與正統角度，容易被中原士大夫視為不義、不恥。

歷史教訓：從現代看，石敬瑭的做法提醒我們：當中央政權面臨存亡掙扎時，採取與強權妥協的策略雖可一時保命，但其正統性、民族自主性以及未來的制度風險不可忽視。 

清．王夫之《讀通鑒論·卷二十九·五代上》（參見中華書局1975年點校本）：

「石敬瑭起太原，以中國之主，稱臣稱子於契丹，割燕雲以貽百年之患……人面獸心，不足齒於人類矣！」

「邦昌之僭，雖無狀，猶有所迫；敬瑭則自鬻其國以求立，其惡浮於邦昌萬萬也。」

「敬瑭之罪，上通於天，雖使五刑俱加，不足蔽其辜也。」(見圖3)

以下分別以歷史學、軍事史學、政治學、經濟學的角度，從正反兩面評論王夫之的論點，

一）歷史學視角

正面意見（傳統史學主流）

王夫之的判斷在宋代已成共識（歐陽修、司馬光），明清兩朝更強化為官方敘事。燕雲十六州喪失確實導致華北無險可守，北宋、明兩朝均付出極大代價（靖康之恥、土木堡之變）。從長時段看，936–1912年的近千年裡，中原漢人政權僅有明初洪武至永樂六十八年真正收復幽雲，其餘時間皆由內亞政權掌控北京地區。王夫之「貽百年之患」並非誇張，而是準確的千年之患。

反面意見（修正主義與內亞史觀）

石敬瑭並非歷史的「原罪起點」。唐末以來，河西、隴右、燕雲早已先後淪陷，安祿山、朱溫、耶律阿保機的擴張早已瓦解唐代邊防制度。石敬瑭只是「最後一塊多米諾骨牌」，而非第一塊。契丹崛起是10世紀歐亞草原普遍「軍事遊牧復興」（與馬札爾、維京人、諾曼人同時）的東亞版本，燕雲遲早會落入內亞政權之手。將全部責任歸於石敬瑭一人，屬典型的「個人道德史觀」而非結構史觀。

在民族國家敘事仍強大的今天，王夫之的國恥論仍有巨大共鳴；但在全球史與內亞史架構下，其單線因果論已顯得單一簡略化。

二）軍事史學視角

正面意見

燕雲十六州是華北平原的「天然城牆+養馬場」。失去後：

宋軍永遠無法建立戰略縱深（最遠只能守到雄州、瓦橋關）；

草原鐵騎從北京出發，七日可達黃河，五日可抵汴京（金軍1127年、蒙古1259年、滿洲1644年皆如此）。

自公元936年11月柳林登基那一刻起，中國歷史真正結束了「古典中華帝國時代」（前221–936），進入「內亞–中原共治時代」（936–1860）。王夫之說的「百年之患」在軍事上精確：從936到1860年（英法聯軍經北京入天津），所有外敵入主中原的路線幾乎完全重疊。依時序排列：

936年：燕雲永失，華北無險

1005年：澶淵之盟，中原正式納貢

1127年：靖康之恥，宋室南渡

1234年：蒙古滅金，華北再無漢人政權

1279年：崖山之後，無中國

1644年：滿洲入關，沿著同樣的燕雲走廊

1860年：英法聯軍從天津登陸，路線依然相同

九個半世紀，北京作為「敵國首都」統治中原的時間（遼南京→金中都→元大都→清北京），遠遠超過作為漢人政權首都的時間（後晉、後周、北宋、明）。 

反面意見

火器時代後，燕雲的戰略價值已大幅下降。

明代火炮與城牆系統一度抵消地形劣勢（北京城牆在16世紀仍是世界最強）；

清朝入關後，北京反而成為防禦蒙古與俄羅斯的理想首都；

20世紀後，坦克、鐵路、飛機使山地屏障徹底失效。

今日若有戰爭，燕雲十六州早已不是決定性因素。

在冷兵器與熱兵器早期仍極具說服力，但進入現代戰爭後已部分過時。 

三）政治學視角

正面意見

石敬瑭開了「以主權換個人權位」的極端惡例，摧毀了中華帝國「天子守國門」的核心政治倫理。後世所有賣國行徑（秦檜、吳三桂、汪精衛）幾乎都可追溯到這一「原初模板」。王夫之將其與張邦昌比較，精準指出：張邦昌是被脅迫的傀儡，石敬瑭卻是主動「自鬻其國」，在政治道德上確實更惡劣。

反面意見

從比較政治學看，石敬瑭的行為在歐亞大陸及內亞區域皆為常見現象：

l   保加利亞可汗借拜占庭冊封稱「凱撒」：拜占庭皇帝 Justinian II 為恢復皇位，借助保加利亞可汗 Tervel 的軍事支持，於 705 年冊封其為“kaisár / Caesar”並賜予領地（扎戈拉 Zagore）作為回報；

l   基輔羅斯大公向蒙古汗廷稱臣納貢：蒙古帝國或其西部金帳汗國（Golden Horde）於 1237-1240 年侵入基輔羅斯地區，之後多數諸侯被迫向蒙古汗廷稱臣、納貢。雖不一定精確使用「稱臣」一詞，但確屬「蒙古霸權下的貢賦／臣服」形式；

l   阿富汗部落領袖向波斯、英國、蘇聯個別臣服：阿富汗作為英國與俄羅斯（後蘇聯）在中亞角力的緩衝地帶，的確存在部落酋長或地方勢力在英國、波斯（伊朗）及俄／蘇聯影響下做出局部臣屬或協定的情況。現有資料指出阿富汗部落與邦國體制複雜，各部落酋長因地制宜對策，向征服者臣服，所在多有。

這是弱者生存策略，而非石敬瑭獨創的罪惡。真正例外的是中華帝國長期維持的「天皇皇」意識形態，石敬瑭只是打破了這一例外。

在主權國家時代，「賣國求榮」仍是最大政治原罪，王夫之的道德譴責仍有普世價值。 

四）經濟學視角

正面意見

割讓燕雲導致北宋財政長期出血：

澶淵之盟歲幣（銀10萬兩、絹20萬匹）→景德後增至銀20萬兩、絹30萬匹；

加上榷場貿易逆差，相當於北宋財政收入的10–15%長期外流；

王安石變法失敗、方臘起義、靖康亡國，都與此財政黑洞有關。

王夫之雖未明言，但「百年之患」在經濟上也成立。

反面意見

從長期經濟史看，燕雲割讓反而刺激了宋朝及元朝與東南亞海上貿易的爆發式增長：

l   宋朝國民總生產毛額（GDP）居世界前沿（Broadberry模型）；

ü   北宋時期經濟頂峰：根據 Broadberry 等人的估算，北宋（特別是 10–12 世紀）的人均 GDP 是非常高的。他們的模型顯示，在那個時期，中國在全球經濟中佔有非常重要地位。

ü   世界佔比與大分流 (Great Divergence)：Broadberry、管漢暉與李道葵認為，中國在北宋時期在人均經濟水準上處於世界領先，但隨著時間推移（到 1300 年左右），中國逐漸落後於某些歐洲最富地區。從 13 世紀起開始出現與歐洲最富地區的差距。這意味著「大分流」（西方與中國（或亞洲）差距）在某種程度早於工業革命就已開始。

l   泉州、廣州取代開封成為世界最大港口；（見圖市舶司）

ü   北宋至南宋時期，泉州設立「市舶司」（shibosi），管理海上貿易。根據史料與考古證據，泉州在宋代是對外貿易的重要樞紐。

ü   歷史與考古研究 (如中-葡、東南亞等)表明，宋代海上貿易非常活躍。根據中國歷史文化中心的研究，10 至 13 世紀海運貿易格局形成了「貿易世界」，東南亞、印度洋連接頻繁。

ü   泉州作為世界級港口：根據地方與國際研究，泉州在南宋到元初是非常活躍的國際商貿港口。逐漸超越廣州，與東南亞、印度洋地區港口保持貿易，且其港口管理 (市舶司) 成熟。學術上稱其為「世界最大貿易港口之一」。

ü   與同時期印度與東南亞的港口相比，泉州不一定是規模最大的 (取決於衡量標準)，但在國際貿易網路中的影響力非常強。

l   紙幣（交子、會子）、海外貿易帶來技術與資本積累，為明清江南經濟奠基。

ü   《交子》最初是由十多戶富商聯合發行，後來發展為《官方交子》。會子是南宋 (高宗時期) 正式發行的紙幣。紹興三十年 (1160) 設「行在會子務」，戶部主辦。

ü   南宋的會子已經是一種「完全信用貨幣」，部分版本不需要金屬準備金完全由國家信用背書。但在其流通過程中也出現貶值。

ü   紙幣 (交子 + 會子) 成為國家財政與商業制度的重要工具，它減輕金屬貨幣運輸成本、提高交易效率，對資本流通與累積非常有利。

ü   海上貿易 (海絲) 的繁榮使大規模手工業 (尤以瓷器) 能夠出口海外，從而將價值轉化為外匯 (實際上是銅錢、貴重商品) 或貿易盈餘資本。

ü   這些資本的一部分可能被再投資於地方 (江南) 的工業基礎、土地、商業網絡等，對後來明清江南經濟 (尤其是商業與手工業) 的積累有潛在推動作用。

l   失去北方牧場，反而迫使中國經濟重心永久南移，造就了近世東亞最富裕的地區——長江三角洲。

ü   石敬瑭割讓北方的燕雲十六州確實造成中原政權在北方戰略和安全上的弱化，這可能長期影響北方資源 (尤其地理和勞動力) 的安全與穩定。但不一定直接是經濟重心南移的唯一或主要驅動力。

ü   江南地區 (長江中下游) 的水網、肥沃土地、氣候適合稻作，是經濟重心南移的重要自然基礎。這並非單靠割地就可創造，而是持續人力移動與土地資源利用的結果。

ü   五代十國、北宋、南宋期間，由於戰亂和民族衝突，北方不少人口遷移至南方。南方十國未受到北方連年戰爭的波及，經濟民生相對穩定，配合新遷移人口攜帶北方工藝、技術與文化，加速南方 (特別是長江地區) 的經濟發展。

l   經濟全球化時代，地緣經濟的重要性已遠超傳統戰略要塞。

小結

王夫之的激烈言辭在情感與政治道德層面仍然震撼人心，尤其在民族主義仍強烈的地區；但在全球史、內亞史、現代軍事與經濟學的架構下，有其因必有其果的論點過於平鋪直敘、歷史演變後果的多重責任僅僅歸咎於個人抉擇與反應式陳述。真正的歷史教訓不是「石敬瑭萬惡」，而是當農耕文明的軍事-財政制度無法抵禦遊牧軍事革命時，主權與領土的讓步幾乎不可避免，此點在當前地緣政治中，依然值得每一個大國深思。

（見續篇）