歐盟網路資訊安全條例初探（七之四）

（續前篇）

EU Regulation 2019/881 (Cybersecurity Act)

適合讀者：大學以上程度｜法規、資訊、資安、工程、產業界從業人員 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢歐盟專業法律顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱ENISA官方網站和EUR-Lex資料庫。 CC BY-NC-ND。非供AI模型訓練。

九、相關EU法規的連動影響

9.1 GDPR（Regulation 2016/679）

GDPR專注於個人資料保護 (Data Privacy)，其第25條（隱私設計與預設）及第32條（資料處理安全性）要求資料控制者與處理者採取適當技術措施，有鑑於資訊安全與資料洩漏往往源於技術漏洞，取得ECCF驗證雖非GDPR的明文要求，但實務上可採取如下應對措施：

●     （如雲端服務獲得）ECCF驗證可作為GDPR第32條「適當技術措施」的有力佐證（Safe Harbour-like effect），但尚非自動等同於 GDPR 符合性。

●     採用取得 CSA 驗證的 ICT 產品或雲端服務 (EUCS)，可作為企業向資料保護主管機關證明其已履行 GDPR「預設與設計隱私 (Privacy by Design)」義務的有力證據，從而減輕舉證責任。

●     EDPB（歐洲資料保護委員會）建議將ICT服務驗證納入資料保護影響評鑑（DPIA）考量。若驗證方案涉及個人資料處理，須確保與 GDPR 原則一致。歐盟數據保護委員會 (EDPB) 與 ENISA 需協調標準及處理途徑。

●     GDPR第42-43條的隱私驗證機制與ECCF相互補充，共同建構信任基礎設施。 

9.2 NIS 2指令（Directive 2022/2555）

NIS 2規範關鍵基礎設施運營者之安全義務，是2019/881最緊密的配套法律，兩者形成「縱向（產品）×橫向（組織）」的法規雙軸監管架構：

面向	說明
NIS 2的組織義務	要求「關鍵實體（Essential）」和「重要實體（Important）」(如能源、交通、金融、健康、數位基礎設施) 採取安全措施，包括使用具備 CSA 驗證符合安全要求的ICT產品與服務。
ECCF的支援作用	NIS 2第24條明確允許成員國鼓勵使用ECCF驗證產品，作為組織符合性的技術基礎，例如，關鍵基礎設施營運者採購 ICT設備時，可優先選擇通過 2019/881 高級驗證之產品，以簡化盡職調查 (Due Diligence)。
資安事件通報	NIS 2要求24小時初步通報，ENISA CSIRT網路提供協調支援
供應鏈安全	兩者均要求評估ICT供應鏈安全，形成疊加效果
罰款機制	NIS 2罰款最高達1,000萬歐元或全球年營業額2%，補足2019/881缺乏直接罰款機制的不足

9.3 EU AI Act（Regulation 2024/1689）

EU AI Act於2024年8月正式生效，其中對「高風險AI系統」（如醫療輔助、招募系統、自動駕駛）類別的安全要求與ECCF高度互補：

●     AI Act第15條要求高風險AI系統具備「適當的網路資訊安全水準」，及高度的網路資訊安全韌性，以防止「資料下毒 (Data Poisoning)」或「對抗性攻擊」。採用CSA調和標準及ECCF「高」等級驗證，可視為符合性路徑的最佳選擇；預期未來將高度依賴 CSA架構下的特定 AI 資安驗證計畫。

●     AI Act第43條的符合性評鑑要求與ECCF的CAB體制可整合，避免重複評鑑

●     ENISA被指定協助製定AI系統的網路資訊安全指引，橋接兩大法規

●     正在開發的ISO/TS 6268（AI供應鏈安全）標準，預計成為整合AI Act與ECCF的技術橋梁 

9.4 網路韌性法（Cyber Resilience Act, CRA 2024/2847）

歐盟委員會於2022年提出CRA，2024年底完成立法程序。CRA針對含數位元素的產品（Products with Digital Elements，PDE）設定強制性安全要求，與ECCF的關係如下：

●     CRA要求所有連網產品必須滿足基本安全要求（安全預設值、漏洞處理、安全更新等）

●     CRA與ECCF的EUCC方案在技術要求上重疊，形成整合壓力

●     歐盟委員會傾向以「CRA符合性+ECCF驗證」作為雙軌機制：CRA設底線，ECCF提供差異化驗證

9.5 無線電設備指令 (RED, 2014/53/EU)

無線電設備指尤RED 第 3.3 條：授權委員會制定委託法案，要求無線電設備具備網路安全保護。2019/881 之驗證機制可被引用為符合 RED 安全要求之途徑。

9.6 EU 2018/1139（民用航空安全）排除說明

Regulation (EU) 2018/1139（歐盟航空安全基該CSA條例）建立了EASA（歐洲航空安全局）的監管架構，涵蓋航空器、引擎、設備及無人機系統（UAS）。其與2019/881的關係：

航空ICT系統的特別規定

EASA負責民航ICT系統的安全驗證，適用CS-ACSS（機載計算機系統驗證規範）等特定標準

2019/881第2條明確將「依2018/1139受監管的產品、服務及流程」排除於ECCF之外

但EASA與ENISA已簽署合作協議（MoU），在威脅情資共享及標準制定上協同

無人機C類產品（C2-C6）依2019/945的網路資訊安全要求，優先適用EASA架構而非ECCF

然而，無人機地面站系統及UAS交通管理（UTM）的ICT元件，驗證管轄權仍有爭議

十、實施規則與時程表

10.1 主要時程里程碑

時間節點	里程碑事件
2019年6月27日	Regulation (EU) 2019/881正式生效
2021年6月28日	ENISA永久授權全面運作（臨時授權到期）； 需定期發布歐盟網路安全現況報告 (State of Cybersecurity in the EU)
2021年10月	ENISA發布首批驗證方案候選清單（Rolling Work Programme）
2022年	NIS 2正式生效，形成法規協同架構
2023年7月	EUCC（ICT產品驗證方案）草案最終諮詢版本
2024年2月	EUCC Implementing Regulation正式採用（Commission Implementing Regulation (EU) 2024/482）
2024年8月	EU AI Act正式生效，ENISA開始協調AI安全指引
2025年1月	EUCC驗證正式受理申請（預計）
2025-2026年	EUCS雲端驗證方案預計完成（持續受政治協商影響）
2026年起	針對 IoT、AI、雲端等特定驗證方案逐步生效（依各領域別實施法規）
2027年	EU AI Act高風險AI系統義務全面生效，ECCF整合需求急迫
2030年後	量子抗性密碼（PQC）相關驗證方案預計建立； 市場滲透率達到高峰，未驗證產品在公共採購中可能遭到邊緣化

10.2 歐盟立法指引文件

ENISA及歐盟委員會發布多份非約束性指引文件，協助產業理解並準備驗證：

●     ENISA Cybersecurity Certification Framework Overview（2021年）

●     EUCC Certification Scheme Detailed Document（ENISA, 2021年更新版）

●     ENISA Cloud Cybersecurity Market Analysis（EUCS相關）

●     欧盟委員會ECCF常見問答（FAQ）（DG CNECT發布）

●     各成員國主管機關發布的國家執行指引（如BSI德國、ANSSI法國）

十一、市場規模、就業人數估算（至2031年）

11.1 歐盟網路資訊安全市場整體規模

根據ENISA、歐盟委員會及Gartner等機構的估算，歐洲網路資訊安全市場規模預測如下：

年份	估算市場規模	備注
2022年	約230億歐元	基準年，佔全球約22%
2023年	約 300 億歐元	初期導入
2024年	約350億歐元	年複合增長率（CAGR）約12-14%
2027年	約470億歐元	NIS 2強制符合性帶動需求
2031年	約750-850億歐元	CRA、AI Act、ECCF符合性蔚成風潮，測試實驗室的業務量將激增，驅動高速增長趨勢

11.2 ECCF驗證相關市場

●     符合性評鑑機構（CAB）市場：預計2031年達25-30億歐元，歐洲現有BSI（英）、TÜV SÜD（德）、SGS（瑞士）、BV（法）等主要機構積極擴張

●     驗證顧問服務市場：協助企業準備驗證的顧問市場預計2031年達8-12億歐元

●     驗證測試工具與平台：自動化測試工具軟體市場預計2031年達5-8億歐元 

11.3 就業人數估算

類別	估算資料
網路資訊安全整體就業（歐盟）	2023年約67萬人，2031年預計超過100萬人，職缺缺口估計達35~50萬人
ECCF專業人員需求	評估人員（Evaluator）、驗證稽核員（Certification Auditor）、安全分析師（Security Analyst）測試工程師、隱私工程師，需求至2031年增加約5-8萬人
合規架構師 / 顧問	具備 ISO/IEC 27001 Lead Auditor, CISA (國際電腦稽核員) 資格，熟悉歐盟法規矩陣，現約2,000-3,000人，預計需增至8,000-12,000人
CAB評鑑人員	具備CC評鑑能力的人員（ITSEF評鑑員）現約2,000-3,000人，預計需增至8,000-10,000人
政府主管機關人員	各成員國主管機關需增加網路資訊安全驗證監督專員，估計新增1,500-2,500人
企業ICT安全符合性人員	受NIS 2+ECCF雙重驅動，企業內部符合性崗位需求增長估計20-30%/年
滲透測試員 / 漏洞研究員	針對「High」級別測試，需要具備 OSCP, CEH, 或 GIAC 認證的紅隊專家。部份狀況係調派資安人員對應

圖11-1：雙軸增長趨勢：
- 柱狀圖：認證市場產值從 2024 年 0.5 億歐元增長至 2031 年 2.5 億歐元
- 折線圖：專業人才需求從 100k 增長至 400k
關鍵洞察：
- 年複合增長率 (CAGR) 約 25%
- 人才缺口持續擴大，培訓需求迫切

十二、人員資格與經驗要求

12.1 CAB評鑑人員資格

ISO/IEC 17065及EUCC方案對參與驗證評鑑的人員有明確資格要求：

要求類別	具體規定
學歷要求	資訊安全、計算機科學、電子工程或相關領域學士以上學位（或同等實務經驗）
驗證資格（推薦）	CISSP（ISC²）、CISM（ISACA）、CEH（EC-Council）、GIAC系列（GPEN、GWAPT等），CC評鑑員須完成特定ITSEF訓練課程
實務經驗	基本等級：至少3年；顯著等級：5年；高等級：8年，且須有滲透測試實務記錄
特定技術能力	高等級評鑑需具備AVA_VAN.5（高度抵抗力分析）能力，需取得特定訓練認可
持續教育（CPD）	每年至少40小時的持續專業發展，維持驗證有效性
倫理規範	必須簽署保密協議與利益衝突聲明

12.2 企業內部符合性人員資格

●     CISO（資訊安全長）：建議具備CISSP或CISM，10年以上產業經驗

●     隱私官（DPO）：兼顧GDPR與ECCF符合性，建議具備CIPP/E（IAPP）

●     供應鏈安全專員：理解SBOM工具（Syft、CycloneDX等）及供應鏈風險管理架構

●     驗證協調員（Certification Coordinator）：熟悉CC架構、方案文件，具備技術文件撰寫能力 

12.3 訓練生態系統

訓練提供者	說明
ENISA訓練課程	ENISA提供線上與現場訓練課程，涵蓋ECCF架構、驗證方案解讀、CSIRT運作等
CC Training（官方）	由CCRA（通用準則認可協議）成員機構提供的CC評鑑員訓練
大學學程	德國達姆施塔特工業大學、比利時KU Leuven等歐洲頂尖大學的網路資訊安全學程
產業訓練	SANS Institute、Offensive Security（OSCP）、EC-Council等的實戰訓練

（未完，見續篇）