歐盟網路資訊安全條例初探（七之六）

（續前篇）

EU Regulation 2019/881 (Cybersecurity Act)

適合讀者：大學以上程度｜法規、資訊、資安、工程、產業界從業人員 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢歐盟專業法律顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱ENISA官方網站和EUR-Lex資料庫。 CC BY-SA 4。0。

十六、真實法律案例研究

案例一：Solar Winds供應鏈攻擊（2020年）與歐盟的政策回應

2020年12月揭露的SolarWinds Orion軟體供應鏈攻擊，被植入惡意更新的軟體波及美國政府多個部門及歐盟機構（包括歐洲藥品管理局EMA被波及）。此案直接催化歐盟加速推動以下措施：

●     ENISA發布《ICT供應鏈安全指引》（2021年），為ECCF供應鏈評估要求奠基

●     歐盟委員會加速NIS 2立法，強制要求供應鏈安全評估

●     SBOM（軟體物料清單）要求被納入CRA草案核心要素

●     歐盟理事會就「對歐盟機構構成威脅的供應鏈攻擊」通過結論，強調ECCF驗證的重要性 

案例二：德國AV-TEST事件——驗證範圍爭議

德國知名安全測試機構AV-TEST於2022年發現，市場上數款已取得德國BSI IT-Grundschutz驗證的企業路由器存在嚴重未修補漏洞。此案引發：

●     德國主管機關（BSI）與製造商之間關於「驗證後安全更新義務」的法律爭議

●     BSI首次援引保障條款要求製造商在45天內提供更新，否則撤銷認可

●     此案成為ECCF在設計「持續監控」和「漏洞後更新義務」條款的重要參考 

案例三：歐盟機構網路資訊安全局（CERT-EU）事件

2023年，CERT-EU（歐盟機構網路資訊安全應急小組）通報多個已被攻擊的歐盟機構使用的ICT軟體含有嚴重漏洞，且部分廠商在通報後超過180天仍未提供修補程式。此案推動：

●     歐洲議會正式呼籲加速ECCF「高等級」驗證對政府ICT採購的強制適用

●     ENISA更新CVD指引，將「180天修補承諾」明確納入驗證方案草案要求 

案例四：EUCS延宕的地緣政治案例

EUCS雲端驗證方案的起草過程中，因美國雲端服務提供商（AWS、Microsoft Azure、Google Cloud）被要求將歐洲資料儲存完全隔離於美國司法管轄之外，造成：

●     法國、德國力推「主權雲（Sovereign Cloud）」要求，而荷蘭、愛爾蘭擔心阻礙數位競爭力而反對

●     ENISA多次修訂草案，截至2024年底仍未最終採用，成為ECCF進度最滯後的方案

●     此案揭示：技術標準制定常被地緣政治與產業利益高度政治化

十七、尚待改進事項與改進建議

17.1 待改進事項

l  驗證計畫推出過慢： 自 2019 年通過以來，EUCC 直到 2024 年才正式確立，EUCS (雲端) 因涉及「資料主權」(是否允許非歐盟企業控制資料) 的政治爭議而延宕，導致產業界無所適從。

l  中小企業支援不足： 宜提供對 SMEs 的財務補貼或簡化版驗證流程，避免扼殺歐洲本土新創的競爭力。

l  硬體與軟體生命週期的脫節： 軟體更新頻繁，現有驗證體系偏向傳統硬體思維。亟需引入更靈活的「持續性合規 (Continuous Compliance)」機制。

17.2法規面改進

●     強化直接罰款機制：2019/881應修訂加入直接罰款條款，避免各國執法落差，建議最低限額為全球年營業額1%

●     加快強制驗證範圍擴大：對電力、水資源、金融等關鍵基礎設施ICT產品應加快強制驗證時程

●     動態驗證機制（Living Certificate）：針對頻繁更新的軟體，引入持續監控替代重新驗證，降低軟體廠商負擔 

17.3 技術面改進

●     自動化評鑑工具標準化：ENISA應推動EU統一的自動化安全測試工具套件，降低評鑑成本

●     SBOM強制要求：在「顯著」及「高」等級驗證中強制要求SBOM提交和更新

●     量子安全路線圖：儘早發布後量子密碼（PQC）遷移的驗證要求路線圖 

17.4 市場面改進

●     SME支援計畫：設立EU層級的SME驗證補貼基金，降低中小企業取證障礙

●     CAB產能擴張：與成員國合作，加速培訓和認可更多具備高等級評鑑能力的CAB

●     全球互認協議：積極與美國（NIST CSF）、日本（NISC）、英國（NCSC）推動驗證互認，降低跨市場重複評鑑成本 

十八、國際比較分析

18.1 與美國架構的比較

比較面向	EU vs 美國
法規哲學	EU：以立法為主導，強制統合型架構與驗證分級。以預防和合規為導向，影響力涵蓋軟硬體與雲端 美國：以市場為主導，自願架構（NIST CSF 2.0）為核心，拜登政府EO 14028引入部分強制要求（聯邦採購，如FedRAMP, 國防部 CMMC），但對消費市場主要依賴 FTC (聯邦貿易委員會) 的事後懲罰機制（如對不安全產品的訴訟）
驗證機制	EU：ECCF統一驗證，三級等級。 美國：FedRAMP（政府雲端強制）、UL Cybersecurity Assurance Program（CAP，民間自願）、CMMC（國防供應鏈強制）
執法單位	EU：各成員國NCCA + ENISA協調。 美國：CISA、FTC、DoD（依領域）
SME影響	EU：驗證成本對SME衝擊較大。 美國：NIST CSF提供免費架構，SME負擔相對較輕但缺乏統一驗證
量子安全	EU：ENISA 2023年後量子密碼建議，尚未納入驗證要求。 美國：NIST已發布PQC標準（FIPS 203/204/205），FedRAMP正制定遷移要求

18.2 與瑞士的比較

瑞士依《資訊安全法》（ISG, 2022年生效）建立國家資安架構，其特點：

●     BABS（聯邦民防局）下的NCSC（國家網路資訊安全中心）為主管機關，但職能遠小於ENISA

●     瑞士非EU成員，ECCF驗證在瑞士不自動有效，但瑞士正洽商與ECCF的相互認可協議，預期可在實質上接受並互認歐盟的標準，以確保雙邊貿易暢通

●     金融業依FINMA強制安全要求，嚴格程度接近EU「高」等級 

18.3 與日本的比較

比較面向	EU vs 日本
法規基礎	日本：《網路資訊安全基本法》（2014年）、《重要基礎設施網路資訊安全行動計畫》（第5版，2022年）。主管機關NISC（內閣網路資訊安全策略本部）
驗證機制	日本：CC驗證（JISEC，與CCRA互認）、政府資安管理驗證（GSMS）。與EU的EUCC架構技術上接軌，但各自獨立 著重於公私協力與物聯網硬體安全。由 NISC 與 METI 推動，實施針對 IoT 設備的「NOTICE」計畫（主動掃描不安全設備）以及推廣 CC 驗證
政府採購	日本政府採購要求ICT產品具備JISEC驗證，與EU EUCC平行，存在互認機會
主要差距	日本缺乏類似ENISA的統合協調機構，各省廳分散監管，整合性不足

18.4 與英國的比較

英國脫歐後不再適用EU法規，建立獨立架構：

●     NCSC（國家網路資訊安全中心）為核心機構，Cyber Essentials為基本驗證（類似EU基本等級）

●     英國宣布不採納ECCF，但表示將在技術層面維持相容性

●     英國與EU的《溫莎架構》未涵蓋ICT驗證互認，形成市場障礙

●     英國產業呼籲建立ECCF-NCSC雙邊互認，預計2025-2026年談判

●     實施 PSTI Act (產品安全與電信基礎設施法)，強制要求消費性 IoT 設備禁止使用預設密碼、需公布漏洞揭露政策與更新支援期限。規定具體且具強制性。 

18.5 與中國的比較

比較面向	EU vs 中國
法規架構	中國：《網路資訊安全法》（2017年）、《資料安全法》（2021年）、《個人資訊保護法》（2021年）、《關鍵信息基礎設施安全保護條例》；以國家安全主導資安進程、嚴格的資料在地化 (Data Localization)，以及要求外國企業提供源代碼供國家機構審查。與歐盟的透明與市場導向截然不同。
驗證機制	中國：MLPS（等級保護制度）2.0版本，分1-5級。與EU三級結構類似，但強調「資料本地化」和「安全審查」
主管機關	中國：國家網信辦（CAC）、公安部。與EU相比，執法更加集中且有更強的資料主權要求
市場准入差異	中國要求ICT安全產品另行取得CFCA（密碼驗證）等驗證，形成獨立的市場壁壘，EU廠商進入中國市場面臨重大符合性挑戰
政治因素	中美歐三方在ICT安全標準上的地緣政治博弈激烈，技術標準已成策略工具

（未完，見續篇）

荷蘭克隆勒-繆勒博物館（Kröller-Müller Museum）概述

該博物館位於荷蘭奧特洛（Otterlo）的霍赫維盧韋國家公園（Nationaal Park De Hoge Veluwe）內，是一座國家藝術博物館兼雕塑花園，以其豐富的現代藝術收藏聞名於世，特別是擁有僅次於阿姆斯特丹梵谷博物館的第二大梵谷作品集。該館由熱愛藝術的海倫娜·克隆勒-繆勒（Helene Kröller-Müller）創立，她在顧問H.P. 布雷默（H.P. Bremmer）的指導下，從1908年起開始收藏藝術品，成為歐洲最早的現代藝術收藏家之一。博物館不僅保存了海倫娜及其丈夫安東·克隆勒（Anton Kröller）的私人收藏，還體現了藝術與自然的融合，吸引每年數十萬訪客。

CC BY-SA 4。0。
內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。

歷史闡釋與發展

克隆勒-繆勒博物館的歷史源於19世紀末赫勒內·克隆勒-繆勒的藝術熱情。她出生於富裕家庭，1908年在布雷默的影響下購得第一幅梵谷作品，從此熱衷於現代藝術收藏，涵蓋梵谷、蒙德里安（Piet Mondrian）、修拉（Georges-Pierre Seurat）、雷東（Odilon Redon）、布拉克（Georges Braque）、高更（Paul Gauguin）等藝術家。1921年，她委託佛蘭德斯建築師亨利·凡·德·維爾德（Henry van de Velde）在自家莊園設計博物館建築，該莊園後來成為霍赫維盧韋國家公園的一部分。1935年，赫勒內將整個收藏捐贈給荷蘭國家，以避免因經濟危機而散失。1938年7月13日，博物館正式對公眾開放，成為歐洲最早的現代藝術博物館之一。 第二次世界大戰期間，博物館用作儲藏室，包括納粹掠奪來的藝術品，戰後繼續擴張收藏範圍。1961年增設雕塑花園，1977年由建築師維姆·奎斯特（Wim Quist）設計的新展覽廳落成，擴大藝術展覽空間。

自成立以來，博物館持續發展收藏事項及範圍，現擁有約230幅梵谷畫作，包括著名作品如《夜間露天咖啡座》（Café Terrace at Night）和《悲傷的老人》（Sorrowing Old Man）。

日本東京台東區上野之森美術館將舉辦「偉大的梵谷展」，以兩階段(2026, 2027)在日本各地巡迴展出，紀念神戶阪神淡路大地震 30 週年和福島東日本大地震 15 週年。特別商借從該博物館兩件鎮館之寶展出：

《夜間露天咖啡座》是一幅描繪法國南部城市阿爾勒廣場咖啡館露台的傑作。黃昏與咖啡館燈光的鮮明對比，平淡的色彩和剛勁的筆觸令人驚嘆。

《阿爾勒吊橋》與《夜間露台咖啡館》一樣，這是梵谷最偉大的傑作之一。它被視為荷蘭國寶，在國外出借極為罕見，這是約 70 年來首次在日本向公眾展示。天空和海水的藍色引人注目，展現梵谷高超的繪畫功底與筆觸技巧。

展覽館外側係雕塑花園，佔地逾75英畝，展示羅丹（Auguste Rodin）、摩爾（Henry Moore）、杜布菲（Jean Dubuffet）等藝術家的現代雕塑，融合建築與自然景觀，體現赫勒內的願景。 當前，博物館由本諾·坦佩爾（Benno Tempel）擔任館長（自2024年起），2023年訪客人數達28萬2千多名，雖受新冠疫情影響，尚未恢復至2019年的40萬高峰，但仍是荷蘭第12大熱門博物館。 近年來，館方注重數位化與公眾教育推廣活動，持續擴充當代藝術收藏，並與國家公園合作，強化生態與文化體驗。

國家公園的特點

霍赫維盧韋國家公園佔地約5,400公頃，是荷蘭最大的連續型自然保護區，擁有多元景觀，包括廣闊森林、荒野沙丘、沼澤濕地與石楠荒原，這些地形孕育豐富的動植物多樣性，提供遊客親近自然的機會。 公園強調野生動物觀察與生態保護，設有多處觀鳥小屋與野生動物觀察點，如Zwarte Veld（適合觀察野豬與紅鹿）和Schuilkelder（觀察鹿類），遊客可免費租借白色自行車探索。

動物特點

公園以「四大野生動物」（Big Four）聞名：紅鹿（Red Deer，約160頭，雄性稱stag，冬季群居）；花鹿（Roe Deer，敏捷的小型鹿）；野豬（Wild Boar，常在林邊活動）；穆弗隆羊（Mouflon，一種源自科西嘉的野生羊）。 其他動物包括沼蛙（Moor Frog，綠色變種）、草蛇（Grass Snake），以及稀有鳥類如輪石鶇（Wheatear）、翹鼻鵎鵼（Wryneck），蝴蝶如阿爾康藍蝶（Alcon Blue）和珍貴的鳳蝶（Fritillary）。許多物種列於紅色名錄（Red List），反映公園的保育價值。

植物特點

公園植物多樣，石楠荒原盛產矮毒草（Dwarf Viper's-grass）等稀有花卉，森林涵蓋橡樹、松樹與蕨類，沙丘地區有耐旱草本與苔蘚。濕地支持水生植物如蘆葦與浮萍，整體生態系統維持生物多樣性，季節變化帶來不同景觀，如秋季紅葉與春季野花。

觀光景點的特點

霍赫維盧韋國家公園與克隆勒-繆勒博物館相輔相成，提供文化與自然雙重體驗。主要景點包括：

- 克隆勒-繆勒博物館：核心藝術殿堂，展出現代繪畫與雕塑。

- 雕塑花園：歐洲最大之一，藝術品散布林間小徑，適合散步觀賞。

- 聖胡貝圖斯狩獵小屋（Jachthuis Sint Hubertus）：凡·德·維爾德設計的藝術裝飾風格建築，現為博物館，俯瞰公園景觀。

- 自行車與步道：免費白色自行車租借，超過40公里專用車道；健行徑穿越沙丘與森林。

- 野生動物觀察點：多處隱蔽小屋，適合靜觀鹿群與鳥類。

年度活動如導覽團與生態工作坊，增添互動樂趣，公園全年開放，冬季適合雪景觀賞。

(全文竟)

歐盟網路資訊安全條例初探（七之五）

（續前篇）

EU Regulation 2019/881 (Cybersecurity Act)

適合讀者：大學以上程度｜法規、資訊、資安、工程、產業界從業人員 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。法規內容可能隨時間修訂，具體符合決策宜諮詢歐盟專業法律顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算，實際數值可能隨時變動。參考法規資訊截至2026年3月，後續修訂請查閱ENISA官方網站和EUR-Lex資料庫。 CC BY-SA 4。0。

十三、經濟營運者的義務

13.1 義務主體分類

該CSA條例及相關驗證方案對不同角色的經濟營運者課以不同義務，主要分類如下：

營運者類型	主要義務
製造商（Manufacturer）	設計安全性（Security by Design）義務：產品開發初期即須整合安全功能。對高等級驗證，須提交完整技術文件（Technical File），包含設計文件、威脅模型、安全測試報告。 確保產品設計符合驗證方案要求 貼附驗證標誌 (Certification Mark) 若產品不符合要求，採取矯正措施 (Corrective Actions) 驗證期間發現漏洞須通報主管機關、發布更新修補程式 驗證到期前啟動更新流程
進口商（Importer）	確認製造商已完成適當的符合性評鑑， 必須核實產品是否具備歐盟驗證標章， 確保技術文件齊全， 保存驗證相關文件至少10年。 發現不符合產品時，通知製造商及主管機關。
經銷商（Distributor）	核實產品附有必要的驗證標誌或聲明。 不得供應已知不符合的產品； 儲存條件不得影響產品之符合法規狀態 若發現漏洞需立即通報並暫停銷售； 配合主管機關的市場監督行動。
服務提供商（Service Provider）	雲端等ICT服務提供商須依EUCS驗證要求，接受持續監控及定期重新評鑑。
授權代表（Authorised Representative）	非歐盟製造商在EU境內指定的法律代理人，承擔部分製造商責任，負責保存技術文件供主管機關查閱 (至少 10 年) 確保本地法規監督管理聯繫窗口暢通 協助主管機關進行市場監督

13.2 合格聲明（DoC）與標誌義務

●     基本等級：製造商可出具「EU符合性聲明（EUDoC）」，無需第三方查證

●     顯著/高等級：由CAB頒發驗證後，方可使用歐洲網路資訊安全驗證標誌

●     標誌防偽：ENISA維護公開的驗證登錄（Registry），允許公眾查證驗證真實性

圖13.1：經濟運營者與市場監督機制圖
此圖呈現 供應鏈義務流向 與 監督回流 機制：
- 義務向下流動 (Obligations flow down)：製造商 → 授權代表 → 進口商 → 分銷商 → 最終用戶
- 監督向上流動 (Surveillance flows up)：各環節均受國家主管機關、認證機構、市場監督三重監管
- 保障機制 (Safeguard Mechanism)：撤回 (Withdrawal)、召回 (Recall)、限制 (Restriction)

十四、保障機制與市場監督

14.1 市場監督架構

該CSA條例第58-61條建立市場監督機制（參見EU 2019/1020市場監督條例，另文介紹），由成員國指定的主管機關執行：

●     主動監督：主管機關可主動抽樣測試市場上的驗證ICT產品，查證持續符合性

●     被動監督：受理消費者、競爭對手或安全研究人員的投訴

●     跨境協作：各成員國主管機關通過ECCF監督網路（National Cybersecurity Certification Authority, NCCA）共享資訊 

14.2 保障條款（Safeguard Clause）

當已驗證產品被發現不再符合安全要求時，啟動保障機制（參見EU 768/2008新法規架構的第R5章《保障程序》）：

l   主管機關要求製造商在規定期限（通常30-60天）內修復漏洞；

l   製造商未能修復時，主管機關可暫停或撤銷驗證；

l   撤銷決定通知ENISA和其他成員國，防止跨境繼續銷售；

l   嚴重風險情況下（如主動被利用的漏洞），可立即暫停驗證並要求撤回或召回；

l   製造商可對決定提出行政異議或司法訴訟。 

14.3 漏洞揭露與協調機制

該CSA條例推動「協調漏洞揭露（Coordinated Vulnerability Disclosure, CVD）」成為驗證方案的標準要求：

●     製造商須建立漏洞回報接收管道（Security Response Process）

●     驗證方案要求製造商在90天內發布修補程式（patch）

●     ENISA維護歐洲漏洞資料庫（European Vulnerability Database, EUVD）補充美國NVD的功能

十五、罰則

15.1 直接罰款的缺失

Regulation (EU) 2019/881本身並未規定直接的金錢罰款機制，這是該CSA條例的重大批評點之一。罰款機制分散於各成員國立法及相關法規中：

⚖️ 罰則機制來源

① 各成員國依第65條須制定適當且有效的處罰規定，但具體金額由各國自定

② NIS 2指令：最高1,000萬歐元或全球年營業額2%（重要實體）；700萬或1.4%（重要實體）

③ GDPR：最高2,000萬歐元或全球年營業額4%（違反資安要求且關聯個資事件時可能並罰）

④ 網路韌性法（CRA，2024年）：最高1,500萬歐元或全球年營業額2.5%（不符合強制安全要求）

⑤ 市場准入拒絕：主管機關可禁止不符合產品在EU市場銷售，間接懲罰效果巨大

15.2 非金錢制裁

●     驗證撤銷（Withdrawal of Certificate）：最嚴重的直接制裁，影響市場准入

●     公開通報（Public Disclosure）：主管機關可公開違規資訊，形成聲譽損失

●     採購排除（Procurement Exclusion）：被列為不符合性的廠商可能被排除於公共採購

●     禁止銷售（ban for sale）、責令召回（Recall）：嚴重安全缺陷時，要求在市場上召回產品

（未完，見續篇）