台灣的上市櫃公司遇到資安事件，除了技術處理，還有一項證券市場的揭露義務：事件若造成公司重大損害或影響，就要發布重大訊息（重訊）。證交所與櫃買中心的重大訊息處理程序，都把「資通安全事件」明列在第4條第1項第26款[1][2]，兩邊的問答集也說明了什麼情況算「重大」[3][4]。
這篇寫給上市櫃公司的資安長、IT 主管、發言人、財務與法務人員：何時要發、多快要發、要寫什麼、事後怎麼更新，以及平時就該準備好的決策流程與範本。本站的上市櫃公司資安重訊收錄各公司公告原文，可以對照實際寫法。
法源：處理程序第4條第1項第26款
證交所《對有價證券上市公司重大訊息之查證暨公開處理程序》第4條第1項第26款規定，公司「發生災難、集體抗議、罷工、環境污染、資通安全事件或其他重大情事」，並有下列情形之一者，屬於重大訊息：造成公司重大損害或影響；經有關機關命令停工、停業、歇業，或廢止、撤銷污染相關許可證；單一事件罰鍰金額累計達新臺幣100萬元以上；或金融業上市公司遭主管機關廢止許可，或受罰鍰以外的處分[1]。
櫃買中心的處理程序在同一款次有相同結構的規定[2]；興櫃公司則適用興櫃審查準則第34條第1項第21款[4]。
- 子公司的事件：未上市（櫃）或未登錄興櫃的重要子公司發生第4條第1項各款情事時，由上市櫃公司代為輸入重大訊息。
- 資訊安全長異動：資訊安全長的人事變動本身就是重大訊息事項（第4條第1項第8款）。
什麼算「重大」：問答集的判斷方式
處理程序第3條要求上市公司建立內部重大資訊處理作業程序，包含發布重大訊息的評估程序、陳核紀錄的保存及違失處置[1]。問答集進一步要求公司依產業、規模與個案情況，訂出質化與量化的重大性標準，並留存評估過程與發布軌跡的紀錄[3]。針對第26款的資安事件，證交所問答集說明[3]：
- 評估範圍：包括但不限於財務損失、商譽或智慧財產權損害、對顧客或供應商關係的影響、競爭優勢喪失、修補漏洞與日後加強資安的成本，以及可能伴隨的訴訟調查。櫃買中心問答集另外列入主管機關的罰鍰或處分[4]。
- 直接視為重大的情形：依上述範圍估算的結果或媒體報導可能影響投資人決策；公司的重要資通系統、官方網站等遭駭客攻擊或入侵，致無法營運或正常提供服務；或致個資、大量內部文件檔案資料有外洩之虞。問答集列舉的手法包括入侵、破壞、竄改、刪除、加密、竊取與服務阻斷攻擊（DDoS）。
有兩點值得注意。第一，條件是個資或內部資料「有外洩之虞」，不必等到確認外洩。第二，櫃買中心問答集建議，若損害或影響不確定、無法評估對投資人決策的影響，為降低資訊不對稱，可以依本款發布重大訊息[4]。
時限：次一營業日開盤前，媒體先報導就是 2 小時
證交所處理程序規定的申報期限[1]：
- 一般情形：事實發生日起，次一營業日交易時間開始二小時前輸入；若在此之前已發布新聞稿，應同時輸入（第6條第1項第1款）。
- 媒體先報導：發現媒體報導第4條第1項各款情事，或報導足以影響股價、與事實不符時，應立即輸入說明，至遲不得超過發現後二小時（第6條第1項第2款）。
- 交易所詢問：營業日下午五時前接獲詢問者，至遲於通知後二小時內輸入；下午五時後或例假日接獲者，至遲於次一營業日交易時間開始二小時前輸入（第9條）。
櫃買中心採相同原則，並在說明資料中寫明一般情形是「事實發生日起次一營業日開盤2小時（7:00）前」，回應媒體報導則至遲於發現後2小時[2]。問答集也建議，非回應媒體報導的重大訊息，宜於非盤中交易時間儘速發布，避免投資人接收資訊的時間落差[3]。
語言方面，證交所規定申報內容應同時以中文及英文輸入（第6條第3項）[1]；櫃買中心則自2025年4月1日起，要求最近會計年度實收資本額達新臺幣6億元以上，或外資及陸資持股合計達30%以上等條件的上櫃公司同時輸入英文[2]。
損失很大時，還可能觸發重大訊息說明記者會：資通安全事件等情事造成公司重大損害或影響，且扣除保險契約設算的獲賠金額後，預估損失超過實收資本額20%或達新臺幣3億元以上者，屬記者會事項（第11條第1項第9款）[1]。這類事項應於事實發生日或媒體報導當日輸入，至遲不得超過記者會後二小時（第6條第1項第3款）[1]。
要寫什麼：內容要件與常見缺失
處理程序第3條要求，重大訊息應詳述發生事實、原因、對公司財務業務的影響、估計影響金額及因應措施，並依申報格式填寫；對外及對媒體的說明須與重訊一致，不得有偏頗、誇耀或類似廣告的發言，也不得提供尚未確定或與事實不符的消息[1]。同條也規定，依處理程序公開之前，不得對外公布任何消息[1]。
問答集補充了幾項常見問題[3]：
- 各欄位應完整、具體揭露，不宜直接以「不適用」帶過。
- 不應因損失可能取得理賠，就不完整揭露事件可能的損失與對財務業務的影響。
- 內容應淺顯易懂，專業術語要用易懂的方式說明。
- 延續性案件新發布的重訊，應註明先前重訊的發布日期。
依這些要件，一則資安重訊至少要讓投資人看懂：何時發現、哪些系統或服務受影響、營運是否中斷與目前恢復進度、是否涉及個資或客戶資料、已採取哪些處置（例如隔離系統、委請外部專家、報案），以及財務影響的估計；暫時無法估計時，也應說明原因與後續如何更新。各公司實際的寫法，可以在資安重訊列表逐則比較。
後續公告：發展有重大變化就要更新
處理程序第3條要求，已發布重大訊息的後續發展若有重大變化，應依原申報條款即時更新或補充說明[1]。問答集舉例，事後發現個資或大量內部資料遭竊取、在暗網流傳或兜售時，就應即時更新或補充[3]。媒體報導與公司揭露內容不符時，也應在公開資訊觀測站即時澄清[3]。
重訊不取代其他法定義務：
- 公司若同時是資通安全管理法的特定非公務機關（例如被指定為關鍵基礎設施提供者），知悉資安事件時仍應向中央目的事業主管機關通報[5]，時限與流程請見資通安全管理法重點整理。
- 涉及個資外洩時，還有個人資料保護法的義務。該法2025年11月11日修正公布的條文，要求知悉個資外洩時通知當事人，符合一定通報範圍者並向主管機關通報，但施行日期由行政院另定；截至2026年10月底，全國法規資料庫仍標示部分條文尚未生效，現行條文要求違反規定致個資被竊取、洩漏等情形時，查明後以適當方式通知當事人[6]。
治理配套：資訊安全長與資安專責單位
《公開發行公司建立內部控制制度處理準則》第9條之1規定，公開發行公司應配置適當人力資源及設備進行資訊安全管理；符合一定條件者，金管會得命令指派資訊安全長，並設置資訊安全專責單位、主管及人員[7]。金管會問答集說明的適用範圍與時程如下[8]：
- 符合任一條件的上市櫃公司：實收資本額達新臺幣100億元以上；前一年底屬臺灣50指數成分公司；或最近一年度透過網際網路等電子方式的收入占營業收入80%以上，或最近二年度合計占50%以上。這類公司應於2022年底前指派資訊安全長，並設置資訊安全專責單位，配置專責主管及至少二名專責人員。
- 其他上市櫃公司：最近三年度稅前純益未連續虧損，且最近一年度每股淨值不低於面額者，應於2023年底前配置資訊安全專責主管及至少一名專責人員。
- 之後才符合條件者（第一類自2023年起、第二類自2024年起），應在符合條件起六個月內調整人力配置。
問答集也提到，資訊安全長應由綜理資訊安全政策推動及資源調度的人兼任，通常是副總等一定層級以上的高階主管[8]。
證交所與櫃買中心發布的《上市上櫃公司資通安全管控指引》則提供管理框架：指派資安專責主管與人員、訂定資安事件應變處置及通報作業程序、定期向董事會或管理階層報告，並明定發生符合重大訊息規範的重大資安事件時應依規定辦理；指引也列出年報應敘明資安政策、管理方案、投入資源，以及重大資安事件的損失、可能影響與因應措施[9]。除法令或兩個交易市場另有規定外，指引條文可由公司衡量產業特性、規模與資安風險適度採行[9]。
行動清單
- 寫好重訊決策流程：明定由誰判斷（資安長、發言人、財務、法務）、依據哪些質化與量化門檻，並保存評估紀錄；把「重要系統或官網無法營運或正常服務」「個資或大量內部文件有外洩之虞」「媒體已報導」列為直接進入發布程序的條件。
- 把時限寫進事件應變程序：事實發生日次一營業日開盤前兩小時、媒體報導後兩小時、交易所詢問的時限，並指定夜間與假日由誰負責輸入。
- 預先準備中英文範本：事實、原因、受影響範圍、財務影響（或無法估計的理由）、因應措施與後續更新方式，事件發生時只需填入細節。
- 統一對外口徑：重訊發布前不對外說明；若要發新聞稿，必須與重訊同時輸入。
- 納入子公司：要求重要子公司與海外據點發生資安事件時立即通知母公司，以便代為申報。
- 預設後續公告的觸發點：確認資料外洩、資料在暗網出現、恢復營運、財務影響金額更新。
- 盤點並行義務：資安法通報、個資法與產業主管機關的規定，避免各管道說法不一致。
- 參考實際案例：在資安重訊列表與台灣資安揭露報告了解同業的揭露內容，以及從事實發生到公告的天數；相關事件也可在資料外洩分類查詢。
本文是一般性整理，不構成法律意見；實際義務請以證交所、櫃買中心與金管會的現行規章、問答集與個案解釋為準。