《資通安全管理法》（以下簡稱資安法）規範公務機關與「特定非公務機關」的資安義務，包括責任等級、資通安全維護計畫、稽核、資通安全長與事件通報[1]。這部法律在2025年9月24日修正公布全文35條，行政院訂自2025年12月1日施行[2]；施行細則與主要子法也在2026年1月跟著修正。
這篇寫給公營事業、關鍵基礎設施業者、政府相關財團法人的 IT 與資安人員，以及替這些單位建置、維運系統的廠商。修正後條文從23條增為35條，條號大幅變動[2]，內部程序或契約若引用舊條號，記得一併更新。以下條號都以修正後版本為準。
現況：修正版已施行，子法也已更新
依行政院說明，這次修法的重點包括：稽核範圍擴大到五院、地方政府等沒有上級監督機關的機關；公務機關與特定非公務機關都要設置資通安全長與資安專職人員，並有適任性查核；委外的受託者必須建立完善的資安管理機制或通過第三方驗證；授權主管機關管制高風險產品；並建立協助民間因應重大資安事件的支援機制[3]。
主管機關是數位發展部，資通安全業務由數位發展部指定的資安專責機關執行[1]；施行細則明定這個專責機關是數位發展部資通安全署[4]。
主要子法截至2026年11月都已生效：
誰要遵守：公務機關與四類特定非公務機關
資安法的規範對象分為兩大類[1]：
- 公務機關：依法行使公權力的中央、地方機關（構）或公法人，但不包括軍事機關與情報機關。
- 特定非公務機關：關鍵基礎設施提供者、公營事業、特定財團法人，以及受政府控制之事業、團體或機構。
關鍵基礎設施提供者由中央目的事業主管機關指定，送主管機關報請行政院核定，並以書面通知受核定者[1]。特定財團法人是指符合財團法人法特定條文、且屬全國性財團法人者；受政府控制之事業、團體或機構，則要經中央目的事業主管機關指定、主管機關核定[1]。
換句話說，一般民營企業（包括多數上市櫃公司）若沒有被指定為關鍵基礎設施提供者，也不屬於上述類型，就不是資安法的直接規範對象。不過這類公司常透過委外契約間接承擔要求（見後文）；上市櫃公司另有證券市場的揭露與治理規範，請見上市櫃公司資安事件重大訊息。
資安責任等級 A 到 E：決定你要做多少
公務機關與特定非公務機關要依業務重要性與機敏性、機關層級、保有或處理的資訊種類與數量、資通系統規模等條件，報主管機關核定或備查資通安全責任等級，並從管理、技術、認知及訓練等面向辦理防護措施[1]。
《資通安全責任等級分級辦法》把等級由高至低分為 A、B、C、D、E 五級[5]：
- A 級：例如業務涉及國家機密、全國性民眾服務或個資檔案，或關鍵基礎設施提供者的資通系統失效會造成災難性或非常嚴重影響；公立醫學中心。
- B 級：例如區域性、地區性的民眾服務或個資檔案，或關鍵基礎設施提供者失效會造成嚴重影響；公立區域醫院或地區醫院。
- C 級：維運自行或委外設置、開發，且具權限區分及管理功能的資通系統。
- D 級：自行辦理資通業務，但沒有維運上述系統。
- E 級：沒有資通系統也不提供資通服務，或資通業務全部由其他機關兼辦或代管。
同時符合兩個以上等級時，列為其中最高的等級[5]。等級決定了附表中的「應辦事項」，以特定非公務機關為例[5]：
- A 級（附表二）：全部核心資通系統導入 CNS 27001 或 ISO 27001 等資訊安全管理系統，並通過公正第三方驗證；資安專職人員四人以上；內部資安稽核每年兩次；核心系統弱點掃描每年兩次、滲透測試每年一次；資安健診每年一次；並建置資安監控管理機制與端點偵測及應變機制。
- B 級（附表四）：同樣要求公正第三方驗證；資安專職人員兩人以上；內部稽核每年一次。
- C 級（附表六）：全部核心資通系統導入資訊安全管理系統，但不要求第三方驗證；資安專職人員一人以上；內部稽核、弱點掃描、滲透測試與資安健診都是每兩年一次。
- D 級（附表七）：啟用防毒軟體與網路防火牆，並完成資安教育訓練。
分級辦法另規定，附表因修正而須新增或異動的項目，辦理期限自修正施行之日起算[5]。已核定等級的單位，應逐項確認自己的到期日。
核心義務：維護計畫、實施情形、稽核與資安長
資通安全維護計畫
關鍵基礎設施提供者（第20條第2項）與其他特定非公務機關（第21條第1項），都要符合所屬等級的要求、設置資安專職人員，並訂定、修正及實施資通安全維護計畫[1]。施行細則第9條列出計畫應包括的13項內容：核心業務及其重要性、資安政策及目標、推動組織、專職人力及經費、資通安全長的配置、資通系統盤點並標示核心系統、風險管理、防護及控制措施、事件通報應變及演練機制、情資評估及因應、委外管理措施、人員考核機制，以及持續精進與績效管理[4]。
實施情形與稽核
關鍵基礎設施提供者要向中央目的事業主管機關提出維護計畫的實施情形，並接受定期稽核；其他特定非公務機關，則是中央目的事業主管機關「得」要求提出實施情形、「得」進行稽核[1]。主管機關也可以定期或不定期稽核（第8條）[1]。稽核發現缺失時要提出改善報告，內容包括缺失項目、發生原因、改正措施，以及預定完成時程與追蹤方式[4]。
資通安全長與專職人員
特定非公務機關應置資通安全長，由代表人、管理人、其他有代表權人或其指派的適當人員擔任（第23條）[1]。專職人員的人數、訓練與證照要求，依責任等級附表辦理[5]。
危害國家資通安全產品
中央目的事業主管機關得限制或禁止特定非公務機關下載、安裝或使用危害國家資通安全產品；因業務需求且無其他替代方案者，須經資通安全長核可並函報中央目的事業主管機關核定，以專案方式使用並列冊管理（第27條）[1]。
資安事件通報與應變：1 小時、36／72 小時、1 個月
《資通安全事件通報應變及演練辦法》把資安事件分為四級，依資訊是否屬核心業務、是否涉及關鍵基礎設施維運、洩漏或竄改的程度，以及系統能否在可容忍中斷時間內回復來判定[6]。第三級與第四級事件就是「重大資通安全事件」[4]。
特定非公務機關的時限如下[6]：
- 1 小時內通報：知悉資安事件後一小時內，依中央目的事業主管機關指定的方式通報；事件等級變更時要續行通報。無法用指定方式通報時，要在同一時限內以其他適當方式通報並註記原因（第11條）。
- 36 或 72 小時內完成損害控制或復原：第一、二級事件在知悉後72小時內，重大事件在36小時內，並依指定方式辦理通知（第13條第1項）。
- 1 個月內提出報告：完成損害控制或復原後持續調查與處理，並於一個月內送交調查、處理及改善報告；經中央目的事業主管機關同意可延長（第13條第2項、第3項）。
- 知悉重大事件後，資通安全長應召開會議研商相關事宜（第14條第3項）。
調查、處理及改善報告應包括各階段時間點、影響範圍與損害評估、處理歷程、根因分析，以及防範再發的措施與預定完成時程[4]。中央目的事業主管機關調查重大事件時，可以通知當事人到場陳述意見、提出獨立第三方機構出具的鑑識或調查報告，或派員實施必要檢查（第25條）[1]。
罰則方面[1]：未依規定通報資安事件，處新臺幣30萬元以上1,000萬元以下罰鍰並令限期改正，屆期未改正按次處罰（第29條）；未訂定或實施維護計畫、未提出實施情形或改善報告、未訂定通報及應變機制等，經限期改正而未改正者，按次處10萬元以上500萬元以下罰鍰（第30條）；規避、妨礙或拒絕調查者，處10萬元以上100萬元以下罰鍰（第31條）。涉及個資外洩時，另依個人資料保護法辦理（第33條）[1]。事件當下的處理順序，可參考事件發生後的第一個 24 小時。
不在名單上的企業，為什麼也會受影響
資安法第10條要求，公務機關與特定非公務機關委外辦理資通系統建置、維運或資通服務時，應選任適當的受託者，要求受託者建立有效的資安管理機制並監督其實施；受託者辦理受託業務的程序及環境，應具備完善的資安管理措施或通過公正第三方驗證；雙方並應簽訂書面契約，載明權利義務及違約責任[1]。也就是說，這些要求最後會落在供應商的合約上。
施行細則第7條進一步列出選任及監督受託者時應注意的事項，與供應商直接相關的包括[4]：
- 配置受過適當訓練、具資安證照或類似經驗的資安人員。
- 可否複委託，以及複委託廠商應具備的資安措施。
- 客製化系統要提供安全性檢測證明；屬委託方核心資通系統或委託金額達新臺幣1,000萬元以上者，委託方要自行或另委第三方檢測；使用非自行開發的元件，要標示來源並提供授權證明。
- 知悉資安事件時，應立即通知委託方及說明補救措施。
- 委託關係終止時，返還、移交、刪除或銷毀履約持有的資料。
- 委託方會定期或在知悉事件時，以稽核等方式確認受託業務的執行情形。
此外，重大事件調查的「關係人」限於與該事件相關的受託者，同樣可能被要求到場陳述、提出第三方鑑識報告或接受檢查；規避、妨礙或拒絕調查者，也適用第31條的罰鍰[1]。產品若被認定為危害國家資通安全產品，公務機關不得使用，特定非公務機關也可能被限制或禁止使用（第11條、第27條）[1]。供應鏈風險的技術面，可參考供應鏈攻擊。
行動清單
- 確認身分：是否收到關鍵基礎設施提供者的書面指定，或屬公營事業、特定財團法人、受政府控制之事業；若都不是，列出哪些客戶是資安法的規範對象。
- 確認責任等級與核定（或備查）日期，對照分級辦法附表列出每一項應辦事項與到期日，特別是2026年1月修正後新增或異動的項目。
- 把內部程序、契約與教材裡的舊條號與舊辦法名稱，更新為修正後版本。
- 檢查資通安全維護計畫是否涵蓋施行細則第9條的13項內容，並確認資通安全長人選與專職人員人數符合等級要求。
- 演練 1 小時通報：誰判定事件等級、用什麼方式通報、指定管道無法使用時的備援方式；把36／72小時損害控制與1個月報告排進應變程序。
- 委外契約逐條比對施行細則第7條；如果你是受託者，預先備妥第三方驗證、安全性檢測報告、事件通知窗口，以及資料返還與刪除程序。
- 透過訂閱與通報列表追蹤主管機關後續公告與子法修正。
本文是一般性整理，不構成法律意見；實際義務請以全國法規資料庫的現行條文、中央目的事業主管機關的規定與個案解釋為準。