資通安全管理法重點整理：適用對象、責任等級與罰則

2026/10/30 法規遵循 6 次瀏覽閱讀約 7 分鐘

資通安全管理法（資安法）是台灣規範公務機關與「特定非公務機關」資安義務的法律，主管機關為數位發展部。被納管的單位要依核定的資通安全責任等級設置專職人員、訂定並實施資通安全維護計畫，知悉資安事件須依規定通報；特定非公務機關未通報，最高可處新臺幣 1,000 萬元罰鍰。

一般民營企業多半不受資安法直接規範，但承接公務機關或關鍵基礎設施的系統建置、維運時，會透過契約承接相關要求。下面依序整理重點；若想先評估公司的資安現況，可參考我們的資安健診服務。

資通安全管理法是什麼？

資通安全管理法是台灣第一部專門規範資安的法律，目的在推動國家資通安全政策、建構國家資通安全環境，以保障國家安全並維護社會公共利益。現行條文於民國 114 年（2025 年）9 月 24 日修正公布，同年 12 月 1 日施行，主管機關由行政院改為數位發展部，業務由其指定的資安專責機關執行。

資安法只有 35 條，細節寫在子法：《施行細則》（第 7 條委外、第 9 條維護計畫內容）、《資通安全責任等級分級辦法》與《資通安全事件通報應變及演練辦法》。

適用對象：公務機關與特定非公務機關

資安法的適用對象只有兩類：公務機關，以及特定非公務機關。依資安法第 3 條，特定非公務機關包括關鍵基礎設施提供者、公營事業、特定財團法人，以及受政府控制的事業、團體或機構。

關鍵基礎設施提供者須經中央目的事業主管機關指定並報行政院核定；特定財團法人則是符合《財團法人法》規定的全國性財團法人。一般民營企業不會因為規模大就自動適用，必須被指定或核定。

資安法第 33 條也提醒，資安事件涉及個資外洩時，要另依個資法辦理。

主要義務：責任等級、維護計畫與稽核

被納管的單位，第一步是依業務重要性、保有資訊的性質與數量、資通系統規模等條件，報主管機關核定或備查資通安全責任等級（A 到 E 級），再依等級辦理管理、技術、認知與訓練面的防護措施。特定非公務機關還要設置資通安全長、配置專職人員，並訂定、修正與實施資通安全維護計畫。

下表整理《資通安全責任等級分級辦法》附表二、四、六中，A、B、C 級特定非公務機關的主要應辦事項：

應辦事項	A 級	B 級	C 級
資安專職人員	4 人以上	2 人以上	1 人以上
ISMS（CNS 27001 或 ISO 27001）	全部核心系統導入並通過公正第三方驗證	全部核心系統導入並通過公正第三方驗證	全部核心系統導入
內部資安稽核	每年 2 次	每年 1 次	每 2 年 1 次
弱點掃描（核心系統）	每年 2 次	每年 1 次	每 2 年 1 次
滲透測試（核心系統）	每年 1 次	每 2 年 1 次	每 2 年 1 次
資通安全健診	每年 1 次	每 2 年 1 次	每 2 年 1 次
營運持續計畫演練	每年 1 次	每 2 年 1 次	每 2 年 1 次
一般使用者與主管教育訓練	每人每年 3 小時以上	每人每年 3 小時以上	每人每年 3 小時以上

A、B 級的驗證證書須有我國認證機構的認證標誌；A 級應在初次核定後二年內導入 ISMS、三年內完成驗證。健診項目可參考資安健診的說明。

資通安全責任等級示意圖，A、B、C 級特定非公務機關應辦事項多寡比較 — A 級最嚴，每年都要檢測

資安事件通報與應變

特定非公務機關依資安法第 24 條，要訂定資安事件通報及應變機制，知悉事件後向中央目的事業主管機關通報，並提出調查、處理及改善報告；重大事件還要送交主管機關。依《資通安全事件通報應變及演練辦法》第 11 條，通報時限是知悉後 1 小時內。

事件分為 1 到 4 級，3、4 級屬於重大事件，主管機關可要求第三方鑑識報告或派員檢查，對象包括受託廠商。細節可參考資安事件通報的整理。

委外廠商的資安要求

承接公務機關或特定非公務機關系統建置、維運的廠商，雖然不是資安法的直接適用對象，卻要透過契約承擔相關義務。依資安法第 10 條，委託機關應選任適當的受託者並加以監督，受託者須具備完善的資安管理措施或通過公正第三方驗證。

施行細則第 7 條列出的考量包括：人員具資安證照或相當經驗、能否複委託、客製化系統提供安全性檢測證明、知悉事件立即通知、契約終止時返還或刪除資料，以及定期稽核。

實務上，系統整合商最常被要求的是 ISO 27001 證書、人員證照清單，以及交付前的滲透測試報告，投標前就要準備好。

違反資安法的罰則

資安法對特定非公務機關的罰則有三種：未通報資安事件，處新臺幣 30 萬元以上 1,000 萬元以下罰鍰並限期改正，屆期未改正按次處罰；未訂定或實施維護計畫、未提出實施情形或改善報告、未建立通報應變機制等，先限期改正，屆期未改正按次處 10 萬元以上 500 萬元以下罰鍰；規避、妨礙或拒絕調查，處 10 萬元以上 100 萬元以下罰鍰。

最需要注意的是未通報：它不需要先限期改正，一經查獲就可以裁罰。