資通安全管理法草案審查：聚焦執法範圍、權責與資安人力

鍾孔炤 立法委員

• 提案建議法務部參酌今日相關草案修法精神，於6個月內將兩院會銜版送至立法院後，再予併案審查。

尤美女 立法委員

• 提案建議法務部參酌今日相關草案修法精神，於6個月內將兩院會銜版送至立法院後，再予併案審查。

葉宜津 立法委員

• 提案建議法務部參酌今日相關草案修法精神，於6個月內將兩院會銜版送至立法院後，再予併案審查。

徐永明 立法委員

• 代表時代力量黨團說明提案，強調應確立權能集中、資源充足、位階夠高的專責機構以統籌全國資安政策。
• 主張納入民間參與和國會監督機制，要求行政院在制訂政策時應邀請專家學者、產業部門及社會團體參與，且非官方代表不得少於二分之一。
• 要求中央和地方政府每年提交資安稽核報告至國會備查，並應鼓勵資安技術發展及普及，提供租稅、金融等優惠措施。
• 批評行政院版本未考量國會監督和實務操作者意見，且不應以子法規避母法架構的確認。

周陳秀霞 立法委員

• 代表親民黨黨團說明提案，指出行政院版草案與美國、歐盟、日本等國對私部門資安採取輕度管制的精神背道而馳。
• 反對行政院版授權政府官員在無搜索票情況下對非公務機關進行現場檢查，認為此舉侵犯私權，對數位經濟發展不利。
• 主張應落實政府機構本身的資安，反對擴大管制產業，建議採取鼓勵措施（如經濟誘因）而非強制規範，並要求針對資安法召開公聽會。

柯建銘 立法委員

• 肯定資安專法的重要性，但認為行政院版本雖最完整仍有討論空間。
• 質疑資安長設置是否需修正行政院及各部會組織法，並指出本法缺乏明確的主管機關。
• 對第18條允許中央目的事業主管機關派員進入非公務機關檢查且不得拒絕，提出法律保留、檢查人員資格、會同警察等疑慮，擔心侵犯人權和營業秘密。
• 指出資安管理法與電信管理法在指定關鍵基礎設施提供者上，用詞（「得」與「應」）不一致，要求行政院釐清。
• 擔憂縣市政府資安能量不足，難以執行資安維護計畫與檢查，以及委外辦理資安業務可能危害國家安全。

吳志揚 立法委員

• 關切資安法草案的檢查方式是否會侵害人權及洩露營業秘密，特別是針對非公務機關的檢查權限。
• 要求行政院明確界定「關鍵基礎設施提供者」的範圍，並質疑「對國民生活或經濟活動有重大影響」的定義過於廣泛，可能涵蓋Facebook、LINE、Google等民間服務。
• 強調當資安事件涉及刑事犯罪時，政府行政檢查權應與司法偵辦權區分，檢察官搜索仍需法院聲請搜索票，政府不應逕行檢查，建議與檢察機關合作建立通報機制。
• 指出政府應專注於前端計畫、規劃與執行，而非在事後處理時過度干預私領域。

葉宜津 立法委員

• 質疑行政院資安處對「網路是否在國家主權範圍內」沒有定論，認為資安法未將網路納入國家主權概念是「開了一個大洞」，無法真正防禦與管理。
• 質疑公務機關（包括軍事、情報機關）被排除在資安法適用對象之外，卻聲稱有更嚴格的行政規範，批評此邏輯不一，形同「沒什麼罰則、徒具形式的法律」。
• 質疑資安處僅有15人，卻要查核監督關鍵基礎設施，且可委託法人或團體辦理，擔心高科技園區、銀行等民間機構的營業機密外洩問題。
• 認為資安法不完整，缺乏國家主權的上位概念與國家防護網，僅是「裝鐵窗」等級，需要大修。

李俊俋 立法委員

• 質疑資通處僅15名資訊職系人員，卻要負責資安法所有子法規畫與協調各部會，認為人力與專業不足。
• 批評資安法草案第3條提及「資通安全專業人才之培育」與「資通安全產業之發展及推動」，但法案內容卻未提及具體推動方式，形同「脫褲子放屁」。
• 質疑第14條對公務機關的獎懲標準不明確，且聲稱依「相關規定」懲處卻無具體法源（如公務人員服務法未提及資安），認為法律依據不足。
• 批評資安法對公務機關無罰則，但對非公務機關有罰鍰，且用同樣標準卻有不同處置，認為不合理。
• 總結資安法草案內部條文設計問題重重，職掌不清，將規範性與執行性立法混雜，導致法案「不倫不類」。

王育敏 立法委員

• 指出勞動部、台北市資訊局、外交部等公部門資安事件頻傳，質疑公部門資安做得不好。
• 譴責民進黨與時代力量黨團於2016年廢止國家資通安全科技中心，認為此舉粗暴且未經審慎評估，導致政府資安人力與資源不穩定，效能降低。
• 質疑行政院資安處每年耗費3、4億元委託資策會技服中心，效能不如獨立運作的行政法人，要求檢討現行模式。
• 批評資安法草案「急就章」，母法未通過卻先討論子法，本末倒置。
• 質疑資安法涵蓋範圍擴及非公務機關，特別是第18條的檢查權力，認為可能侵害人民隱私與商業機密，違反比例原則。

劉櫂豪 立法委員

• 要求行政院解釋當初廢止資安中心的原因，以釐清外界疑慮，並肯定資安處對廢止原因（倉促、舊組織換名、缺乏法源）的說明可接受。
• 詢問未來資安組織架構的初步想法，包括行政機關、行政法人或NGO等型態的利弊分析，並強調資安人才薪資與升遷彈性問題。
• 關切資安法第五條中政府委任或委託其他法人或團體辦理資安事務的監督管理機制。
• 個人傾向行政法人模式，認為其彈性較大，但強調需加強對資安人員的監督，防止權力偏差。

鍾孔炤 立法委員

• 質疑資安法草案未明確訂定主管機關，要求行政院直接回答是否為本法主管機關，並指出行政院過去曾將資安位階降級。
• 建議對「關鍵基礎設施提供者」的定義應更明確，可採概括性條例並授權行政院調整公告，而非僅置於立法說明。
• 關切進入非公務機關檢查時，檢查員資格與身分未規範，且檢查可能涉及資訊隱私、營業秘密與法遵成本，擔心違反憲法比例原則。
• 質疑國家資通安全發展方案4年檢討一次會不會太久，認為應配合國家安全情勢報告，縮短為2年一期以跟上時代趨勢。

曾銘宗 立法委員

• 贊成制定資通安全管理法，因應全球網路犯罪嚴重及台灣受惡意攻擊頻繁的現況。
• 質疑草案第3條列舉的資安人才培育、科技研發、產業發展等四項推動事項，缺乏明確的主管機關、推動方式與目標，擔心淪為宣示性質。
• 詢問資安情資分享機制是否涵蓋民間，並指出銀行業在資安分享方面走得較快。
• 對第18條的檢查權限提出質疑，認為由各目的事業主管機關檢查缺乏專業能力，且檢查費用未明定由誰負擔，建議比照證交法規定，由業者負擔檢查費用並委外專業機構進行。

蔡易餘 立法委員

• 解釋資安中心廢止原因為缺乏作用法框定職權，強調母法的重要性。
• 質疑資安法總則提及「帶動資通安全產業發展」並非立法重點，認為資安管理與產業發展應區分，不應透過此法編列預算補助廠商開發軟體，擔心與科技部職掌疊床架屋。
• 質疑資安法對非公務機關設有罰則，但對公務機關卻無罰則，僅依考績法等相關規定處理，認為不合理且對公部門管制力道過輕。
• 對第18條賦予中央及地方縣市政府檢查權力表示疑慮，擔心縣市政府缺乏能量與專業，可能導致擾民或侵害私權，建議應更明確限定或提升檢查權力的位階至專法層級，詳細規範正當法律程序。

余宛如 立法委員

• 引用國發會資料，指出行政院App資安檢測不合格率高達七成，質疑在現有與修法後流程下，資安防護SOP、事前查核、事中監控及事後懲處機制不明，認為修法前後無差異。
• 批評資安法草案對「相關主管機關」的責任劃分模糊不清，難以落實資安防護，要求明確列入法規。
• 質疑行政院資安處處長、科技部資訊處處長、經濟部資訊中心主任對第18條檢查權限的適當性，擔心可能導致台灣資訊產業外移。
• 認為各目的事業主管機關缺乏資安能量進行檢查，若立法不清晰，恐造成台灣資訊產業的負面影響。

尤美女 立法委員

• 強調資安對國家安全與人民生活的重要性，引用愛沙尼亞、南韓遭駭案例，指出中國對台進行網路虛擬戰爭的威脅，肯定資安立法的必要與急迫性。
• 認為人民期待的是完整嚴密的資安法，而非僅側重後端稽核、管理、行政檢查，且檢查對象針對非公務機關引發恐慌。
• 呼籲政府應投入資源培訓人才，建構公私部門完整的資安體系，並對資安法在促進資通產業發展的內容不足提出質疑。
• 建議將立法說明中的八大關鍵基礎設施領域直接定在法條定義中，以符合法律明確性原則，但行政院資安處則回應考量彈性問題。

段宜康 立法委員

• 質疑資安法對非公務機關的規範對象過於狹隘，僅限於「關鍵基礎設施提供者」，且其適用條件為「功能停止運作或效能降低」，可能排除個資外洩等資安事件。
• 以證交所名單外洩為例，質疑若不影響交易功能則不適用本法，且若銀行不被列為關鍵基礎設施提供者，則銀行電腦當機等事件恐無法有效規範。
• 質疑賦予地方主管機關檢查權限與罰則的合理性，認為縣市政府資安能力不足，恐無法有效處理資安危機，且可能對全國性企業（如中華電信）造成困擾。
• 質疑資安法第五條允許行政院將資安事務委託給法人或團體（含民營企業），可能涉及採購法公開招標問題，並擔憂政府將核心資安業務委外，無法累積自身能力。

林為洲 立法委員

• 肯定資安立法的重要性，因資安影響民眾權益、國家安全與機密，特別是網路使用頻繁及銀行遭駭等事件凸顯其必要性。
• 關切資安法可能對非政府機關的介入過深，侵犯個人隱私與司法獨立領域，要求行政院明確劃清行政調查與司法調查界線。
• 以雅虎、Google遭駭為例，質疑國外政府介入的程度，提醒政府應嚴格界定「關鍵基礎設施提供者」，避免過度擴權。
• 擔憂政府資安能量不足，委外檢查可能導致業務機密外洩，建議應有逐步實施期程，先做好政府機關資安管理，民間部分有所保留。
• 行政院資安處簡處長回應將採分階段實施，先行政府機關，再逐步推及關鍵基礎設施及公營事業等。

宋餘俠 行政院副秘書長

• 說明資安法立法是因應數位科技時代資安風險，公務機關及關鍵基礎設施提供者所承擔的公共任務對國家安全、民眾生活、經濟活動有重大影響。
• 指出各先進國家已將資安議題提升至國家安全層次並制訂專法，我國資安法草案參酌美、日、德等國立法原則，以風險管理為核心，要求規範對象建立資安維護計畫、通報應變機制。
• 澄清資安長由機關首長指派副首長或適當人員兼任，不需修正行政院組織法。
• 說明資安法並無單一主管機關，而是劃分行政院、中央機關、地方機關、目的事業主管機關及監督機關的權責，類似行政程序法、國家賠償法等立法例。
• 回應第18條行政檢查為行政作為，類似個資法，目的在迅速通報處理重大資安事件，避免損害擴大，並強調檢查人員負有保密義務。
• 承諾將與通傳會釐清資安法與電信管理法在關鍵基礎設施指定上「得」與「應」的用詞差異。
• 說明資安法第3條推動事項將由行政院會同各目的事業主管機關（如教育部、經濟部、科技部）依資安發展方案推動。
• 表示資安法第五條委託辦理事務若為委外，需依採購法公開招標，但專案管理仍由政府資訊單位同仁辦理。

簡宏偉 行政院資安處處長

• 說明資安法草案將網路納入國家主權概念，但需銜接國安法。
• 解釋軍事、情報機關因涉及國家安全，有更嚴格的資安標準，故目前排除在資安法適用對象之外，但會做銜接與資訊交換。
• 說明資安處正式編制為15人，主要委託資策會技服中心處理資安事件，每年經費約3億至4億元，目前正評估該中心未來屬性。
• 回應資安法第3條提及的人才培育與產業發展，資安處是政策規劃單位，透過協調各部會以計畫方式推動，不會編列預算補助特定公司或產品開發，而是透過防護標準帶動產業發展。
• 說明資安法對公務機關未設罰則，是因可依考績法等追究，且罰款效益不大；對非公務機關則採鼓勵方式，限期改正，罰鍰為最後手段。
• 解釋第18條賦予縣市政府檢查權，是考量部分關鍵基礎設施（如捷運公司）由縣市主管，但將參酌委員意見做更明確限定。
• 說明資安法以風險管理為核心，採事前防範、事中應變、事後改善機制，以資安維護計畫、稽核、回饋修正等程序推動。
• 表示國家資通安全發展方案雖為4年一期中程計畫，但每年會滾動修正，並公布更新內容，以跟上科技發展。
• 說明第18條檢查員資格包括資安、法律專家及相關領域專家，並負有保密義務，檢查內容只涉及資安範圍。
• 回應App資安問題，現階段由國發會依規定監督，未符規範則要求開發機關改善或下架，資安法通過後流程亦同，但將行政命令提升至法律位階。
• 說明資安處在現有架構下，政策擬訂在行政院，執行由資安處技術服務中心處理，各機關業務職掌標準訂定在標準檢驗局，關鍵基礎設施防護由中央目的事業主管機關處理。

許耿維 國防部資安處副處長

• 說明國防部針對資安訂定更嚴格的標準，採取行政規範，並非透過法律。

薛大勇 科技部資訊處處長

無相關發言紀錄

馬正維 經濟部資訊中心主任

• 表示若資安檢查法規明確，經濟部可配合執行。
• 指出目前經濟部無監理權限，無法進行資安檢查，但認為未來檢查有助於產業加強資安，並促成更多發展機會。