立院三讀 公務機關不得下載使用危害國安資通產品

立法院會今天三讀修正通過資通安全管理法部分條文，明定公務機關不得下載、安裝、使用危害國家資通安全產品，公務機關得對資安人員適任性查核，特定非公務機關若未依規定通報資安事件最高可罰新台幣1000萬元。

修法說明欄提到，所謂危害國家資通安全產品，包含受國家安全法、反滲透法所稱的外國、大陸地區、香港、澳門、境外敵對勢力等實質控制的各類組織、機構、團體或派遣人所提供的產品。此外，根據現行資通安全管理法，特定非公務機關是指關鍵基礎設施、公營事業、政府捐助財團法人。

行政院會去年通過「資通安全管理法」部分條文修正草案，擴大資安稽核範圍，並納入總統府與五院，並增訂納管機關對於危害國家資通安全產品有關下載、安裝或使用相關規範。立法院交通委員會今年5月初審通過資通安全管理法修正草案，並排入今天院會討論事項。

三讀通過條文明定，資通安全管理法主管機關為數位發展部，資安業務執行由數發部指定資安專責機關辦理。

三讀通過條文增訂，公務機關不得下載、安裝或使用危害國家資通安全產品，並同步規範公務機關自行或委外營運場所的傳播設備、網路接取服務；若是業務需求且無替代方案，經機關資安長核可、報主管機關核定，得專案使用並列冊管理。

至於特定非公務機關，新法亦明定，若下載、安裝或使用危害國家資通安全產品，得予以限制或禁止，但若是業務需求且無替代方案，得專案使用並列冊管理。

為明確規範公務機關資通安全維護實施情形，三讀通過條文增訂，總統府、國安會、五院、縣市政府與議會等，向數發部提出資通安全維護計畫實施情形；至於直轄市山地原住民區公所及代表會，以及鄉鎮市公所及代表會，由直轄市、縣政府分層監管。

三讀通過條文明定，數發部應妥善規劃推動人員專職訓練，若遇重大資通安全事件，得調度各級機關資通安全人員支援；公務機關得對所屬資安專職人員進行適任性查核，若未通過，不得辦理涉及國家機密、軍事機密及國防秘密的資安業務。

現行特定非公務機關發生資通安全事件若未依規定通報，可處30萬元以上500萬元以下罰鍰，並令限期改正，若屆期未改正則按次處罰。三讀通過條文則將罰鍰上限提升至1000萬元，並明定特定非公務機關所屬人員未依規定辦法，情節重大者，由該機關依規定懲處。

此外，三讀通過條文也增訂中央目的事業主管機關對於「特定非公務機關」的重大資安事件調查權範圍，包含要通知當事人或關係人到場陳述意見，且對於調查不得規避、妨礙或拒絕；目的事業主管機關得派員、委任或委託及其他機構實施必要檢查，受委託的機構若在檢查時獲悉秘密，不得洩漏。