關鍵實體韌性指令

CER全名為歐盟《關鍵實體韌性指令》（Directive on the Resilience of Critical Entities），指令編號 (EU) 2022/2557，旨在強化歐盟境內提供必要服務的關鍵實體，應對非網路安全威脅（如自然災害、恐怖攻擊、公衛危機）的實體韌性。此指令取代了2008年的《歐洲關鍵基礎設施指令》（ECI），擴大了適用範圍與要求。在企業風險管理體系中，CER屬於營運風險與合規風險管理的一環，它與專注於網路安全的《網路與資訊系統安全指令第二版》（NIS2）互補，共同建構了歐盟全面的韌性框架。相較於ISO 22301營運持續管理標準著重於組織自身營運，CER更強調保護對社會民生至關重要的服務，確保其在遭受重大衝擊時能迅速恢復。

企業應用CER需遵循系統化步驟。首先，依據CER第13條進行「風險評估」，識別所有可能中斷必要服務的非網路風險，涵蓋自然災害到人為威脅。其次，根據評估結果，依第14條採取「韌性強化措施」，包括實體安全防護（如門禁、監控）、備援系統建置、供應鏈風險管理及員工安全審查等。最後，必須建立「事件通報機制」，要求在事件發生後24小時內向主管機關初步通報。實際效益方面，導入CER框架不僅能避免高額罰款（最高可達成員國規定的上限），更能系統性地降低營運中斷風險。根據產業研究，實施此類韌性計畫的企業，其重大實體安全事件發生率平均可降低15-20%，並顯著提升供應鏈穩定性與客戶信任度。

台灣企業導入CER面臨三大挑戰。第一，「間接合規壓力」：作為歐盟關鍵實體的供應商，雖非直接受管轄，但會面臨客戶的供應鏈稽核要求，對指令適用範圍認知不清。第二，「組織職責分散」：實體安全（總務）、營運持續（風管或IT）、供應商管理（採購）常分屬不同部門，缺乏整合性韌性策略，導致資源浪費。第三，「風險評估能力差距」：企業熟悉ISO 27001的資安風險評估，但CER要求的「全災害」實體風險評估需納入氣候變遷、地緣政治等宏觀因素，方法論上存在差距。為克服挑戰，建議優先成立跨部門「韌性推動小組」，並委請專家進行差距分析。解決方案是導入整合性風險管理工具，並參考NIST SP 800-53的實體保護控制措施來設計具體方案，預計在6-12個月內建立初步管理體系。