台灣 DORA 顧問怎麼選？八個判斷準則

台灣企業常見的三種身分

八個判斷準則

什麼情況不一定需要找顧問

沒有服務歐盟金融實體，或客戶只要求填寫資安問卷、沒有要求簽 DORA 合約條款時，用既有 ISO 27001 的制度與紀錄回應通常就足夠。需要判斷合約責任或管轄的法律意見時，應諮詢律師。

積穗科研對應這些準則的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

• 身分判定：確認是否屬於 DORA 適用的金融實體類型，或是金融實體的 ICT 供應商，評估直接義務與合約義務的範圍
• ICT 風險管理框架：依 DORA 第 II 章建立 ICT 資產盤點、風險識別與評估、保護措施、偵測、回應與復原程序
• 事件通報：設計重大事件的嚴重性評估標準與通報流程
• 第三方 ICT 風險管理：建立供應商風險評估方法、合約必要條款（稽核權、資料可攜性、退出策略）與資訊登錄冊的維護
• 韌性測試：規劃年度測試計畫，評估 TLPT 是否適用，讓測試結果回饋到風險管理
• 和既有制度整合：已有 ISO 27001 或營運持續管理基礎者，重用既有文件與控制措施
• 誰主導：副總、董事級顧問全程輔導，不外包

相關問題

• DORA 和 NIS2 是什麼關係？ 對同時屬 NIS2 基本或重要實體的金融實體，DORA 是 NIS2 第 4 條所稱的特定產業法規（DORA 第 1 條第 2 項）。依 NIS2 前言第 28 點與歐盟執委會指引（C/2023/6068，2023 年 9 月 18 日刊登於歐盟公報），成員國不應對這些金融實體適用 NIS2 的網路安全風險管理與通報義務及監理執法規定，改適用 DORA；NIS2 的國家網路危機管理架構（第 9 條）與 EU-CyCLONe（第 16 條）仍適用。不屬 DORA 金融實體的集團成員或 ICT 供應商，仍可能依自身身分受 NIS2 規範。NIS2 歐盟網安指令輔導
• 台灣的 ICT 服務商會直接被 DORA 罰款嗎？ 一般不會。未被指定為關鍵 ICT 第三方服務提供者的業者，沒有直接的 DORA 義務，要求透過客戶的合約與資訊登錄冊傳到你身上；金融實體的罰則由各成員國依第 50 條以國內法訂定。只有被指定為關鍵 ICT 第三方服務提供者時，主導監督機關才可依第 35 條課以定期罰款：按日計罰、最長 6 個月、最高為前一營業年度全球日均營業額的 1%。2025 年 11 月 18 日公布的首批 19 家名單中沒有台灣企業。DORA 歐盟金融數位韌性法輔導
• DORA 的罰款是全球年營業額 2% 嗎？ 不是。DORA 沒有對金融實體訂定以營業額百分比計算的罰款，罰則由各成員國以國內法訂定，須「有效、合乎比例且具嚇阻性」（第 50 條）。常見的「全球年營業額 2%」是 NIS2 第 34 條對基本實體的規定，依 NIS2 第 4 條不適用於 DORA 金融實體。DORA 歐盟金融數位韌性法輔導
• DORA 輔導要多久？ 依身分與既有制度而定；積穗科研服務頁所列的經驗是 ICT 供應商的合約義務準備通常 2 至 3 個月，金融機構建立完整 DORA 框架通常 6 至 9 個月，已有 ISO 27001 或營運持續管理基礎者可縮短。DORA 歐盟金融數位韌性法輔導

申請免費機制診斷