財務長看 DORA：歐盟金融客戶的合約條款與罰則曝險怎麼評估？

財務長先判定什麼：公司是 DORA 的哪一種身分？

2025 年 11 月 18 日公布的首批 19 家關鍵 ICT 第三方服務提供者名單中，沒有台灣企業。

歐盟金融客戶要求簽 DORA 條款，會增加哪些合約責任與成本？

依第 30 條，客戶必須寫進合約的條款包括服務說明、服務與資料處理地點、協助處理 ICT 事件、配合主管機關、終止權利；支援關鍵或重要功能時，還有服務水準、營運持續計畫與測試、稽核權、退出策略等。客戶也要把你的服務登錄在資訊登錄冊（歐盟以外的服務商以 LEI 識別）。

財務長要估算這些條款帶來的持續成本，以及退出時資料與服務移轉的安排。需要判斷合約責任或管轄的法律意見時，應諮詢律師。

罰則曝險有多大？DORA 是全球年營業額 2% 嗎？

不是。

• 金融實體：DORA 沒有訂定以營業額百分比計算的罰款，罰則由各成員國依第 50 條以國內法訂定
• 關鍵 ICT 第三方服務提供者：主導監督機關可依第 35 條課以定期罰款，按日計罰、最長 6 個月、最高為前一營業年度全球日均營業額的 1%
• 未被指定為關鍵者：一般沒有直接的 DORA 義務，要求透過客戶合約傳到你身上

常見的「2%」是 NIS2 第 34 條對基本實體的規定，依 NIS2 第 4 條不適用於 DORA 金融實體。

重大 ICT 事件的通報時限，會讓供應商多出哪些營運成本？

依授權規則 (EU) 2025/301：

• 初始通報：事件分類為重大後 4 小時內，且不晚於知悉後 24 小時
• 中間報告：初始通報後 72 小時內
• 最終報告：最近一次中間報告後 1 個月內

通報義務人是金融實體，但客戶會要求 ICT 供應商依合約協助處理事件並提供資訊。財務長要確認事件處理的人力與值班安排，以及合約中協助義務的範圍，都已反映在預算與服務水準中。

DORA 有證書嗎？已有 ISO 27001 或營運持續制度，可以少花多少？

DORA 沒有獨立證書。已有 ISO 27001／營運持續管理基礎者，可重用既有文件與控制措施，時程可明顯縮短，不必另建一套。

另外，沒有服務歐盟金融實體，或客戶只要求填寫資安問卷、沒有要求簽 DORA 合約條款時，用既有 ISO 27001 的制度與紀錄回應通常就足夠——這是財務長避免過度投入的第一個判斷點。

時程：DORA 準備要多久？

服務頁所列：

• ICT 供應商合約義務準備：通常 2–3 個月
• 金融機構完整 DORA 框架：通常 6–9 個月
• 已有 ISO 27001／營運持續管理基礎者可明顯縮短

完整框架分五步：適用性評估與範疇確認、ICT 風險管理框架建立、事件通報 SOP 建立、第三方 ICT 風險管理、TLPT 規劃與持續韌性測試。

積穗科研怎麼協助財務長處理 DORA？

• 由副總、董事級顧問全程親自輔導、不外包
• 先判斷貴公司屬金融實體或 ICT 供應商，確認合約義務範疇與 Register of Information 準備程度
• 依 DORA 框架執行差距分析、逐章建立制度文件，含分類為重大後 4 小時內初始通報的事件通報 SOP
• 提供 TLPT 適用性評估與 DORA＋NIS2 整合評估；已有 ISO 27001 或營運持續管理基礎者，重用既有文件與控制措施

延伸閱讀：DORA 合規輔導、DORA 顧問怎麼選、ISO 22301 營運持續、財務長角色頁。申請免費機制診斷