資安長（CISO）要管哪些標準與法規？12 項要求逐項說明

直答：資安長在台灣的公司治理裡有明文角色。所有公開發行公司依《公開發行公司建立內部控制制度處理準則》第 9 條之 1，應配置適當人力與設備，規劃、監控並執行資訊安全管理；符合金管會所定條件的上市櫃公司，須指派資訊安全長並設置資訊安全專責單位；年報須揭露資通安全管理；證交所 ESG 評鑑也有資通安全指標。資安長要管的也不只 ISO 27001。依公司賣什麼、賣到哪裡、客戶是誰，還會落到三類要求：第一類是有法定通報時限的歐盟法規（GDPR、NIS2、DORA、EU CRA）；第二類是客戶或產業要求的評估與驗證（TISAX、ISO/SAE 21434、IEC 62443、ISO/IEC 29147 與 30111）；第三類是延伸到隱私、營運持續與 AI 的管理系統（ISO 27701、ISO 22301、ISO 42001）。資安長的工作是先判定哪些真的適用，再用同一套風險評鑑、事件應變、供應商管理與稽核證據回應多項要求。要記住兩件事：GDPR、NIS2、DORA、EU CRA 都沒有獨立證書；ISO 證書也不等於法規合規。

公司治理裡的資安長：先看公司在哪一層

一般公開發行與上市櫃公司，官方規範沒有訂定資安長的職級；「副總經理以上」是銀行、金融控股公司與證券期貨業的要求。非公開發行公司不受上述公開發行公司規範，可以自願參考。

證交所 ESG 評鑑：資安長要準備的指標

ESG 評鑑自 115 年起取代公司治理評鑑，評鑑對象是上市櫃公司。下列指標在 115、116 年度的文字相同。

12 項要求一覽

法定通報時限：資安長最先要排進應變程序的數字

同一起事件可能同時觸發多項時限，起算點與受理機關各不相同。應變程序要把四項並列，由同一個事件分類步驟判斷要通報哪幾項。

逐項說明：資安長要判定什麼、能共用什麼、要多久

ISO 27001 資訊安全管理系統

• 先判定：客戶、投標與主管機關要求的驗證範圍。
• 版本：一律以 ISO/IEC 27001:2022 導入；2013 版證書的過渡期已於 2025 年 10 月 31 日屆滿。
• 審查重心：風險評鑑與 SoA 適用性聲明。93 項控制不必全做，依風險評鑑決定適用性，不適用者敘明理由。
• 時程（服務頁所列）：典型 4–8 個月，依序為差距分析、制度建置、內稽與管審、第一階段與第二階段驗證。
• 可以共用：下方 NIS2、ISO 22301、ISO 42001、ISO 27701 的時程，都因為已有 27001 而縮短。
• 深入：ISO 27001 導入輔導、台灣 ISO 27001 輔導顧問推薦哪家？、ISO 27001 內部稽核委外

ISO 27701 與 GDPR 個資保護

• 先判定：是否向歐盟居民提供商品或服務，或監控歐盟境內人員的行為；符合任一項就受 GDPR 規範。
• 證書的界線：ISO/IEC 27701:2025 於 2025 年 10 月 14 日發布，沒有 27001 也能單獨驗證；但第 27 條歐盟代表、SCC 模組選擇、DPIA 是否強制，都是 27701 不處理的法律判斷。
• 資安長的責任：72 小時個資外洩通報要能實際執行，並保留演練紀錄。
• 時程（服務頁所列）：GDPR 基礎合規建制通常 2–3 個月；整合 ISO 27701 驗證 5–8 個月，已有 27001 者可縮短到 3–5 個月。
• 深入：ISO 27701、GDPR、ISO 27701 顧問怎麼選

NIS2 歐盟網路與資訊安全指令

• 先判定：依規模與附件 I、II，判斷公司是否為關鍵或重要實體，以及所在成員國的要求。只是受規範實體的供應商時，客戶會把供應鏈安全要求寫進合約。
• 要落實的事：第 21 條 10 項最低資安措施；第 23 條的通報時限；由管理機構核准並監督（第 20 條）。
• 時程（服務頁所列）：從差距分析到制度建立通常 4–6 個月；已有 ISO 27001 者可縮短到 2–3 個月。
• 深入：NIS2、NIS2 顧問怎麼選

DORA 歐盟金融數位營運韌性法

• 先判定：公司是歐盟金融實體，還是服務歐盟金融實體的 ICT 供應商。DORA 自 2025 年 1 月 17 日起適用，直接適用第 2(1) 條所列的歐盟金融實體。
• ICT 供應商要做的事：履行合約中的稽核權、資料可攜性、業務持續與退出策略條款，並配合客戶的 Register of Information 提供服務資訊。
• 時程（服務頁所列）：ICT 供應商的合約義務準備通常 2–3 個月；金融機構完整框架通常 6–9 個月。
• 深入：DORA、DORA 顧問怎麼選

EU CRA 歐盟網路韌性法

• 先判定：產品是否在 CRA 範圍、屬於哪一類、走哪條符合性評估路徑。一般產品可採內部控制（模組 A）自行評估；重要產品第 I 類未完整適用調和標準時，以及第 II 類與關鍵產品，須經第三方程序。
• 期限：第 14 條通報義務自 2026 年 9 月 11 日起適用；其餘主要義務自 2027 年 12 月 11 日起全面適用。
• 資安長的責任：附件 I 要求的漏洞處理流程、SBOM、附件 VII 技術文件，以及第 14 條通報流程。
• 深入：EU CRA 合規輔導、CRA 由誰主導、CRA 時程、CRA 預算

ISO/IEC 29147 漏洞揭露

• 對資安長的意義：對外的漏洞通報入口與公告流程。CRA 本身沒有指名 ISO/IEC 29147，要求的是結果：CVD 政策、通報聯絡地址、修補，以及安全更新可用後公開已修補漏洞的資訊。
• 典型交付：security.txt 與通報信箱或表單、受理與回覆 SLA、含安全港聲明的 CVD 政策、公告模板與發布流程。
• 可以共用：已有 27001 者，可把 CVD 流程掛載在既有 ISMS 上，文件與稽核機制共用。
• 深入：ISO/IEC 29147、29147 顧問怎麼選

ISO/IEC 30111 漏洞處理流程

• 對資安長的意義：把「誰收單、誰驗證、誰定級、誰修、誰發布、多快」寫成可稽核的流程與 SLA，並與事件回應（ISO/IEC 27035）、供應商管理（ISO/IEC 27036）銜接。
• 和 CRA 的關係：依 JRC 與 ENISA 的對映，30111 對應 CRA 附件一第二部分漏洞處理八項中的五項；SBOM、定期測試與安全派送更新，要用其他標準或程序補齊。
• 建議：與 29147 一起導入，避免交接處留下稽核缺口。
• 深入：ISO/IEC 30111、30111 顧問怎麼選

IEC 62443 工業控制系統資安

• 先判定：依公司角色與目標，找出最小必要的子標準組合，避免投入不需要的認證。
• 順序：取得 4-2 產品認證前，組織必須先完成 4-1 安全開發生命週期（SDL）認證。IEC 62443 認證本身不等於推定符合 CRA；推定符合只來自刊登於歐盟公報的協調標準、共同規格或指定認證方案（CRA 第 27 條）。
• 時程（服務頁所列）：4-1 SDL 組織認證通常 6–9 個月；4-2 產品認證 4–8 個月（不含 4-1）；2-1 管理系統 4–6 個月；2-4 服務供應商認證 3–5 個月。
• 深入：IEC 62443、IEC 62443 顧問怎麼選

TISAX 車用資訊安全評估

• 先判定：評估範圍、目標與等級，以及該依 VDA ISA 6 還是 ISA2027。等級由評估目標決定，不能自選；AL2 通常以視訊進行，AL3 須稽核員到場。2027 年 1 月 1 日起委託的評估，一律適用 VDA ISA2027。
• 證書的界線：TISAX 是 ENX 營運的評估與交換機制，結果以標籤在 ENX 平台與車廠共享，效期 3 年。
• 時程（服務頁所列）：輔導期通常 7–12 個月以上，已有 ISO 27001 者可縮短。
• 深入：TISAX 評估輔導、TISAX 顧問怎麼選、TISAX 時程

ISO/SAE 21434 車輛資安工程

• 對資安長的意義：TISAX 評的是公司據點的資訊安全，21434 規範產品怎麼被安全地開發出來；TISAX 過了不代表具備 21434 能力。
• 核心工作：TARA（威脅分析與風險評估），由此導出資安目標與需求，貫穿開發與驗證。已有 ASPICE 或 ISO 26262 流程的組織，可以把 21434 掛在既有開發框架上增量導入。
• 證書的界線：標準本身沒有官方認證制度，更關鍵的是通過車廠的開發案稽核。
• 深入：ISO/SAE 21434、21434 顧問怎麼選

ISO 22301 營運持續管理

• 對資安長的意義：ICT 備援與災難復原要有 BIA 推導的 RTO 與演練紀錄。只寫一份 BCP 不夠，沒有 BIA 與演練紀錄的計畫，在稽核與客戶審查中等同不存在。
• 可以共用：與 27001 共用備份與 ICT 備援文件；演練紀錄同時是驗證與客戶問卷的證據。
• 時程（服務頁所列）：四階段通常 4–7 個月；已有 27001 者約 3–5 個月。BIA 與演練兩段無法壓縮。
• 深入：ISO 22301、ISO 22301 顧問怎麼選、ISO 22301 預算與時程

ISO 42001 AI 管理系統

• 對資安長的意義：公司開始使用或開發 AI 後，AI 系統清冊、風險與影響評估要納入治理。
• 證書的界線：ISO/IEC 42001:2023 由依 ISO/IEC 42006 取得認可的驗證機構發證；但 EU AI Act 的符合性評估、歐盟資料庫登錄、授權代表與第 50 條透明度，仍是證書不能替代的法定程序。
• 可以共用：以 ISO 42001 為管理系統的底，與 27001、27701 共用骨架。
• 時程（服務頁所列）：已有 ISO 27001 的組織通常 4–6 個月可達驗證；從零開始約 6–9 個月。
• 深入：ISO 42001 導入輔導、ISO 42001 顧問怎麼選、ISO 42001 與 27001、27701 整合

怎麼接上你現有的制度

上市上櫃公司已經有《上市上櫃公司資通安全管控指引》要求的組織與程序，新要求應該融進去，而不是另建一套。依第 41 條，上市、上櫃公司可衡諸產業特性、規模大小及資安風險適度採行；非公開發行公司不受此指引規範，可以自願參考。

積穗科研的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

• 誰主導：副總、董事級顧問全程親自輔導、不外包，顧問團隊持有 ISO 主導稽核員資格
• 先判定適用：先確認客戶、投標與主管機關的資安要求，判定哪些法規與標準真的適用，再界定範圍
• 一套證據：以 ISO 27001 為骨架，讓 ISO 27701、22301、42001 共用管理系統；29147 與 30111 成對導入
• 分工：驗證由第三方驗證機構執行，我們陪同、不代審
• 第一步：第一次機制診斷免費

相關問題

• 上市櫃公司的資安長要負責什麼？ 依《上市上櫃公司資通安全管控指引》，第 3 條要求成立資通安全推動組織、指派資安專責主管及人員；第 34 條要求訂定資安事件應變處置及通報作業程序；第 37 條要求定期向董事會或管理階層報告資通安全執行情形。依第 41 條，上市、上櫃公司可衡諸產業特性、規模大小及資安風險適度採行；非公開發行公司不受此指引規範。ISO 27001 導入輔導
• 上市櫃公司一定要設資安長嗎？ 依金管會 110 年 12 月 28 日令（依內控處理準則第 9 條之 1 第 2 項訂定），實收資本額 100 億元以上、臺灣 50 指數成分公司或電子商務營收達一定比例的上市櫃公司，應於 111 年底前指派資訊安全長，並設置含專責主管及至少 2 名專責人員的專責單位；其他上市櫃公司（最近三年稅前連續虧損或每股淨值低於面額者除外）應於 112 年底前配置專責主管及至少 1 名專責人員。一般公司資安長的職級，官方規範沒有訂定。ISO 27001 導入輔導
• ISO 27001 驗證對證交所 ESG 評鑑有幫助嗎？ 有。ESG 評鑑指標 S-12 要求建置並揭露資通安全風險管理架構、政策、具體管理方案與投入資源；導入 ISO 27001、CNS 27001 等標準並取得第三方驗證者，總分另加一分（115、116 年度指標）。ISO 27001 導入輔導
• 有 ISO 27001 證書，NIS2、CRA、GDPR 就算合規嗎？ 不算。NIS2、CRA、GDPR 都沒有獨立證書：NIS2 要落實第 21 條措施與第 23 條通報；CRA 要依產品類別完成符合性評估並標示 CE；GDPR 要以 RoPA、DPIA、處理者契約、傳輸機制與通報紀錄自證。27001 是共用的管理骨架，可以縮短其他要求的導入時程。歐盟法遵整合
• 資安事件發生時，歐盟法規要求多快通報？ GDPR 是知悉後 72 小時內；NIS2 是 24 小時早期預警、72 小時通報、一個月內最終報告；DORA 是分類為重大後 4 小時內、且不晚於知悉後 24 小時初始通報；EU CRA 對遭主動利用的漏洞與嚴重事件，是 24 小時早期預警、72 小時通報。同一起事件可能同時觸發多項。NIS2
• 我們只是歐盟客戶的供應商，NIS2 和 DORA 管得到嗎？ NIS2 的受規範實體會把供應鏈安全要求寫進合約。DORA 直接適用歐盟金融實體；台灣 SaaS、雲端、資安服務商若服務歐盟金融實體，要履行合約中的稽核權、資料可攜性、業務持續與退出策略條款，並配合客戶的 Register of Information。DORA
• 產品被發現漏洞，資安長要建立什麼流程？ 對外用 ISO/IEC 29147 建立通報受理與公告，對內用 ISO/IEC 30111 建立驗證、分級與修補流程，再接上 EU CRA 第 14 條的通報：遭主動利用的漏洞，24 小時內早期預警、72 小時內通報。ISO/IEC 30111
• 車廠要求 TISAX，還要做 ISO/SAE 21434 嗎？ 若公司開發或供應具資安相關性的車用電子電氣系統、零組件或軟體，通常需要。TISAX 評的是公司據點的資訊安全，21434 規範產品的資安工程流程，兩者不能互相取代；實際要求以車廠的詢價與合約為準。TISAX
• ISO 27001 現在要用哪一版？ 一律以 ISO/IEC 27001:2022 導入；2013 版證書的過渡期已於 2025 年 10 月 31 日屆滿。已持有舊版制度的組織不是重做，而是控制對映與差距補強。ISO 27001 導入輔導
• 公司開始用 AI，資安長要做 ISO 42001 嗎？ 若客戶或市場要求證明 AI 的治理，ISO 42001 是可驗證的管理系統標準，可以與 27001、27701 共用骨架；已有 27001 的組織通常 4–6 個月可達驗證。證書不等於 EU AI Act 合規。ISO 42001

申請免費機制診斷