資安長面對 DORA：服務歐盟金融客戶，合約、通報與測試要準備什麼？

我們是 DORA 的金融實體，還是金融實體的 ICT 第三方服務提供者？

同一集團內可能同時有兩種身分，要逐一法人判定。

客戶依第 30 條要求的合約條款，資安長要準備哪些證據？

第 30 條要求金融實體把下列事項寫進合約：服務說明、服務與資料處理地點、協助處理 ICT 事件、配合主管機關、終止權利；支援關鍵或重要功能時，還有服務水準、營運持續計畫與測試、稽核權、退出策略等。

資安長可準備的證據：

• 服務與資料處理地點清單
• 事件處理與通知程序
• 營運持續計畫與測試紀錄
• 接受稽核的安排與窗口

客戶也要把你的服務登錄在資訊登錄冊（範本見執行規則 (EU) 2024/2956；歐盟以外的服務商以 LEI 識別）。涉及合約責任時，請法律顧問審閱。

重大 ICT 事件的通報時限是什麼？ICT 供應商要配合到什麼程度？

依 DORA 第 19 條與授權規則 (EU) 2025/301 第 5 條，通報由金融實體提出：

事件是否重大，依授權規則 (EU) 2024/1772 判定。供應商要事先和客戶約定：誰在什麼時間內提供什麼資訊，才能讓客戶在 4 小時內完成初始通報。這段約定應寫進你自己的應變程序。

歐盟金融子公司同時符合 NIS2，事件要報兩次嗎？

對同時屬 NIS2 基本或重要實體的金融實體，DORA 是 NIS2 第 4 條所稱的特定產業法規（DORA 第 1 條第 2 項）。依 NIS2 前言第 28 點與歐盟執委會指引 C/2023/6068，成員國不應對這些金融實體適用 NIS2 的風險管理、通報與監理執法規定，改適用 DORA；NIS2 的國家網路危機管理架構（第 9 條）與 EU-CyCLONe（第 16 條）仍適用。

不屬 DORA 金融實體的集團成員或 ICT 供應商，仍可能依自身身分受 NIS2 規範。資安長要在事件分類步驟裡，按法人別判斷走 DORA 還是 NIS2。

台灣 ICT 服務商會不會直接被 DORA 罰？董事會報告怎麼說明暴險？

一般不會。未被指定為關鍵 ICT 第三方服務提供者的業者，沒有直接的 DORA 義務，要求透過客戶的合約與資訊登錄冊傳到你身上；金融實體的罰則由各成員國依第 50 條以國內法訂定。只有被指定為關鍵者，主導監督機關才可依第 35 條課以定期罰款：按日計罰、最長 6 個月、最高為前一營業年度全球日均營業額的 1%。

常見的「全球年營業額 2%」是 NIS2 第 34 條對基本實體的規定，不適用於 DORA 金融實體。向董事會報告時，暴險應寫成合約責任，由法律顧問依合約判斷。

客戶要求配合韌性測試、TLPT 與退出策略，資安長要怎麼準備？

• 年度測試：先確認客戶的測試涵蓋哪些你提供的系統，排進你自己的測試與維護時程。
• TLPT：確認威脅導向滲透測試是否適用、你要怎麼配合；測試結果應回饋到風險管理。
• 退出策略：服務終止或轉換時，資料與服務怎麼移轉、過渡期多長，事先寫成可執行的安排。

沒有服務歐盟金融實體，或客戶只要求填寫資安問卷、沒有要求簽 DORA 合約條款時，用既有 ISO 27001 的制度與紀錄回應通常就足夠。

積穗科研怎麼協助資安長處理 DORA？

• 身分判定：判斷屬金融實體或 ICT 供應商，確認合約義務範疇與資訊登錄冊準備程度。
• 差距分析：依 DORA 框架逐章建立制度文件，含分類為重大後 4 小時內初始通報的事件通報 SOP。
• 第三方風險：建立供應商風險評估方法、合約必要條款（稽核權、資料可攜性、退出策略）與登錄冊維護。
• 測試：提供 TLPT 適用性評估與測試規劃，以及 DORA＋NIS2 整合評估。
• 一套證據：已有 ISO 27001 或營運持續管理基礎者，重用既有文件與控制措施。
• 分工：副總、董事級顧問全程親自輔導、不外包。

延伸閱讀：DORA 輔導、DORA 顧問怎麼選、NIS2、ISO 22301。申請免費機制診斷