我們是 DORA 的金融實體還是 ICT 供應商？這項風險要放在風險地圖哪一類？
| 身分 | 判斷依據 | 主要風險 |
|---|---|---|
| 歐盟金融實體（含在歐盟設立的子公司） | 屬第 2 條第 1 項所列金融實體 | ICT 風險管理、重大事件通報、韌性測試、第三方風險 |
| 金融實體的 ICT 第三方服務提供者 | 向上述金融實體提供 ICT 服務 | 第 30 條合約條款、登錄冊資訊、退出安排 |
| 被指定為關鍵 ICT 第三方服務提供者 | 歐洲監管機關依第 31 條指定 | 主導監督機關直接監督 |
DORA 自 2025 年 1 月 17 日起適用。在《上市上櫃公司風險管理實務守則》第 18 條的分類中，可放在資訊風險與法遵風險；第三方集中度與退出則影響營運風險。此守則供上市櫃公司參照，非公開發行公司不受此守則規範，可自願參考。
DORA 要求董事會（管理機構）做什麼？風控長的報告要涵蓋哪些？
依第 5 條第 2 項，金融實體的管理機構要：
- 對 ICT 風險管理負最終責任；
- 核定數位營運韌性策略，含 ICT 風險容忍度；
- 核准、監督並定期檢討 ICT 營運持續政策與 ICT 回應及復原計畫；
- 核准並定期檢討 ICT 內部稽核計畫，分配韌性所需預算；
- 核准使用 ICT 第三方服務的政策，並建立通報管道，掌握與 ICT 第三方的安排、重大變更與重大 ICT 事件的影響。
第 5 條第 4 項要求管理機構成員定期受訓，保持足以理解與評估 ICT 風險的知識。風控長的報告可以直接依這幾項組織：容忍度與實際狀況、第三方依賴、事件與測試結果。
ICT 第三方的集中度風險與退出策略，風控長要怎麼評估？
DORA 要求把第三方風險明確納入 ICT 風險管理框架，並考量集中度風險（第 28、29 條）；所有 ICT 服務合約都要登錄在資訊登錄冊，並標示是否支援關鍵或重要功能；支援關鍵或重要功能的委外，必須有可用的退出策略。
可以這樣評估：
- 集中度：哪些關鍵或重要功能依賴同一家供應商、同一個雲端或同一個地點
- 可替代性：換供應商要多久、過渡期間服務能否維持
- 合約：第 30 條要求的條款是否齊全（服務說明、資料處理地點、事件協助、終止權利；關鍵或重要功能另有服務水準、營運持續測試、稽核權與退出策略）
- 登錄冊：資訊是否完整、與實際合約一致
2025 年 11 月 18 日公布的首批 19 家關鍵 ICT 第三方服務提供者中沒有台灣企業。
重大 ICT 事件的判定標準，可以直接拿來設 KRI 門檻嗎？
可以作為 KRI 分級的骨架。依授權規則 (EU) 2024/1772，分類標準包括：受影響的客戶、金融交易對手或交易；商譽影響；事件持續與服務中斷時間；地理擴散；資料可用性、真實性、完整性或機密性的影響；經濟影響。事件影響關鍵服務，且發生成功、惡意的未授權存取，或達到兩項以上重要性門檻時，屬重大事件。
重大事件的通報時限：分類為重大後 4 小時內、且不晚於知悉後 24 小時初始通報；初始通報後 72 小時內中間報告；最近一次中間報告後 1 個月內最終報告。
建議做法：用同一組標準設定比法定門檻更早觸發的預警值，讓 KRI、事件分級與通報程序使用同一套語言。各項門檻數值以 2024/1772 條文為準。
DORA 的罰則暴險要怎麼估？是全球營業額 2% 嗎？
不是。DORA 沒有對金融實體訂定以營業額百分比計算的罰款，罰則由各會員國依第 50 條以國內法訂定，須有效、合乎比例且具嚇阻性。「全球年營業額 2%」是 NIS2 第 34 條對基本實體的規定，依 NIS2 第 4 條不適用於 DORA 金融實體。
只有被指定為關鍵 ICT 第三方服務提供者時，主導監督機關才可依第 35 條課以定期罰款：按日計罰、最長 6 個月、最高為前一營業年度全球日均營業額的 1%。
對台灣的 ICT 供應商，衝擊評估的重點是合約：客戶終止、稽核發現與賠償條款。合約責任的判斷，請由法律顧問依個案評估。
DORA 的營運持續與韌性測試，怎麼和 ISO 22301 接在一起？
DORA 第 11、12 條要求 ICT 營運持續政策、備份與復原，以及測試；要的是「措施存在且經測試」，不是證書。ISO 22301 的業務衝擊分析、策略與演練，正好是這些措施的證據：
| ISO 22301 | DORA |
|---|---|
| 業務衝擊分析（條款 8.2） | 第 11 條衝擊分析 |
| 演練（條款 8.5） | 第 11 條第 6 項測試 |
| 備份與復原（27001 A.8.13） | 第 12 條 |
另要規劃年度韌性測試，並評估威脅導向滲透測試（TLPT）是否適用。ISO 22301 的時程（服務頁所列）通常 4–7 個月，已有 27001 者約 3–5 個月。
積穗科研怎麼協助風控長處理 DORA？
- 身分判定：確認是金融實體還是 ICT 供應商，評估直接與合約義務範圍及登錄冊準備程度
- ICT 風險管理框架：依第 II 章建立資產盤點、風險評估、保護、偵測、回應與復原程序
- 事件與第三方：重大事件分類標準與通報 SOP；供應商風險評估方法、合約必要條款與登錄冊維護
- 韌性測試：年度測試計畫與 TLPT 適用性評估；提供 DORA＋NIS2 整合評估
- 時程（服務頁所列）：ICT 供應商合約義務準備通常 2–3 個月；金融機構完整框架通常 6–9 個月，已有 ISO 27001／BCM 基礎者可縮短
- 誰主導：副總、董事級顧問全程親自輔導、不外包；第一次機制診斷免費
其他角色怎麼看這項服務
同一角色的其他服務
- 風控長導入 ERM：風險地圖、KRI 與董事會報告怎麼建？
- 風控長看 ISO 22301：中斷情境、RTO 與演練怎麼進風險報告？
- 風控長導入 ISO 37001：賄賂情境、海外暴險與誠信指標怎麼管？
- 風控長看營業秘密保護：外流情境、合理保密措施與 KRI 怎麼設？
- 風控長看 ISO 27001：資訊風險怎麼和企業風險用同一把尺？
- 風控長看 AI 風險：ISO 42001 與 EU AI Act 要先決定什麼？
- 風控長看 GDPR：罰則暴險、集團跨境傳輸與外洩情境怎麼評估？
- 風控長看 NIS2：適用身分、罰則與管理機構責任怎麼評估？
- 風控長看 EU CRA：市場准入風險、通報義務與監督角色怎麼排？
- 風控長管 AI 轉型：AI 風險怎麼進風險地圖、KRI 與董事會報告？
官方來源
- Regulation (EU) 2022/2554 DORA（EUR-Lex）
- BaFin：DORA — Digital Operational Resilience Act（2022-09-22）
- AFM：DORA — Third-party providers
- FMA Austria：DORA — ICT-related incidents
- Commission Delegated Regulation (EU) 2024/1772: classification of major ICT-related incidents (EUR-Lex)
- ESAs: designation of critical ICT third-party providers (18 November 2025)
- 上市上櫃公司風險管理實務守則（證交所法規分享知識庫，111.08.08）