法務長看 DORA：第 30 條合約、稽核權與退出條款怎麼談？

我們會被 DORA 直接規範，還是只透過合約承接義務？

2025 年 11 月 18 日公布的首批 19 家關鍵 ICT 第三方服務提供者名單中，沒有台灣企業。客戶的資訊登錄冊以 LEI 識別歐盟以外的服務商；法務要確認公司已有 LEI，並指定由誰提供登錄所需資訊。

客戶依第 30 條要我們簽的條款有哪些？哪些只在支援關鍵或重要功能時才有？

法務長的審閱重點：

• 資料處理地點：列了哪些國家；是否限制你日後變更機房或再委外
• 配合主管機關：歐盟主管機關的要求，你在台灣如何回應、由誰對接
• 功能定性：你的服務在客戶眼中是否支援「關鍵或重要功能」，決定條款多寡；這由客戶判定，簽約前先問清楚
• 再委外：你的雲端或下游供應商合約，能否支撐你對客戶的承諾

時程（服務頁所列）：ICT 供應商的合約義務準備通常 2–3 個月。

金融客戶要求「無限制」的稽核權，可以限制頻率，或用 ISO 27001 證書替代嗎？

支援關鍵或重要功能時，第 30 條第 3 項 (e) 款 (i) 目要求金融實體或其指定的第三方享有無限制的存取、檢查與稽核權（EIOPA Q&A 引述條文）。ESMA 在 Q&A 2646（2025-09-18）說明：

• DORA 不限制金融實體以何種方式落實稽核要求
• 稽核頻率由金融實體同意，不是由 ICT 服務商單方決定
• 即使約定了頻率，仍須讓金融實體能進行臨時稽核

所以法務長能談的是「怎麼稽核」，不是「能不能稽核」：事先通知期間、範圍、保密（避免接觸其他客戶的資料）、費用負擔，以及把 ISO 27001 證書與稽核報告列為例行佐證、同時保留臨時稽核。證書能否取代某一次稽核，由金融實體決定。

終止與退出條款：客戶可以在什麼情況終止？我們要承諾多少過渡協助？

第 30 條要求所有合約訂明終止權利；支援關鍵或重要功能時，還要有退出策略。客戶會問：服務終止或轉換時，資料與服務怎麼移轉、過渡期多長？法務長的框架：

條款的法律效果，由律師依個案判斷。

本國法律限制資料存取或揭露，和 DORA 合約條款衝突時怎麼辦？

這是 ICT 服務商實際會遇到的跨境衝突。歐洲保險與職業退休金管理局（EIOPA）的 DORA Q&A 收過一題：芬蘭的電子通訊服務法不允許提供電信業者資料的存取，與第 30 條第 3 項 (e) 款 (i) 目的無限制存取、檢查與稽核權衝突。EIOPA 以 Q&A 工具不回答質疑法律框架正確性的問題為由退回，沒有給出解答。

DORA 不會替你解決衝突，所以條款要先談清楚：

• 簽約前盤點：台灣或其他國家法律中限制資料出境、存取或揭露的規定，對照合約的資料處理地點、稽核與配合主管機關條款
• 寫進合約：衝突發生時的通知、協商替代方式與終止程序
• 誰判斷：衝突是否存在、條款怎麼寫，由熟悉兩地法律的律師判斷

重大 ICT 事件發生時，我們對金融客戶的通報與協助義務是什麼？

向主管機關通報的是金融實體，不是你；但你的協助決定它能否趕上時限。依授權規則 (EU) 2025/301：

• 初始通報：事件被分類為重大後 4 小時內，且不晚於知悉事件後 24 小時
• 中間報告：初始通報後 72 小時內
• 最終報告：最近一次中間報告後 1 個月內

是否重大依授權規則 (EU) 2024/1772 判定。所有合約都要有協助處理 ICT 事件的條款；法務長要確認：你通知客戶要多快、要提供哪些資訊、協助是否另計費、事件紀錄怎麼保全才能支援客戶的最終報告。同時屬 NIS2 實體的歐盟金融實體，網路安全風險管理與通報改適用 DORA（DORA 第 1 條第 2 項；執委會指引 C/2023/6068）。

積穗科研怎麼協助法務長處理 DORA？

• 身分判定：確認是 DORA 適用的金融實體類型，或金融實體的 ICT 供應商，評估直接義務與合約義務的範圍
• 第三方 ICT 風險管理：建立供應商風險評估方法、合約必要條款（稽核權、資料可攜性、退出策略）與資訊登錄冊的維護
• 事件通報：設計重大事件的嚴重性評估標準與通報流程
• 韌性測試：規劃年度測試計畫，評估 TLPT 是否適用
• 和既有制度整合：已有 ISO 27001 或營運持續管理基礎者，重用既有文件與控制措施
• 誰主導：副總、董事級顧問全程輔導，不外包

需要判斷合約責任或管轄的法律意見時，應諮詢律師。深入：DORA 歐盟金融數位韌性法輔導、台灣 DORA 顧問怎麼選、NIS2 歐盟網安指令輔導。申請免費機制診斷