資通安全管理法

本法的目的，是推動國家資通安全政策、加速建構國家資通安全環境，以保障國家安全並維護社會公共利益。

公務機關或特定非公務機關在委外辦理資通系統建置、維運或資通服務時，必須選任適當受託者、要求其建立有效資安管理機制，並監督其實施；還要簽書面契約，並配合主管機關安排資通安全演練。

公務機關原則上不得下載、安裝或使用危害國家資通安全產品；有業務需要且沒有替代方案時，經核可並報主管機關後，得專案使用並列冊管理。

公務機關應設置資通安全長，由機關首長指派副首長或適當人員兼任，並負責推動及監督機關內資通安全事務。

公務機關必須依其資通安全責任等級要求，並考量所保有或處理資訊及資通系統的特性，訂定、修正並實施資通安全維護計畫。

公務機關每年應向上級機關或監督機關提出資通安全維護計畫實施情形；沒有上級機關或監督機關時，改依指定對象提出。

公務機關應稽核其所屬或所監督機關及相關地方機關的資通安全維護計畫實施情形。

If the audited agency’s cybersecurity maintenance plan implementation has deficiencies or needs improvement, it must submit an improvement report to the auditing authority, and the auditing authority must send the audit results to the competent authority in the specified manner.

公務機關要建立資通安全事件的通報與應變機制；知道事件後要向指定機關和主管機關通報，並向受通報機關提交調查、處理及改善報告。

公務機關要依資通安全責任等級設置專職人員並辦理資通安全與應變處理；主管機關要推動職能訓練，且在重大資通安全事件時可調度各機關人員支援。

公務機關與主管機關在必要時，可以對資通安全人員及錄取人員進行適任性查核；未通過或拒絕查核者，不得辦理涉及國家、軍事或國防機密的資通安全業務。

本條指定數位發展部為本法的主管機關，並授權其指定資安專責機關辦理資通安全業務。

中央目的事業主管機關要先徵詢意見後指定關鍵基礎設施提供者；被指定者要設置資通安全專職人員、訂定並實施資通安全維護計畫，並向主管機關提出實施情形與改善報告。

部分非公務機關必須設置資通安全專職人員，並建立、修正及實施資通安全維護計畫；中央目的事業主管機關也可以要求資料、稽核並要求改善報告。

中央目的事業主管機關要擬訂前二條資通安全維護計畫相關辦法，並報主管機關核定。

特定非公務機關應設置資通安全長，並由指定的人員擔任，負責推動和監督機關內的資通安全事務。

特定非公務機關 must 設定通報與應變機制，並在知悉資通安全事件時向中央目的事業主管機關通報；如屬重大事件，還要提出調查、處理及改善報告並送交主管機關。

中央目的事業主管機關 may investigate a major cybersecurity incident at a specific non-public agency using listed procedures, and the investigated parties must not obstruct it.

特定非公務機關對於辦理資通安全業務績效優良的所屬人員，應予獎勵。

主管機關可以限制或禁止特定非公務機關使用有國安資安風險的產品；必要時，對其提供給公眾的相關設備或網際網路接取服務也可採同樣管控。

公務機關所屬人員違反本法時，按情節輕重依規定懲戒或懲處；主管機關並可訂定相關懲處辦法。特定非公務機關所屬人員若未依本法辦理且情節重大，由該機關依規定懲處。

特定非公務機關未依規定通報資通安全事件，中央目的事業主管機關可裁罰鍰並命限期改正；逾期未改正者，得按次處罰。

This provision defines key cybersecurity terms used in the law.

特定非公務機關若有列舉違規情形，中央目的事業主管機關可命其限期改正；逾期未改正的，得按次處新臺幣10萬元以上500萬元以下罰鍰。

違反第25條第3項、規避、妨礙或拒絕調查的人，可能被中央目的事業主管機關罰鍰。

主管機關可以委託其他公務機關、法人或團體辦理資通安全相關工作；受委託者不得洩露辦理過程中知悉的秘密。

If a cybersecurity incident involves a personal data leak, public agencies and specified non-public agencies must handle it under the Personal Data Protection Act and related regulations.

主管機關負責訂定本法的施行細則。

本法的施行日期由行政院决定。

政府應提供資源並推動資通安全相關工作；主管機關要擬訂國家資通安全發展方案，報請行政院核定後實施。

各政府機關與中央、地方機關應配合推動國家資通安全措施；行政院應定期召開國家資通安全會報，相關政府部門應執行其決議。

主管機關應規劃並推動國家資通安全政策等事項，並每年公布相關報告與方案；前項文件還要送立法院備查。

公務機關和特定非公務機關要依其情況報主管機關核定或備查資通安全責任等級，並依該等級要求採取資通安全防護措施。

主管機關可以定期或不定期稽核公務機關及特定非公務機關的資通安全維護計畫實施情形。

主管機關應建立資通安全情資分享機制，並可訂定相關辦法。

本章標題為「第一章 總則」。

This chapter is about cybersecurity management for government agencies.

This chapter concerns cybersecurity management for specific non-public agencies.

This chapter is the penalties chapter.

Chapter heading: Supplementary Provisions.