德國推動企業資安強制義務法案，預計2026年上路
發布日期：2025-07-21
2025-07-18 駐德國代表處經濟組 黃組長青雲
資料來源：
德國商報(Handelsblatt): https://hbapp.handelsblatt.com/cmsid/100141328.html?product=hb&utm_medium=in&utm_source=app&utm_campaign=share
文號：1144070044
為強化關鍵基礎設施與企業的資安防護，德國聯邦政府計畫將歐盟新版《網路與資訊安全指令》（NIS-2）轉化為國內法律，並預定於2026年初正式上路。根據草案內容，約有29,000家來自能源、交通、自來水、食品生產、汙水處理及電信等重要產業的企業與機構將納入規範，須定期進行風險評估、通報資安事件，並落實相應防護措施。
負責資安政策的聯邦資訊安全局（BSI）局長Claudia Plattner表示，德國內政部正積極推動立法，「希望能趕在2026年初讓法案正式生效」。伊強調，企業與機構應儘早做好準備，因為一旦遭到駭客攻擊，若導致資料遭加密或系統遭鎖定，將對社會與民眾造成重大衝擊。目前BSI負責監督約4,500家關鍵基礎設施營運單位，但未來涵蓋範圍將大幅擴大。
根據歐盟規定，NIS-2 指令的落實期限為 2024 年 10 月 17 日，各會員國原應在此之前完成國內法制定。然而包括德國在內的多國並未如期完成。德國政府曾於 2024 年 7 月通過草案，但因社民黨、綠黨與自民黨組成的紅綠燈聯合政府在聯邦議會失去多數支持，導致法案至今仍遭擱置。BSI呼籲應儘速通過現行版本，後續如有需要再進行修法，以免讓惡意駭客或外國情報單位有機可乘。
根據BSI觀察，目前最常見的攻擊手法為「供應鏈攻擊」，駭客往往透過工程顧問或IT外包廠商為跳板，進一步滲透其服務的政府單位或政治機構。部分攻擊是否涉及國家級行為尚難斷定，但不少案例呈現出結合財務動機與政治目的的混合手法。近期德國健康集團Ameos遭遇重大IT系統癱瘓，薩克森-安哈特邦政府多個部會網站也疑遭親俄駭客發動阻斷式攻擊（DDoS），突顯德國亟需透過立法手段強化資安韌性。
備註：經濟部駐外單位為利業者即時掌握商情，廣泛蒐集相關資訊供業者參考。國際貿易署無從查證所有訊息均屬完整、正確，讀者如需運用，應自行確認資訊之正確性。參考本網頁刊載商情資訊，請注意國情及商業環境之不同，而且不代表本部立場或政策。
出處： 經濟部國際貿易署
