台湾の資通安全管理法の対象｜公務機関と特定非公務機関に適用、事件を通報しない特定非公務機関は30万〜1,000万元の罰鍰、委託先の管理も義務
公務機関と特定非公務機関が対象。特定非公務機関が事件を通報しないと30万〜1,000万元の罰鍰。
台湾の政府機関や、公営企業と取引する日本企業、台湾の重要インフラの運営会社に出資している日本企業は、台湾の資通安全管理法が、誰に、どんな義務を課しているかを知っておく必要があります。この法律は、すべての企業に適用されるわけではなく、公務機関と「特定非公務機関」を対象にしています。この記事では、資通安全管理法の第2条、第3条、第7条、第10条、第20条から第24条、第29条から第31条にもとづいて、適用対象、責任等級、維護計画、資通安全長の設置、事件の通報、委託先の管理、違反したときの罰則を整理します。重要インフラの具体的な業種の一覧や、責任等級の区分の基準は、辦法で定められており、この記事では扱いません。
あわせて読みたい：台湾の通信機器・無線機器の認証（NCC）｜電信管理法の審験合格が輸入・販売の前提、核准なしの製造・輸入は10万〜100万元の罰鍰
法律の主管機関
第2条は、この法律の主管機関を、数位発展部と定めています。
適用の対象
第3条は、次の2種類を、規制の対象にしています。
| 種類 | 内容 |
|---|---|
| 公務機関 | 公権力を行使する中央・地方の機関や公法人。軍事機関と情報機関は含まない |
| 特定非公務機関 | 関鍵基礎設施の提供者、公営事業、特定の財団法人、政府が支配する事業・団体・機関 |
関鍵基礎設施とは、その機能が停止したり、効能が下がったりすると、国家の安全、社会の公共の利益、国民の生活、経済活動に重大な影響が出るおそれのある資産・システム・ネットワークで、行政院が定期的に検討して公告した分野のものです。関鍵基礎設施提供者は、その全部または一部を運営し、または提供する者で、中央目的事業主管機関が指定し、行政院が承認した者です（同条第7号、第8号）。
つまり、一般の民間企業は、関鍵基礎設施提供者に指定されない限り、この法律の対象の特定非公務機関ではありません。
責任等級と防護措置
第7条は、公務機関と特定非公務機関に、業務の重要性、機敏性、保有する情報の種類や数量、システムの規模などに応じて、資通安全責任等級を、主管機関に報告して、承認または備査を受けるよう求めています。そして、その責任等級の要求に合わせて、管理、技術、認知、訓練の面から、防護措置を行います。
特定非公務機関の主な義務
| 義務 | 内容 | 根拠 |
|---|---|---|
| 維護計画 | 責任等級の要求に合わせて、資通安全専職人員を置き、維護計画を定めて実施する | 第20条第2項、第21条第1項 |
| 実施状況の提出 | 関鍵基礎設施提供者は、維護計画の実施状況を中央目的事業主管機関に提出する | 第20条第3項 |
| 資通安全長 | 代表者、管理人、またはその指名する人が担当し、社内の資通安全を推進・監督する | 第23条 |
| 通報と対応の仕組み | 事件に備えて、通報・対応の仕組みを定める。事件を知ったときは、中央目的事業主管機関に通報する | 第24条第1項、第2項 |
| 調査・処理・改善報告 | 事件の調査、処理、改善の報告を提出する。重大な事件は、主管機関にも送る | 第24条第3項 |
委託先の管理
第10条は、公務機関や特定非公務機関が、システムの構築、運用、または情報サービスの提供を委託するときは、適当な受託者を選び、受託者に有効な資通安全の管理の仕組みを作らせ、その実施を監督するよう求めています。受託者の業務の手順と環境には、完全な管理措置、または公正な第三者の検証が必要です。委託には、権利義務と違約責任を書いた書面の契約が必要です（同条第3項）。
日本企業が、台湾の公務機関や特定非公務機関から、システムの構築や運用を受託する場合は、この条文の影響を受けます。
罰則
| 違反 | 罰則 | 根拠 |
|---|---|---|
| 特定非公務機関が、事件を通報しない | 30万元以上1,000万元以下の罰鍰、期限を定めて改正を命じられる。期限までに改めないと按次処罰 | 第29条 |
| 維護計画を定めない、または実施しない、提出や報告を怠る、通報・対応の仕組みがないなど | 期限を定めて改正を命じられる。改めないと、10万元以上500万元以下の罰鍰を按次科される | 第30条 |
| 重大事件の調査を、回避、妨害、拒否する | 10万元以上100万元以下の罰鍰 | 第31条 |
手順
- 台湾の取引先や自社の台湾法人が、公務機関または特定非公務機関に当たるかを確認する。
- 関鍵基礎設施提供者に指定されているかを、中央目的事業主管機関の通知で確認する。
- 対象の場合は、責任等級に応じた維護計画と、資通安全長を整える。
- 事件の通報と対応の仕組みを作り、事件を知ったら、中央目的事業主管機関へ通報する。
- 委託や受託の契約には、権利義務と違約責任を書面で定める。
注意点
- 一般の民間企業は、特定非公務機関に指定されない限り、この法律の義務の直接の対象ではありません。
- 責任等級の区分の基準や、通報の期限は、辦法で定められています。この記事では、辦法の内容を確認していません。
- 台湾の公務機関から受託する場合は、第10条の要求が契約に反映されることがあります。
よくある質問
台湾の民間企業にも適用されますか。
特定非公務機関に当たる場合に適用されます。関鍵基礎設施提供者、公営事業、特定の財団法人、政府が支配する事業などです（第3条）。
サイバー事件が起きたら。
特定非公務機関は、事件を知ったとき、中央目的事業主管機関に通報します（第24条第2項）。
通報しないとどうなりますか。
特定非公務機関が事件を通報しないと、30万元以上1,000万元以下の罰鍰です（第29条）。
受託する日本企業は何に注意しますか。
委託元が、受託者の管理措置と書面の契約を要求します（第10条）。
出典
- 全國法規資料庫「資通安全管理法」第2・3・7・10條（2026-10-19 查證）：特定非公務機關：指關鍵基礎設施提供者、公營事業、特定財團法人或受政府控制之事業、團體或機構。
- 全國法規資料庫「資通安全管理法」第20・21・23・24・29・30・31條（2026-10-19 查證）：由中央目的事業主管機關處新臺幣三十萬元以上一千萬元以下罰鍰。