醫療法 第 105-2 條
- 1.對重要捐血中心或急救責任醫院供應水、電力、醫用氣體之資訊系統或電子病歷資訊系統，以下列方法之一，危害其功能正常運作者，處一年以上七年以下有期徒刑，得併科新臺幣一千萬元以下罰金： 一、無故輸入其帳號密碼、破解使用電腦之保護措施或利用電腦系統之漏洞，而入侵其電腦或相關設備。 二、無故以電腦程式或其他電磁方式干擾其電腦或相關設備。 三、無故取得、刪除或變更其電腦或相關設備之電磁紀錄。
- 2.製作專供犯前項之罪之電腦程式，而供自己或他人犯前項之罪者，亦同。
- 3.意圖危害國家安全或社會安定，而犯前二項之罪者，處三年以上十年以下有期徒刑，得併科新臺幣五千萬元以下罰金。
- 4.前三項情形致釀成災害者，加重其刑至二分之一；因而致人於死者，處無期徒刑或七年以上有期徒刑，得併科新臺幣一億元以下罰金；致重傷者，處五年以上十二年以下有期徒刑，得併科新臺幣八千萬元以下罰金。
- 5.第一項至第三項之未遂犯罰之。
- 6.第一項與前條第一項所定重要捐血中心及急救責任醫院之範圍，由中央主管機關公告之。
白話與解析 AI 輔助整理，以原文為準
重點摘要醫療法第105條之2處罰對急救責任醫院、重要捐血中心資訊系統的網路攻擊，刑度一年以上七年以下，意圖危害國安加重至十年，致死最重無期徒刑。
Q · 駭客攻擊醫院的資訊系統會被判幾年？
依醫療法第105條之2，對重要捐血中心或急救責任醫院的供水、供電、醫用氣體資訊系統或電子病歷系統發動網路攻擊，危害其正常運作者，處一年以上七年以下有期徒刑，得併科一千萬元以下罰金。意圖危害國家安全加重至三年以上十年以下、罰金五千萬；致釀災害加重二分之一，致人於死最重無期徒刑加一億元罰金。製作攻擊工具與未遂犯都罰。
白話解讀
你以為駭客攻擊醫院是電影情節？2023 年立法院增訂這條的時候，台灣已經有醫院被勒索病毒癱瘓過，病人手術延後、急診轉院、檢驗報告全部停擺。這條法律把「對醫院和捐血中心的網路攻擊」從一般電腦犯罪（刑法 358-363 條，最重五年）拉高到「最重十年、罰金一億」的等級。為什麼？因為這不是偷資料，是拿別人的命當人質。重點是：它的處罰範圍比你想的寬。不只「駭進去」算，「寫工具給別人駭」也算（第二項），意圖危害國安加重一倍（第三項），死了人最重無期徒刑加一億罰金（第四項）。連未遂都罰。你以為自己只是「研究漏洞」、「測試系統」、「分享工具」，只要對象是急救醫院或捐血中心，刑度直接是一般電腦犯罪的兩倍起跳。
法律定性
醫療法第105條之2為醫療關鍵基礎設施的資安刑事加重規範，對重要捐血中心、急救責任醫院的供水供電醫用氣體資訊系統及電子病歷系統，以入侵、干擾、取得刪除變更電磁紀錄等方式危害功能者，刑度遠高於刑法電腦犯罪章一般規定，並涵蓋製作犯罪程式與未遂犯。
試算與流程 AI 輔助整理，結果僅供參考
🗺 判斷流程
大家也在問 AI 輔助整理
Q1公司接到醫院的滲透測試案，工程師可以順便測試其他系統嗎？▾
絕對不行。本條第一項三款都是「無故」入侵或操作，授權書沒寫到的系統就是無故。實務上委外合約的測試範圍是逐個IP、逐個應用系統列舉的，列表以外全部視為未授權。拿到授權書後第一件事是確認測試範圍涵蓋哪些主機，最好做成簽收清單。發現範圍外有疑似漏洞，正確做法是回報醫院IT，不是自己順手測試證明能進去。
Q2我是學生，把醫院系統當作期末報告的研究對象，這也犯法嗎？▾
是。本條不分研究、教學或營利目的，只看有沒有授權和對象是不是公告的重要捐血中心或急救責任醫院，連未遂都罰。學術研究的正確路徑是用模擬靶機，或事先取得醫院與學校雙方的書面授權。老師指定真實醫院當研究對象，老師和學生都有刑責，不是為了學習就免罰。
Q3中央主管機關公告的重要捐血中心和急救責任醫院清單去哪裡查？▾
依本條第六項，名單由衛福部公告。急救責任醫院名單可在衛福部醫事司網站查到，分一級、中度、重度三級。重要捐血中心由台灣血液基金會管理，主要據點都在公告範圍內。判斷一家醫院是不是急救責任醫院不能憑直覺，社區小診所通常不是，中型以上綜合醫院多數都是，寧可假設它是並做事前確認。
Q4醫療法105條之2是什麼？▾
對急救責任醫院、重要捐血中心的供水供電醫用氣體資訊系統及電子病歷系統發動網路攻擊的加重處罰規定，刑度是刑法電腦犯罪章的兩倍起跳。
Q5什麼叫急救責任醫院？▾
由衛福部依緊急醫療能力分級公告的醫院，分一級、中度、重度三級，中型以上綜合醫院多數列入。
Q6製作專供犯罪之電腦程式是什麼意思？▾
撰寫或提供專門用於入侵、干擾醫院系統的攻擊工具，依第二項與實際攻擊同刑度。
Q7醫療法105之2跟刑法電腦犯罪差在哪？▾
刑法358至363條最重五年，本條對醫院的同樣行為翻倍到十年，致死翻到無期徒刑。
Q8醫院被網路攻擊後該怎麼處理？▾
保留伺服器日誌與防火牆紀錄、通報衛福部與刑事警察局科技犯罪防制中心、啟動轉院與病歷備援應變。
Q9資安研究員怎麼合法揭露醫院漏洞？▾
走責任揭露：先發CVE給廠商與疾管署、衛福部，等修補完成後再公開，全程保留通報紀錄。
Q10怎麼確認測試行為有沒有踩線？▾
取得逐個IP、逐個系統列舉的書面授權清單並做成簽收，只操作清單內主機。
Q11被依本條起訴時防禦重點是什麼？▾
證明行為在書面授權範圍內、蒐集責任揭露證據、切割國安加重指控，能證明中止未遂可減免刑罰。
Q12醫療法105之2 vs 刑法358入侵電腦罪哪個重？▾
對急救醫院適用105之2，刑度遠高於刑法358的三年，本條是加重特別法優先適用。
容易搞混的概念 AI 輔助整理
| 比較面向 | 刑法電腦犯罪章 | 醫療法105之2 |
|---|---|---|
| 保護法益 | 個人或一般電腦系統的資料安全 | 醫療關鍵基礎設施運作與病人生命安全 |
| 基本刑度 | 最重五年（358至363條） | 一年以上七年以下，得併科一千萬元罰金 |
| 加重事由 | 無特別國安加重 | 意圖危害國安至十年；致死最重無期徒刑加一億元罰金 |
| 製作工具 | 刑法362條另罰 | 第二項與攻擊同刑度 |
| 未遂 | 部分條文罰 | 第一至三項未遂明文處罰 |
其他國家怎麼規定 6 國
AI 輔助整理之對應參考，非官方對照，以各國原文為準
🔒還有 10 題問答 · 易混淆概念對照 · 6 國規定比較
把多條並列逐欄比較