資通安全管理法 第 24 條

關鍵在你是不是被指定為「特定非公務機關」。中央目的事業主管機關會把關鍵基礎設施提供者（電信、能源、金融、醫療、交通等）列管，被列管後就和公務機關一樣有通報及應變義務（第24條）。是否被列管不是自己說了算，主管機關會有正式公告或函文，先去確認有沒有收到，別等出事才發現自己一直在名單上。

風險很高。第24條第2項的通報義務不分事件大小，只要「知悉資通安全事件」就要通報。沒通報而事後被稽核或因事件擴大被揭穿，依第29條可處30萬至500萬元罰鍰。主管機關要的是即時情資並協助止血，第5項甚至規定它知悉重大事件時要提供必要協助，藏著不報反而失去這層奧援。

第5項給了主管機關在「適當時機」公告事件相關必要內容及因應措施的權限，但目的是公共防護，不是公審，實務上公告多以去識別或聚焦防護建議為主。與其擔心被公告，不如主動完整通報並配合，反而能掌握與主管機關溝通公告內容與時機的話語權。

規範被指定為「特定非公務機關」者，多為電信、能源、金融、醫療、交通等關鍵基礎設施提供者，是否列管由中央目的事業主管機關公告認定。

經中央目的事業主管機關指定、納入資安法管理的非政府機構，被列管後就與公務機關一樣背負通報及應變義務。

系統、服務或網路狀態經人為操作致資安政策遭破壞或產生影響的情形，含入侵、勒索病毒、資料外洩等。

資安法第24條向中央目的事業主管機關通報，個資法第12條向當事人通知，駭客入侵常同時觸發，漏掉任一條各自有罰則。

確認列管身分 → 啟動內部應變機制 → 法定時限內向中央目的事業主管機關通報 → 保全跡證 → 提出改善報告，重大事件並送交主管機關。

依「資通安全事件通報及應變辦法」分級認定，重大事件最快須於知悉後1小時內通報（請以現行辦法為準）。

依第29條可處新臺幣30萬至500萬元罰鍰，且屆期未改正得按次處罰，裁罰金額受配合度影響。

保留書面的通報及應變機制、內部簽核時間軸、通報紀錄與跡證log，這些是稽核時證明已盡義務的護身符。

兩者並行不互斥，涉個資外洩時須同時走資安法向主管機關通報與個資法向當事人通知，建議同步啟動。