Critical Infrastructure Resilience — 2026-W12 {: .no_toc }

本週重點：歐盟通過 Regulation (EU) 2026/589 擴大網路攻擊制裁名單，制裁五名威脅行為者（含中國與伊朗行為者）保護關鍵基礎設施；ISO 發布首部能源韌性框架 ISO 22366:2026；NIST 啟動 IoT 資安計畫 Future Directions Workshop 徵集下一步方向意見。

本期追蹤 12 項關鍵基礎設施韌性動態，涵蓋 NIST 框架、NIST 洞察、歐盟法規、ISO 標準。

免責聲明

本報告由 AI 系統自動產出，基於公開資料源萃取與結構化分析。 內容僅供參考，不構成法律或合規建議。所有資訊應以原始發布機構 的正式文件為準。標註「推測」之內容為系統推論，尚未經人工驗證。

## 報告資訊 | 項目 | 內容 | |------|------| | 產出方式 | AI 自動產出（Claude Opus 4.5） | | 審核狀態 | 已通過自動審核 | | 審核依據 | CLAUDE.md 自我審核 Checklist | | 資料來源 | 12 個權威來源（NIST、EUR-Lex、ISO 等） | | 資料時間 | 2025-07-15 ~ 2026-03-20 |
目錄
  1. Critical Infrastructure Resilience — 2026-W12 {: .no_toc }
    1. 免責聲明
    2. 本週重點
    3. 區域動態比較
      1. 美國（NIST）
      2. 歐盟
    4. 基礎設施領域矩陣
    5. 責任變動追蹤
    6. 義務與舉證要求
      1. 新增義務摘要
      2. 舉證要求摘要
    7. L5 — Evolution Signals
    8. 統計
    9. 資料來源

本週重點

歐盟通過 Regulation (EU) 2026/589 擴大網路攻擊制裁名單，針對五名威脅行為者（包含兩名中國個人及一名伊朗行為者）實施資產凍結與旅行禁令，以保護歐盟關鍵基礎設施免受國家支持的網路攻擊。

  1. Regulation (EU) 2026/589 — 網路攻擊制裁擴大（2026-03-16, regulation, mandatory） 歐盟理事會通過實施法規，將兩名中國個人及三個實體（含伊朗網路行為者）列入制裁名單，這些行為者對歐盟關鍵基礎設施發動重大網路攻擊。法規具直接適用效力，自 2026-03-16 生效。

  2. ISO 22366:2026 — 能源韌性框架與原則（2026-01-08, new, recommended） ISO/TC 292 發布首部專門針對能源韌性的國際標準，為組織在自然或人為破壞事件後降低衝擊並達成「更好地重建」目標提供框架。涵蓋能源供應網絡的社會面與技術面考量。

  3. NIST IoT Cybersecurity Program — Future Directions Workshop（2026-03-20, guidance, public_comment） NIST 宣布將於 2026-03-31 舉辦兩日工作坊，徵集利害關係人意見以擴展 IoT 資安指引（NISTIR 8259、SP 800-213），範圍涵蓋新興技術、部署情境與實體安全影響。

  4. Directive (EU) 2026/706 — 能源計量設備擴展（2026-03-20, expanded, mandatory） 擴展 Directive 2014/32/EU 範圍，涵蓋電動車充電設備、氫能與替代燃料加注機、冷卻用熱能計量表及智慧電表。成員國須於 2028-04-10 前完成轉置。

  5. Regulation (EU) 2025/2643 — 歐洲防衛工業計畫 EDIP（2025-12-29, new, mandatory） 建立 2025-2027 年歐洲防衛工業計畫框架，提供共同採購行動與工業強化行動的財務支持，包含烏克蘭防衛產業支援機制。具直接適用效力。

「The EU expands its cyber-sanctions list by adding two Chinese individuals and three entities responsible for significant cyber-attacks against Union critical infrastructure.」 Council Implementing Regulation (EU) 2026/589

區域動態比較

美國（NIST）

NIST 積極推動 IoT 資安指引的下一階段發展，透過 Future Directions Workshop 徵集意見，擴展至新興技術與實體安全影響面向。

  • NIST IoT Cybersecurity Program（NISTIR 8259, SP 800-213）：2026-03-31 舉辦 Future Directions Workshop，公開徵集意見。五年來 IoT 資安指引持續擴展，從製造商基礎活動建議發展為涵蓋聯邦採購與部署情境的完整生態系。（status: public_comment）
  • NIST SP 1334 — OT 環境可攜式儲存媒體風險：持續在公開評論階段，針對 OT/ICS 環境中 USB 等可攜式儲存媒體的網路安全風險提供指引。（status: public_comment）
  • NIST CSWP 51 — Transit Cybersecurity Framework：社群剖面仍在公開評論階段，為公共運輸系統建立網路安全框架。（status: public_comment）
  • 聯邦 IoT 基礎設施投資：NIST 研究指出聯邦 IoT 基礎設施投資可產生 10-20 倍回報。（status: final）

歐盟

歐盟本期在網路安全制裁、能源基礎設施法規及防衛工業計畫三大面向同步推進，強化跨領域的關鍵基礎設施保護。

  • Regulation (EU) 2026/589 — 網路攻擊制裁（2026-03-16）：直接適用法規，擴大制裁名單涵蓋攻擊歐盟關鍵基礎設施的中國與伊朗行為者。（binding_force: directly_applicable）
  • Directive (EU) 2026/706 — 能源計量設備（2026-03-20）：擴展計量指令範圍至 EV 充電設備與替代燃料設施，轉置期限 2028-04-10。（binding_force: requires_transposition）
  • Regulation (EU) 2025/2643 — EDIP 防衛工業計畫（2025-12-29）：建立防衛產品可用性與供應保障框架，直接適用。（binding_force: directly_applicable）
  • Regulation (EU) 2025/2434 — 歐洲海事安全局（2025-12-29）：EMSA 職能擴展至去碳化與數位化轉型治理，直接適用。（binding_force: directly_applicable）
  • Directive (EU) 2025/2647 — 能源效率指令修訂（2026-01-16）：強化成員國與企業節能義務。（binding_force: requires_transposition）[REVIEW_NEEDED — WebFetch 失敗，具體修訂內容待確認]
  • Council Decision (EU) 2026/69 / 2026/70 — Energy Community 決議：涉及能源共同體部長級會議立場與環境法規對齊。
  • Directive (EU) 2020/2184 勘誤（2026-01-29）：飲用水品質指令第六次勘誤。

基礎設施領域矩陣

能源領域變動最為密集，涵蓋 ISO 能源韌性框架、歐盟能源計量設備擴展、能源效率指令修訂及 Energy Community 決議。

領域 美國要求 歐盟要求 本週變動
能源 IoT 基礎設施投資效益研究（final） 能源計量設備擴展（EV 充電、氫能）；能源效率指令修訂；Energy Community 對齊 Directive (EU) 2026/706; Directive (EU) 2025/2647; Council Decision (EU) 2026/69, 2026/70; ISO 22366:2026
電信 IoT 資安指引擴展中（public_comment） 無新要求 NIST IoT Future Directions Workshop
金融 無新要求 網路攻擊制裁（資產凍結義務） Regulation (EU) 2026/589
運輸 Transit Cybersecurity Framework（draft, public_comment） 歐洲海事安全局職能擴展 Regulation (EU) 2025/2434
水務 無新要求 飲用水品質指令勘誤 Directive (EU) 2020/2184 勘誤

責任變動追蹤

歐盟網路攻擊制裁擴大金融機構與實體的凍結義務，ISO 能源韌性框架則為能源供應網絡管理者新增韌性工程責任。

來源 文件 affected_roles shift_type shift_summary
EU Regulation (EU) 2026/589 成員國、金融機構、相關實體 expanded 擴大制裁名單，新增五名網路攻擊威脅行為者的資產凍結與旅行禁令義務
ISO ISO 22366:2026 能源供應網絡管理者、基礎設施工程師、緊急應變管理者 new 首次建立組織能源韌性框架與原則
EU Directive (EU) 2026/706 計量設備製造商、經銷商、合規評估機構 expanded 擴展計量指令範圍至 EV 充電設備與替代燃料設施
EU Regulation (EU) 2025/2643 成員國採購單位、防衛產業製造商、歐洲防衛署 new 建立 EDIP 框架，新增共同採購與工業強化行動義務
EU Regulation (EU) 2025/2434 成員國海事主管機關、船運公司、港口管理局 expanded EMSA 擴展至去碳化與數位轉型治理
NIST NISTIR 8259 / SP 800-213 IoT 裝置製造商、聯邦機構、產品安全從業人員 expanded 擴展 IoT 資安指引至新興技術與部署情境

義務與舉證要求

歐盟新增網路攻擊制裁合規義務，要求金融機構與實體確認交易對象未列入制裁名單；ISO 22366:2026 建議組織建立能源韌性框架實施記錄。

新增義務摘要

  • 制裁合規義務：金融機構與實體須確認交易對象未列入 Regulation (EU) 2026/589 制裁名單，違反者面臨資產凍結執行（mandatory）
  • 能源韌性框架實施：組織應採用 ISO 22366:2026 韌性工程與管理原則，涵蓋能源供應網絡的社會面與技術面（recommended）
  • 計量設備合規：EV 充電設備、氫能加注機等製造商須於 2028-10-10 前符合 Directive (EU) 2026/706 要求（mandatory，轉置期限 2028-04-10）
  • 防衛產業協調：參與 EDIP 計畫的企業須符合共同採購行動資格條件（mandatory）

舉證要求摘要

  • 制裁名單篩查記錄與合規報告
  • 能源韌性框架實施記錄、破壞事件應對計畫及復原目標文件
  • 計量設備合規評估證書
  • EDIP 共同採購參與資格文件

L5 — Evolution Signals

[系統推論] 歐盟正將網路安全從防禦性治理轉向主動制裁工具，同時能源基礎設施的數位化帶來新的計量與安全合規需求。

  • [系統推論] 歐盟網路攻擊制裁機制日趨成熟，從 NIS2 的被動防禦義務擴展至主動制裁外國威脅行為者，未來可能成為常態化的關鍵基礎設施保護工具。Regulation (EU) 2026/589 明確點名中國與伊朗行為者，顯示地緣政治考量正深度嵌入基礎設施保護策略。

  • [系統推論] 能源基礎設施的數位轉型（EV 充電、智慧電表、氫能設施）正產生新的計量合規與資安介面。Directive (EU) 2026/706 的範圍擴展與 ISO 22366:2026 的發布，反映出能源韌性從傳統供應安全擴展至涵蓋數位化基礎設施的全面韌性。

  • [系統推論] NIST IoT 資安計畫的 Future Directions Workshop 暗示下一代指引將超越裝置層級，延伸至部署情境與實體安全影響，可能與 OT/ICS 安全指引（SP 1334）形成更緊密的互補關係。

統計

指標 數值
總變動數 12
來源分布 NIST Frameworks: 3, NIST Insights: 1, EU Regulations: 7, ISO: 1
rule_type 分布 new: 4, expanded: 1, draft: 2, guidance: 1, revision: 1, Council Decision: 2, amendment: 1
enforcement_signal 分布 mandatory: 7, recommended: 2, informational: 1, public_comment: 2
REVIEW_NEEDED 1 筆（Directive (EU) 2025/2647 — WebFetch 失敗）

資料來源

Layer Category 筆數 時間範圍
nist_frameworks critical_infrastructure 3 2025-07-15 ~ 2025-09-02
nist_cybersecurity_insights cybersecurity 1 2026-03-20
eu_regulations critical_infrastructure 5 2025-12-29 ~ 2026-01-29
eu_regulations cybersecurity 1 2026-03-16
eu_regulations digital_market 1 2026-03-20
iso_standards other 1 2026-01-08