Executive Summary — 2026-W25 {: .no_toc }

本週重點：監管壓力從「指引」轉向「強制義務倒數」——EU AI Act Article 14 人類監督要求將於 2026-08-02 強制執行（罰款最高 €35M 或全球營收 7%）；歐盟對俄「影子船隊」41 艘船舶港口禁令與對伊朗雙用途出口管制制裁已立即生效（directly_applicable）；CISA KEV 兩項漏洞（Vite、Versa Concerto）聯邦修補期限已逾期逾四個月。三項皆為已生效或即將生效的強制義務，須優先處置。

本摘要彙整 6 份專題報告的重點，供決策者快速掌握本週動態。

免責聲明 {: .no_toc }

本摘要由 AI 系統自動產出，基於本週各專題報告彙整。 內容僅供參考，不構成法律或合規建議。詳細分析請參閱各專題報告。

---

## 報告資訊 {: .no_toc } | 項目 | 內容 | |------|------| | 產出方式 | AI 自動產出（Claude Opus 4.8） | | 審核狀態 | 已通過自動審核 | | 審核依據 | CLAUDE.md 自我審核 Checklist | | 資料來源 | 彙整 6 份專題報告 | | 資料時間 | 2026-06-17 |

---

目錄

1. Executive Summary — 2026-W25 {: .no_toc }
   1. 免責聲明 {: .no_toc }
   2. Top 3 This Week {: .no_toc }
      1. 1. EU AI Act Article 14 進入強制執行倒數（2026-08-02 生效，mandatory） {: .no_toc }
      2. 2. 歐盟對俄影子船隊與對伊朗出口管制制裁立即生效（directly_applicable，mandatory） {: .no_toc }
      3. 3. CISA KEV 兩項漏洞聯邦修補期限已逾期逾四個月（mandatory） {: .no_toc }
   3. 本週報告一覽 {: .no_toc }
   4. 資料來源 {: .no_toc }

Top 3 This Week {: .no_toc }

EU AI Act Article 14 人類監督義務進入 2026-08-02 強制執行倒數：違規罰款最高 3,500 萬歐元或全球營收 7%，在歐盟營運的 AI 系統提供者與部署者須證明每次 AI 行動於執行時點均獲授權。

1. EU AI Act Article 14 進入強制執行倒數（2026-08-02 生效，mandatory） {: .no_toc }

EU AI Act（Regulation 2024/1689，directly_applicable）Article 14 人類監督要求將於 2026-08-02 開始強制執行，違規罰款最高 3,500 萬歐元或全球年營收 7%。此時點正逢金融服務業從「AI 採用」轉向「自主系統治理」——CSA 調查顯示 62% 組織已部署 AI 代理、93% 授予某種自主權，但僅 10% 有安全計畫，合規落差顯著。

建議行動：在歐盟營運的 AI 系統提供者與部署者立即啟動 Article 14 合規準備，導入執行時授權（task-scoped 短期憑證），備妥證明每次 AI 行動於執行時點獲授權的文件。

詳細閱讀 →

---

2. 歐盟對俄影子船隊與對伊朗出口管制制裁立即生效（directly_applicable，mandatory） {: .no_toc }

歐盟 Regulation (EU) 2025/2618 與 Decision (CFSP) 2025/2617 將 41 艘「影子船隊」船舶列入制裁清單，要求成員國港口拒絕入港並禁止提供加油、拖帶、貨物裝卸、維修等海事服務（2025-12-19 生效）；Regulation (EU) 2026/271 同步將對伊朗出口禁令擴及無人機/飛彈研製所用的 10 類組件。兩者皆為立即生效的強制合規義務，性質與尚在草案階段的 NIST SSDF 1.2 軟體供應鏈指引截然不同，須嚴格區分。

建議行動：港口營運商與海事服務商以 IMO 船舶編號比對制裁清單，出口商與金融機構更新 Annex II 受管制品項篩查與出口管制合規程序。

詳細閱讀 →

---

3. CISA KEV 兩項漏洞聯邦修補期限已逾期逾四個月（mandatory） {: .no_toc }

CISA KEV 目錄中 CVE-2025-31125（Vite Vitejs 不當存取控制）與 CVE-2025-34026（Versa Concerto 不當身分驗證）依 BOD 22-01 修補期限均為 2026-02-12，相對資料日 2026-06-17 已逾期逾四個月。逾期未處置的聯邦機構面臨明確的合規曝險，須立即套用廠商緩解措施，無法緩解者須停用該產品。

建議行動：IT 與資安團隊立即盤點是否使用 Vite 或 Versa Concerto，套用廠商緩解措施或停用產品，並複查 NVD 改採風險優先模型後對既有漏洞管理流程的影響。

詳細閱讀 →

---

本週報告一覽 {: .no_toc }

本週 6 份報告共追蹤超過 180 項動態，優先處置 EU AI Act Article 14 合規倒數、歐盟制裁/出口管制篩查更新，以及 CISA KEV 逾期漏洞修補三項已生效或即將生效的強制義務。

報告	重點摘要
Rule Change Brief	NIST IR 8323 Rev 2 PNT Profile 對齊 CSF 2.0、CMVP 自動化草案、NVD 風險優先豐富化、ISO/IEC 15408:2026 改版
Cybersecurity Compliance	ISO/IEC 15408:2026 系列改版、NVD 風險優先營運政策、CISA KEV 兩項逾期漏洞
Supply Chain Security	SSDF 1.2 公開徵詢、IR 8536 追溯性草案、歐盟對俄影子船隊與對伊朗出口管制制裁
Critical Infrastructure	歐盟單一鐵路區容量新規、OTIF 技術標準立場、CSA OT 安全 Y2K 警示、CLAIR 模型
AI Governance Landscape	金融業轉向自主系統治理、RiskRubric V2、EU AI Act Article 14 執行倒數、EuroHPC AI Gigafactories
AI Implementation Guide	AI Agent 執行時授權與短期憑證、MCP 七大風險治理、ORCHIDEAS 結構即安全設計

「金融服務業正在從關於 AI 採用的討論，轉向自主系統的治理問題——當 AI 代理以機器速度自主行動時，組織必須在自主性擴張之前建立能見度、身分治理與即時安全控制。」 Cloud Security Alliance — Financial Services Working Group

---

資料來源 {: .no_toc }

本摘要彙整自以下報告：

報告	日期
2026-W25 Rule Change Brief	2026-06-17
2026-W25 Cybersecurity Compliance	2026-06-17
2026-W25 Supply Chain Security	2026-06-17
2026-W25 Critical Infrastructure Resilience	2026-06-17
2026-06 AI Governance Landscape	2026-06-17
2026-06 AI Implementation Guide	2026-06-17