【新聞疑義519】「NCC資安合格認證」納入廠商資格，300億大洗牌？

【新聞】

政府採購啟動國安合格認證招標機制，牽動每年300億元採購大單重新洗牌！根據了解，行政院基於政府機關都應該要有國家安全觀念的考量下，將要求所屬機關及國營事業未來採購電腦資通訊硬軟體設備時，投標廠商必須取得NCC核發的資安合格認證，才准參與政府採購標案。據了解，這是行政院3年一度的產業科技策略（SRB）會議做成的最新決策。政府機構每年採購相關資通訊設備金額，約在新台幣300億元上下，這項政策，不僅創下政府採購招標有史以來首度將國安議題納入考量，同時亦將牽動每年的採購大單重新洗牌。NCC證實，行政院科顧小組日前已正式委託NCC研擬相關辦法及施行作業草案，目前規畫9月底之前，將先針對公共工程、政府採購防火牆、入侵偵測防禦設備、防毒閘道器、垃圾郵件過濾器等4大產品、列為第一階段採用國安認證招標作業，年底更將進一步擴大到網頁過瀘設備、網路安全監控設備、路由器及乙太網路設備，共計8大產品。NCC日前召開說明會，參與的廠商包括思科、惠普、IBM、微軟、Sortinet，威播科技、中華數位、碩琦科技、桓基科技、綠色運算、眾至資訊等國際及本土廠商，據了解，年底擴大至8大資安設備全面列入這波政府採購啟動國安審核機制範疇之後，預期影響層面將擴大至合勤、正文、友訊、智邦、Juniper等跨國及本土網通大廠。其次，參與競標廠商必須通過並取得NCC核發之資安認證，並依此作為篩選參與競標廠商資格依據。NCC日前正式上網公告，並且訂定「資通設備安全審驗作業要點」作為資通設備製造商以及代理商辦理資通設備安全審驗之辦理依據，同時訂定「資通設備安全檢測實驗室管理作業要點」，以執行資通設備安全檢測實驗室認可與管理作業。NCC表示，有關認證作業，會由NCC委託民間驗證測試實驗室辦理相關資安認證，初期並決定核發基礎型及進階型兩種資安核可認證。至於相關認證以及招標作業辦法，也會上網到台灣銀行相關招標網站，並且由行政院通知所屬機關參考遵循，102年之前擬採非強制性的建議，103年之後，考慮全面強制執行（中國時報100年9月16日報導：300億政府採購 大洗牌）。

【疑義】

按投標廠商資格與特殊或巨額採購認定標準第4條第1項第6款固規定，機關依投標廠商

資格與特殊或巨額採購認定標準第2條第2款訂定與履約能力有關之基本資格時，得依採

購案件之特性及實際需要，就「廠商具有製造、供應或承做能力之證明」以及「其他法

令規定或經主管機關認定者」等事項擇定廠商應附具之證明文件或物品，而賦予機關裁

量之權，惟此裁量仍應適正，即須符合政府採購法第6條第2項：「辦理採購人員於不違

反本法規定之範圍內，得基於公共利益、採購效益或專業判斷之考量，為適當之採購決

定。」之規定。

而NCC核發的資安合格認證，對於機關（註一）資訊安全以及隱私權之確保（註二），

確實有很大的助益，是將NCC核發的資安合格認證，納入電腦資通訊硬軟體設備採購案

之廠商資格，苟無不當限制競爭情形（註三），自屬基於專業判斷之考量，所為適當之

採購決定。

所以，本案最有疑問的是，將NCC核發的資安合格認證，納入電腦資通訊硬軟體設備採

購案之廠商資格時，有無構成「不當限制競爭」？此部分，則有賴機關在製作招標文件

擬定廠商資格時，依個案採購性質去判斷了。

【註解】

註一：此所謂機關，乃指政府採購法第3條：「政府機關、公立學校、公營事業 (以下

簡稱機關) 辦理採購…」所稱政府機關、公立學校、公營事業以及第4條：「法人或團

體接受機關補助辦理採購，其補助金額占採購金額半數以上，且補助金額在公告金額

以上者，適用本法之規定，並應受該機關之監督。」所稱「該法人或團體」。

註二：機關處理事務時，也可能蒐集、儲存、處理及利用到個人資料（個人資料，指

自然人之姓名、出生年月日、國民身分證統一編號、護照號碼、特徵、指紋、婚姻、

家庭、教育、職業、病歷、醫療、基因、性生活、健康檢查、犯罪前科、聯絡方式、

財務情況、社會活動及其他得以直接或間接方式識別該個人之資料，個人資料保護

法第2條第1款參照），所以機關資訊安全如能加強，有效防止個人資料之洩露，對

於憲法（請參釋字第603號解釋）以及公民與政治權利公約第17條：「一　任何人

之私生活、家庭、住宅或通信，不得無理或非法侵擾，其名譽及信用，亦不得非法

破壞。二　對於此種侵擾或破壞，人人有受法律保護之權利。」所明定隱私權之保

障，自是有很大的助益。

註三：政府採購法第37條：「機關訂定前條投標廠商之資格，不得不當限制競爭，

並以確認廠商具備履行契約所必須之能力者為限。投標廠商未符合前條所定資格者，

其投標不予受理。但廠商之財力資格，得以銀行或保險公司之履約及賠償連帶保證

責任、連帶保證保險單代之。」參照。