生活分享

歐盟 EBA 第三方風險指引定案：穩定幣中的 ART 發行人入列、服務商不在內，適用日仍是空白

2026 年 9 月 18 日，歐盟 EBA 公布第三方風險管理最終指引（EBA/GL/2026/09），管非 ICT 服務的委外，ICT 服務另由 DORA 規範。受文者點名資產參考代幣（ART）發行人，加密資產服務商不是受文者，EBA 在諮詢回覆表裡說明理由並提醒 MiCA 第 73 條另有規定。本文依新聞稿、最終報告、EBA 活動頁與 MiCA 原文查核，適用日在報告裡仍是方括號佔位。

閱讀時間約 13 分鐘

原創插圖：四格圖解，左上格一個方塊被畫進一個大圓圈代表被列入受文者的發行人，右上格一個方塊留在圓圈外並連到另一條分支線代表另有法源可管的服務商，左下格兩個部分重疊的方框代表非 ICT 與 ICT 的委外分工，右下格一條時間軸在終點畫著空白的方括號代表適用日期尚未公布
圖片：Mokaair (© Mokaair)

2026 年 9 月 18 日，歐洲銀行管理局（European Banking Authority，EBA）公布第三方風險管理最終指引（EBA/GL/2026/09），正式名稱《第三方風險的健全管理（非 ICT 服務）》：管非 ICT 服務的第三方委外，ICT 服務另走《數位營運韌性法》（DORA）。受文者清單把資產參考代幣（asset-referenced token，ART）發行人與銀行、支付機構等金融機構並列，加密資產服務商不在其中。

本文於 2026 年 9 月 20 日查核，讀的是 EBA 新聞稿、98 頁最終報告 PDF、EBA 單一規則書活動頁，以及歐盟官方公報刊登的 MiCA 原文四份官方文件；指引依 EBA 規則第 16 條發布，操作性文字是主管機關與金融機構「應盡一切努力遵循」，屬於 comply-or-explain，不是對業者直接生效的法規。本站沒有實測，也不提供投資或法律意見，指引狀態與適用日以 EBA 當期公告為準。

這份指引是什麼：管非 ICT 委外，正文還沒直接生效

指引文件編號 EBA/GL/2026/09；新聞稿把這次定案形容成「與 DORA 對齊、更具比例原則與一致性的架構」。EBA 表示，這次聚焦支撐「關鍵或重要功能」（CIF）——一旦中斷會實質損害金融機構表現——的第三方安排，藉此在維持健全風險管理的同時，減少較不重要安排不必要的營運與監理負擔。

指引正文第 7 段把 ICT 風險管理與 ICT 服務的第三方使用明文排除在外，理由是已落在 DORA 的範圍。EBA 在新聞稿裡另把指引形容成涵蓋 ICT 與非 ICT、橫跨風險評估到退出策略整個生命週期的整體性做法，這是 EBA 對自己作品的描述，要與正文的排除寫法分開看。

指引合規義務第 1 段引用 EBA 規則第 16(3) 條，要求主管機關與金融機構「盡一切努力遵循」，是 comply-or-explain，指引本身不是可以直接對業者裁罰的法規；新聞稿 Legal basis 段列出的法源結尾是 MiCA 第 34 條與 EBA 規則第 16 條，主要授權則是《資本需求指令》（CRD）第 74 條。

誰被點名、誰不在內：ART 發行人入列，服務商走 MiCA 73 條

指引正文第 9 段列出受文者，把資產參考代幣（ART）發行人和銀行等《資本適足規則》機構、第三國分行、《金融工具市場指令 II》投資公司（不含小型且無相互連結者）、支付機構、電子貨幣機構、本身是金融機構的《消費者抵押貸款指令》債權人等並列；第 5 段主題段落同樣把 ART 發行人排在支付機構、電子貨幣機構之後。第 8 段另把各國主管機關列為受文者，依據是 EBA 規則第 4(2) 條第 (i)、(vi)、(viii) 款與 MiCA 第 3(1) 條第 (35)(a) 款。

加密資產服務商不在受文者名單裡。最終報告第 4.2 節的諮詢回覆表裡，EBA 在分析欄說明：加密資產服務商不在 EBA 職權範圍、不是這份指引的受文者，因此不在範圍內；同一欄接著提醒 MiCA 第 73 條另規範加密資產服務商的委外；該條本文要求委外時採取一切合理步驟避免增加營運風險，並訂定含應變計畫與退出策略的委外政策。排除寫在回覆表，指引正文本身沒有另寫一句「排除加密資產服務商」。

回覆摘要欄記下反對意見：有回覆者認為，把加密資產服務商排除在外，相對於已被納入、同樣在提供加密資產服務的金融機構，是沒有正當理由的差別待遇；修改欄寫的是不修改，回覆表沒有解釋為什麼認定加密資產服務商不在自己的職權範圍，本文不代為補理由。這次諮詢期三個月，已於 2025 年 10 月 8 日結束。

查核日 2026 年 9 月 20 日；「是否為受文者」依最終報告原文整理，不代表監理範圍——加密資產服務商的委外仍受 MiCA 第 73 條規範。
身分是否為受文者依據
資產參考代幣（ART）發行人是指引第 9、5 段
銀行、支付機構、電子貨幣機構等機構是指引第 9 段
各國主管機關是（監理端）指引第 8 段
加密資產服務商否最終報告第 4.2 節諮詢回覆表

為什麼是發行人：這次擴張的依據是 MiCA 第 34 條

背景說明第 15 段把四條治理規定對到四種機構：機構依《資本需求指令》第 74 條，支付機構依《支付服務指令》（PSD2）第 11 條，投資公司依《投資公司指令》（IFD）第 26 條，ART 發行人依 MiCA 第 34 條，都要有健全內部治理安排。第 34 條第 1 項要求 ART 發行人的治理安排包括清楚的組織架構、明確的責任分工，以及辨識、管理、監控與回報風險的有效流程——這正是最終報告把 ART 發行人接到這份指引的那一條。

背景說明第 9 段寫出這次的變化：2019 年那份委外指引只適用於《資本需求指令》下的信用機構與投資公司、支付機構與電子貨幣機構；同段接著列出新範圍，清單結尾是「受 MiCA 規範的 ART 發行人」——這是「ART 發行人被拉進這份指引」最直接的原文依據。正文第 15 段補充：不是《資本需求指令》機構的 ART 發行人以個體為基礎遵循，必要時再加集團層級。

MiCA 第 3(1) 條第 (6) 款把資產參考代幣定義為不是電子貨幣代幣、且以參照其他價值或權利（可含一種以上法定貨幣）維持穩定的加密資產；第 (7) 款另定義電子貨幣代幣（EMT）為參照單一法定貨幣維持穩定的加密資產。ART 與 EMT 是兩個類別，這份指引受文者點名的是 ART 發行人，不宜把兩者混成同一個「穩定幣」說。

原創插圖：四格圖解，左上格一個方塊被畫進一個大圓圈代表被列入受文者的發行人，右上格一個方塊留在圓圈外並連到另一條分支線代表另有法源可管的服務商，左下格兩個部分重疊的方框代表非 ICT 與 ICT 的委外分工，右下格一條時間軸在終點畫著空白的方括號代表適用日期尚未公布
歐盟 EBA 於 2026 年 9 月 18 日定案的第三方風險指引（EBA/GL/2026/09）：誰是受文者、管哪一類委外、適用日為何仍是空白。查核日 2026 年 9 月 20 日。 · 圖片：Mokaair (© Mokaair)

管到什麼委外：登記簿、空殼底線與主管機關的手段

正文第 58 段要求受文機構維持一份涵蓋所有在範圍內第三方安排的資訊登記簿，並區分支撐關鍵或重要功能與其他安排；第 61 段要求這份非 ICT 登記簿盡可能與 DORA 第 28(3) 條的登記簿一致，並允許合併成同一份登記簿。

執行摘要把底線寫成一句：使用第三方服務商不得讓金融機構變成缺乏實質、不足以維持許可的「空殼」；背景說明第 19 段寫下集團內委外不必然風險較低，與集團外的第三方安排適用同一套架構。第 69 段管到發行本身：把需要許可的銀行業務、支付服務、ART 發行或投資服務交給第三方，只有該服務商取得許可或登記、或依國內法被允許時才可以。

Title V 第 121 段把主管機關的權力延伸到非關鍵功能：可要求金融機構就任何第三方安排提供詳細資訊，即使該功能不被認為關鍵或重要。第 126 段寫出最重的手段：治理安排不健全或不符合規定時，主管機關可限縮關鍵或重要功能的委外，或要求退出一個以上的第三方安排。

適用日仍是空白：為什麼、以及怎麼自己查

最終報告「Date of application」第 18 段的日期是方括號佔位符：指引自 [date] 起適用於當日或之後締結、檢視或修改的第三方安排；過渡條款第 20 段同樣是佔位符，括號裡寫著算法——「自適用日起兩年」，這兩年從還沒填的適用日起算，不是從指引定案的 2026 年 9 月 18 日起算。廢止條款第 22 段也是佔位符，連合規回報的期限都還沒填，要引用的文件編號也還是樣板 EBA/GL/XX/XX，儘管封面已印 EBA/GL/2026/09。

EBA 單一規則書活動頁把狀態寫成「最終版、等待翻譯成歐盟官方語言」；該頁最終報告資料框裡，狀態欄寫 Not yet applicable，適用日與合規期限兩欄都是空的。新聞稿只寫「兩年的過渡期將支撐平順且合乎比例的落實」，沒有寫任何年份或起算日。

這份指引處理歐盟境內金融機構的委外安排，本文查核到的三份 EBA 文件都沒有提到台灣、金管會或《虛擬資產服務法》。以下是編輯設計的例子：假設一家歐盟 ART 發行人把客服或帳務外包給第三方，指引管的是委外合約怎麼寫、機構要留住多少實質，不是這家發行人能不能繼續發行——後者仍回到 MiCA 本身的發行許可規定。要確認現況，可查 EBA 活動頁的狀態、適用日與合規期限三欄。

常見問題

這份指引已經生效了嗎？金融機構現在要照做嗎？

還沒有可以照做的日期。指引依 EBA 規則第 16 條發布，同規則第 16(3) 條要求主管機關與金融機構「盡一切努力遵循」，屬於 comply-or-explain；而且最終報告「Date of application」第 18 段印的是方括號佔位符 [date]，EBA 單一規則書活動頁的適用日欄目前也是空白，狀態寫的是「最終版、等待翻譯成歐盟官方語言」。

加密資產服務商（交易所、保管業者等）不用管委外風險了嗎？

指引沒有這樣講。加密資產服務商不是這份指引的受文者，理由記在最終報告第 4.2 節的諮詢回覆表：EBA 說明加密資產服務商不在自己的職權範圍、不是這份指引的受文者，因此不在這份指引的範圍內；同一欄接著提醒 MiCA 第 73 條另外規範加密資產服務商的委外，那一條要求委外時採取一切合理步驟避免增加營運風險，並訂定包含應變計畫與退出策略的委外政策。

資產參考代幣（ART）是不是就是一般說的穩定幣？

MiCA 把這類加密資產分成兩類：以參照其他價值或權利（可包含一種以上法定貨幣）維持價值穩定的資產參考代幣（ART），以及參照單一法定貨幣維持穩定的電子貨幣代幣（EMT），兩者在 MiCA 第 3(1) 條分屬第 (6) 款與第 (7) 款、是不同的定義。這份指引的受文者清單點名的是 ART 發行人。

這份指引管到哪些委外行為？

指引正文第 7 段把 ICT 風險管理與 ICT 服務的第三方使用明文排除在外，理由是那些落在《數位營運韌性法》（DORA）的範圍；這份指引管的是非 ICT 服務的第三方安排，例如客服、帳務（編輯設計的例子）等業務功能外包給第三方服務商時的風險評估、簽約、監控、文件化與退出策略。

兩年過渡期是從什麼時候開始算？

不是從指引 2026 年 9 月 18 日定案那天算。過渡條款第 20 段寫的是「自適用日起兩年」，而適用日本身在最終報告與 EBA 活動頁上都還是尚未填入的欄位，所以這兩年目前算不出起訖日期。

為什麼指引裡 ART 發行人的法條引用前後不一樣？

指引正文第 9 段把 ART 發行人的定義掛在「Article 3(1), point 10」，第 36 段與第 69 段講 ART 的發行時卻引用「Article 3(1), point (6)」。回到 MiCA 原文核對，第 (10) 款定義的其實是「發行人」，第 (6) 款才是資產參考代幣本身的定義；這是指引原文自己前後不一致的地方，本文照抄兩種寫法，不代為修正條號。

主管機關可以拿這份指引對金融機構做什麼？

正文第 121 段讓主管機關可以要求金融機構就任何第三方安排提供詳細資訊，即使該功能不被認為關鍵或重要；第 126 段寫出最重的手段，治理安排不健全或不符合規定時，主管機關可以限縮支撐關鍵或重要功能的非 ICT 服務範圍，或要求金融機構退出一個以上的第三方安排。

這份指引跟台灣讀者有關係嗎？

本文查核到的新聞稿、最終報告與 EBA 活動頁三份文件都沒有提到台灣、金管會或《虛擬資產服務法》，管的是歐盟境內金融機構（含 ART 發行人）的第三方委外安排。要確認自己所在地區的規定，仍要回到當地主管機關的公告。

同主題延伸閱讀

  • 生活分享

    美國 OCC 同日核准三家加密信託銀行：一張改制、兩張初步，六項條件同一架構

    美國 OCC 於美東時間 2026 年 9 月 18 日同一天發出三份加密信託銀行決定：一張既有信託公司改制、兩張新設銀行初步核准，六項條件的資本門檻與流動性要求不盡相同。本文依三份決定書與 OCC 索引頁，說明核准與可以開業之間的差距、條件 2 如何綁定 GENIUS Act，以及這與台灣《虛擬資產服務法》信託與優先受償機制的不同之處。

  • 生活分享

    SEC 執法處長談兩種加密詐騙包裝：合夥投流動性池、假平台配投資社團

    2026 年 9 月 18 日，美國 SEC 執法處處長 David Woodcock 在演講備稿中舉出兩起加密資產詐騙起訴案，講稿聲明內容代表他個人意見：一起指控以「合夥」名義誘投號稱的流動性池，一起指控假交易平台配投資社團。本文依演講全文與兩案的訴訟公告、新聞稿及投資人警示查核，說明案件現況與讀者可自行檢查的辨識點，不含報酬數字，也不是投資建議。

  • 生活分享

    巴西 Petrobras 以 Cardano 區塊鏈測試追蹤低碳航空燃料與柴油

    據 CoinDesk 報導，巴西國營能源公司 Petrobras 正以兩個研究計畫測試 Cardano 區塊鏈，追蹤永續航空燃料與 Diesel R 的環境聲明，目的是讓減碳成果可追查、不被重複計算，目前仍屬研究階段。

  • 生活分享

    Cboe 與 S&P DJI 延長 S&P 500 期權授權至 2051 年，協議提及可能探索代幣化期權

    據 CoinDesk 報導，美國交易所營運商 Cboe 與指數公司 S&P Dow Jones Indices 將 S&P 500 期權獨家授權延長 25 年至 2051 年。雙方表示可能合作探索放在區塊鏈上的「代幣化」期權合約，但未公布產品、時間表或細節。這顯示傳統金融機構正考慮把區塊鏈技術帶進衍生品市場，一般讀者目前無須採取任何行動。

引用本文的文章

最新旅遊情報攻略

資料來源

生活分享