务实推进 NIS-2 合规落地
NIS-2指令扩展了欧盟现有的网络安全规定，旨在增强相关企业抵御网络威胁的能力。与以往的法规相比，其适用范围明显更广，要求也严格得多，目的是更好地降低网络安全风险、保护关键基础设施。
非约束性 · 30 分钟 · 免费咨询
我的公司是否受 NIS-2 的影响？
Marvin Süß
顾问，mip Consult GmbH
该指令将受影响的机构分为两大类：
特别重要实体
特别重要机构包括能源、交通、银行、医疗卫生和数字基础设施等行业中超过一定规模门槛的企业。
重要实体
重要机构包括食品、制造和研究等另外七个行业中超过一定规模门槛的企业。此外，在特别重要机构所属行业中经营、但未达到相应规模门槛的企业，也可能被视为重要机构。
NIS-2 对企业的要求
报告
切勿被看似简单的 NIS-2 报告义务 所迷惑。 在 24 至 72 小时内报告重大事件，是一项巨大挑战。这需要高效的内部流程和清晰的治理架构，以确保可靠、一致地落实。 未能履行 这些要求，可能导致贵公司受到严厉制裁。
如果贵组织目前无法在 NIS-2 规定的时限内报告事件，那么建立这一能力将是实现 NIS-2 合规道路上最大的挑战之一。关键能力包括：
无论您的网络安全计划目前处于何种成熟度，满足这些要求都将是一项艰巨的任务。模拟事件报告流程的实施可以帮助您发现组织中存在的缺陷。
风险管理
NIS-2 要求相关组织开展“风险评估”，并具备评估“风险管理措施有效性”的能力。这些术语看似简单，其影响却十分复杂。
实施一套全面且可验证的风险管理框架是一项重大挑战。 企业需要制定政策、任命风险负责人、制定统一的术语，并确保分析和报告的统一性。
一种久经验证的方法， 正如 ISO 等所推荐的，至关重要。但同样重要的是让整个组织参与其中。虽然 风险经理和风险团队是 衡量和 管控 风险的专业人员，但风险往往只有各业务部门自己才能识别。因此，风险管理必须与所有部门密切合作，才能全面掌握各类风险，例如 以下领域:
为此，风险团队或风险经理必须培训所有相关员工，确保术语、评估方法和分类体系的统一使用。
供应链安全
近年来，供应链安全一直是信息安全领域的一个核心议题——这是有充分理由的。近年来许多安全事故都是由于对供应链的攻击导致或加剧的。
NIS-1 指令并未直接涉及供应链安全，而且除基本措施外，这一领域往往未得到充分重视。
如果贵公司此前未对供应链安全进行监控，那么落实 NIS-2 合规的这一部分将耗时且颇具挑战。
了解 NIS-2
为了应对现代的网络安全威胁，NIS-2引入了几个重要的变更，其中包括：
更清晰的治理和监管
为国家当局规定了监管职责，并要求各组织实施有系统的网络安全策略。
更高的安全和风险责任
企业必须实施更严格的网络安全政策，并遵循诸如 ISO 27001 或 NIST CSF 等既定标准。
对事件的严格报告要求
组织必须在24至72小时内报告重大网络安全事件，以确保快速反应和遏制。
更严格的执行和制裁
违规者将面临高达1000万欧元或全球年营业额2%的严厉处罚。
系统化的漏洞披露
企业有义务积极识别和报告网络安全漏洞。
跨境信息共享
欧盟成员国之间的合作正在得到推动，以提高人们对网络安全威胁的认识。
从适用性评估
直至合规证明 NIS-2合规证明.
非约束性 · 30 分钟 · 免费咨询
常见问题
NIS-2 自何时起在德国生效？
自2025年12月6日起。当天，《NIS-2实施与网络安全强化法》生效，并对BSIG进行了全面修订。
我的公司是否受 NIS-2 的影响？
BSIG将相关企业分为两类。员工人数在250人以上，或年营业额超过5,000万欧元且资产负债表总额超过4,300万欧元的企业，属于特别重要实体。员工人数在50人以上，或年营业额和资产负债表总额均超过1,000万欧元的企业，属于重要实体。关键设施运营者自动归入第一类。但决定因素不仅是规模，还有所属行业，以BSIG附件1和附件2为准。许多在线自测只能给出笼统的结论；我们则由律师进行审查，结论可靠。
我们是否需要在德国联邦信息安全办公室（BSI）注册？
是的。相关实体必须自行向BSI注册，主管机构不会主动通知您是否受影响。注册截止日期为2026年3月6日，即法律生效后三个月。错过期限者必须补办注册。注册分两步进行：先注册“Mein Unternehmenskonto“（我的企业账户），再登录BSI报告门户。
发生安全事件时，须遵守哪些期限？
分三个阶段报告：24小时内提交初步报告，72小时内提交更详细的后续报告，一个月内提交最终报告。这些期限独立于GDPR第33条规定的数据泄露72小时报告期限，同一事件可能同时触发两项报告义务。
如果我们不落实NIS-2，会发生什么？
BSIG 规定了分级罚款：对特别重要实体，最高可达 1000 万欧元或全球年营业额的 2%；对重要实体，最高可达 700 万欧元或全球年营业额的 1.4%。此外，管理层还须对本企业承担个人责任。
作为供应商，NIS-2 是否也适用于我们？
即使是不直接受 NIS-2 约束的组织，如果是受监管企业的供应商或合作伙伴，也可能受到其影响：这些企业很可能需要证明自己采取了哪些网络安全措施，才能与受 NIS-2 监管的组织维持业务关系。
