什麼是 NIS2？EU 網路安全指令說明

什麼是 NIS2？

什麼是 NIS2？NIS2（Directive (EU) 2022/2555）在 EU 全境建立強制性的網路安全要求，要求成員國強化能力並在關鍵領域實施風險管理措施。NIS2 指令將涵蓋範圍從原始的 NIS Directive 擴大至 18 個關鍵領域，包括能源、運輸、銀行、醫療保健、數位基礎設施、製造業及公共行政。

您的董事會剛剛詢問您是否已準備好因應 NIS2。您查看了日曆。2024 年 10 月 17 日的轉置期限已經過去。您並不孤單：23 個 EU 成員國因錯過該期限而面臨侵權程序。

近期攻擊事件顯示了為何 EU NIS2 至關重要。2021 年 5 月，愛爾蘭 Health Service Executive 遭受 Conti 勒索軟體攻擊，導致 80% 的門診預約被迫取消，復原成本超過 1 億歐元。2017 年的 NotPetya 攻擊擾亂了 Maersk 的全球航運營運，摧毀了 45,000 台 PC 和 4,000 台伺服器，並造成 3 億美元的損失。Colonial Pipeline 在 2021 年發生的勒索軟體事件擾亂了美國東岸的燃料供應，最終支付了 440 萬美元贖金。歐盟針對關鍵基礎設施強制要求更嚴格的 NIS2 網路安全治理，以回應此類事件。

德國的 BSI 確認約有 29,500 個實體屬於 NIS2 範圍，而法國則識別出超過 10,000 個。若您的組織在涵蓋領域內營運，且符合以下門檻，即屬於適用範圍：50 名以上員工，或年營收超過 €10 million。員工少於 50 人且年營收為 €10 million 或以下的小型與微型實體通常不在適用範圍內，除非依據 Critical Entities Resilience (CER) Directive 被指定為關鍵實體。

NIS2 引入了雙重分類系統，用以決定您的監管負擔。Essential entities 在 11 個高度關鍵的產業中營運，包括能源、運輸、銀行、金融市場基礎設施、醫療保健、飲用水、廢水、數位基礎設施、ICT 服務管理（B2B）、公共行政及太空。Important entities 在另外 7 個其他關鍵產業中營運，包括郵政與快遞服務、廢棄物管理、化學品、食品生產、製造業、數位供應商及研究機構。

第 20 條 規定管理機構須對核准網路安全措施、監督實施及接受訓練負個人責任。您不能將責任向上委派，也不能以缺乏技術知識作為抗辯。這些責任要求與原始指令相比有顯著差異。

NIS2 與 NIS1：有哪些變更

原始的 2016 年 NIS Directive 約涵蓋 7 個領域，並允許成員國在實施上有相當大的裁量空間。這種彈性造成了零散的監管環境，使相同的組織因營運所在國不同而面臨不同要求。NIS2 規範透過根本性的結構變更來解決這些缺失。

適用範圍擴大是最明顯的變更。相較於 NIS1 的有限涵蓋範圍，NIS2 涵蓋 18 個領域，將製造業、食品生產、廢棄物管理、郵政服務及公共行政納入強制要求之下。該指令也引入明確的規模門檻（50+ 名員工或 €10M+ 營收），消除了適用性上的模糊空間。

執法機制經歷了全面改革。NIS1 缺乏一致化的罰則，導致各成員國之間的後果不一致。NIS2 設立最低罰則門檻（對於 essential entities 為 €10M 或 2% 營業額），並賦予監管機關明確權力，可因合規失敗而暫停管理人員職務。該指令也為管理機構引入個人責任，這項規定在 NIS1 中完全不存在。

事件通報時程大幅收緊。NIS1 要求在「不得無故延遲」的情況下通知，但未規定具體時限。NIS2 強制要求 24 小時內預警、72 小時內詳細通知，以及一個月內提交具明確內容要求的最終報告。這份 NIS2 指令摘要凸顯該規範正轉向更嚴格的責任要求與更快速的回應。

哪些組織必須遵循 NIS2？

對於在涵蓋領域內營運且符合特定規模門檻的組織而言，NIS2 合規是強制性的。該指令適用於中型與大型組織，定義為擁有 50 名以上員工或年營收超過 €10 million 的實體。在涵蓋領域中，只要符合任一門檻的組織，即受 NIS2 要求約束。

員工少於 50 人且年營收為 €10 million 或以下的小型與微型實體通常可獲豁免。然而，某些實體無論規模大小都必須強制遵循。這些包括公共電子通訊網路提供者、信任服務提供者、頂級網域名稱註冊機構、DNS 服務提供者，以及依據 CER Directive 被指定為關鍵的實體。

成員國仍保有權限，可根據關鍵性評估將其他實體指定為 essential 或 important。您的國家主管機關會發布官方實體清單，為您所在司法管轄區提供明確的適用範圍判定。德國的 BSI、法國的 ANSSI，以及其他成員國的同等機關皆維護註冊入口網站，供您驗證自身分類狀態。

跨多個司法管轄區營運的組織面臨額外複雜性。若您橫跨多個 EU 成員國營運，則必須在您於涵蓋領域內提供服務的每個司法管轄區遵循 NIS2。該指令建立了國家機關之間的合作機制，以協調對跨境實體的監督。

NIS2 適用範圍與涵蓋領域

NIS2 將涵蓋領域分為兩類，以決定監督強度與罰則風險。Essential entities 在 11 個高度關鍵領域中營運，而 important entities 則在另外 7 個其他關鍵領域中營運。

Essential entity 領域包括：

• 能源（電力、石油、天然氣、氫能、區域供熱與供冷）
• 運輸（航空、鐵路、水運、公路）
• 銀行
• 金融市場基礎設施
• 健康（醫療保健提供者、EU 參考實驗室、醫療器材製造商、製藥）
• 飲用水供應與配送
• 廢水收集、處置與處理
• 數位基礎設施（網際網路交換點、DNS 提供者、TLD 註冊機構、雲端運算、資料中心、CDN、信任服務、公共電子通訊）
• ICT 服務管理（B2B 受管服務提供者與受管安全服務提供者）
• 公共行政（中央政府實體）
• 太空（支援太空型服務之地面基礎設施的營運者）

Important entity 領域包括：

• 郵政與快遞服務
• 廢棄物管理
• 化學品（製造、生產、配送）
• 食品生產、加工與配送
• 製造業（醫療器材、電腦、電子產品、機械、汽車、運輸設備）
• 數位提供者（線上市集、搜尋引擎、社群網路平台）
• 研究機構

這種以領域為基礎的方法可確保 NIS2 網路安全要求會隨潛在社會影響而調整，同時為適用範圍判定提供監管明確性。

NIS2 罰則與執法

NIS2 指令將網路安全從技術職能轉變為董事會層級的治理義務，且具有可執行的後果。Essential entities 面臨行政罰鍰，最高為 €10 million 或全球年度總營業額至少 2%，以較高者為準。Important entities 面臨的最高罰鍰為 €7 million 或營業額至少 1.4%，以較高者為準。

國家主管機關擁有廣泛的執法權力，遠不止於財務罰則。根據 第 29 條，監管機關可以：

• 就不合規情況發出警告
• 發出具約束力的合規命令，要求採取特定網路安全措施
• 就風險管理措施的實施發布具約束力的指示
• 強制要求 安全稽核由實體自費執行
• 設定補救措施實施期限

這些執法機制可確保組織嚴肅看待 NIS2 義務並實施所需控制措施。

NIS2 下的事件通報義務

NIS2 制定了嚴格的 事件通報時限，這對許多組織而言構成重大營運挑戰。該指令要求受涵蓋實體針對重大事件採取三階段通報流程。

第一階段要求在知悉重大事件後 24 小時內提出早期預警。此通知必須指出該事件是否疑似由非法或惡意行為所致，以及是否可能產生跨境影響。24 小時計時起點是您的組織知悉事件之時，而非完成調查之時。

第二階段要求在 72 小時內提交詳細通知。此報告必須包含初步影響評估、入侵指標，以及任何已採取或規劃中的回應措施。在持續調查期間，當有新資訊可用時，您必須更新此通知。

第三階段要求在事件通知後一個月內提交最終報告。此完整文件必須包含事件的詳細描述，包括其嚴重性與影響、威脅類型或根本原因、已採取及持續進行中的緩解措施，以及任何跨境影響評估。

若事件已造成或可能造成服務的嚴重營運中斷或貴實體的財務損失，即屬重大事件；或者，若其已影響或可能影響其他自然人或法人，並造成重大有形或無形損害，也屬重大事件。這項雙重判定標準意味著，面向客戶的事件即使內部影響有限，也可能因外部損害而仍需通報。

NIS2 治理與監督

NIS2 法規透過歐盟層級協調（ENISA）、國家主管機關（如德國的 BSI、法國的 ANSSI）以及實體層級實施來運作。關鍵實體依據 第 32 條接受持續監督，包括定期現場檢查、非現場稽核、強制性安全稽核，以及滲透測試。重要實體則依據 第 33 條接受事後監督，於主管機關收到不合規證據時啟動。

若事件已造成或可能造成該實體的服務嚴重營運中斷或財務損失，即屬重大事件；或者，若其已影響或可能影響其他自然人或法人，並造成重大有形或無形損害，也屬重大事件。

NIS2 與相關歐盟法規

這項歐盟 NIS2 法規並非孤立運作。NIS2 與其他數項歐盟法規相互交會，理解這些關係可避免合規缺口與重複投入。

• 數位營運韌性法案（DORA）專門適用於金融業實體，包括銀行、保險公司及投資公司。DORA制定了與 NIS2 重疊的 ICT 風險管理要求，但也包含針對第三方風險管理及營運韌性測試的產業特定條款。依據特別法優於普通法原則，受 DORA 規範的金融實體可透過遵循 DORA 來滿足 NIS2 的風險管理要求，亦即較具體的法規具有優先適用性。
• 關鍵實體韌性（CER）指令處理關鍵基礎設施的實體安全，補充 NIS2 對網路安全的關注。依 CER 被指定為關鍵實體的組織，將同時面臨實體韌性要求與 NIS2 網路安全義務。
• 網路韌性法案（CRA）針對具有數位元素的產品，要求製造商在產品生命週期中全面實施安全措施。NIS2 規範的是組織的網路安全實務，而 CRA 則確保組織採購的產品符合基準安全標準。

GDPR 仍持續獨立於 NIS2 的網路安全要求之外，規範個人資料保護。單一事件可能同時觸發這兩項法規下的通報義務，但其時限、接收對象及內容要求各不相同。

採用 NIS2 的主要效益

儘管法規複雜，NIS2 仍為達成合規的組織帶來實質優勢。

1. 橫跨 27 個會員國的一致化要求。該指令在 NIS2 網路安全環境中建立了公平競爭基礎。於多個會員國營運的組織可受益於一致化的基準要求，而無須面對 27 套不同的國家 網路安全框架。
2. 董事會層級問責推動投資。該指令為管理機構在 網路安全合規方面建立了明確的個人責任。當您的 CEO 與董事會成員透過文件化訓練與正式核准，對網路安全決策承擔直接責任時，您的預算討論將轉向主動投資。
3. 連鎖式供應鏈韌性。 供應鏈 安全要求可在關鍵產業間建立連鎖式韌性。當您必須評估每個直接供應商特有的弱點時，您的供應商也會面臨壓力，必須改善其自身的資安態勢。這會在個別組織之外，帶動更廣泛生態系的整體改善。
4. 透過快速資訊分享實現集體防禦。 24 小時事件通報要求可在威脅進行期間建立快速資訊分享機制。這項三階段通報流程可確保主管機關與國家 CSIRT 能迅速掌握新興威脅的可視性，進而加快事件分析與跨境協調。

實施 NIS2 的挑戰

這些效益伴隨著重大的實施障礙。

1. 管理階層支持仍難以取得。 European Cyber Security Organisation 的調查顯示，僅有 66% 的組織 回報管理階層有參與，儘管管理階層問責要求已屬強制。超過半數（53%）面臨挑戰，即使在轉置期限已過後，仍難以取得足夠的管理階層支持。
2. 供應鏈複雜性會造成連鎖風險. 供應鏈 弱點是組織在實施 NIS2 時面臨的最關鍵系統性障礙。 發表於 MDPI 的同儕審查研究 採用 DEMATEL 方法來識別因果關係，並發現組織往往缺乏對第三方風險的控制，進而在其他合規領域造成連鎖失效。
3. 24 小時通報要求需要全天候能力。 24 小時預警時限，對於沒有 24/7 SOC 營運或即時威脅識別能力的組織而言，會帶來營運挑戰。要滿足此要求，必須具備預先建立的工作流程與自主回應能力。
4. 文件負擔讓精簡團隊承受壓力。 文件要求會為本已人力吃緊的團隊帶來稽核準備負擔。您必須維護書面的資安政策、風險評估文件、安全控制實施證據，以及 Article 21 所列 10 項強制措施各自對應的 NIS2 檢查清單合規證明。
5. 資源限制迫使組織做出艱難取捨。 財務資源限制使實施挑戰更加複雜。組織必須同時為新的安全控制、合規文件系統、員工訓練計畫、供應商評估流程，以及潛在的第三方安全稽核提供資金。

NIS2 檢查清單與最佳實務

要避免這些陷阱，需要採取結構化方法。請使用這份 NIS2 檢查清單來引導您的實施：

1. 從 ENISA 指引開始。 使用 ENISA Technical Implementation Guidance 作為您的權威技術基礎。這份 170 頁的不具拘束力文件提供實務實施措施、證據範例，以及對應至 ISO 27001、NIST 與 IEC 62443 的映射。
2. 及早取得高階主管支持。 在技術實施開始前，先取得高階主管層級的支持。 Article 29, paragraph 6 規定管理機構成員須對確保 NIS2 合規負個人責任。請將管理核准、訓練完成情況與監督活動記錄為合規證據。
3. 以既有框架為基礎。 如果您維持 ISO 27001 認證，請針對 10 項強制措施執行差距分析。ENISA 的 Technical Implementation Guidance 提供明確映射，顯示現有控制在哪些方面可滿足 NIS2 要求，以及哪些方面需要額外措施。
4. 實施自主回應能力. 部署集中式可視性與自主回應能力，以支援 24 小時事件通報。您需要 日誌管理 以符合保留要求、能找出新興威脅的行為式 AI、可縮短平均修復時間的回應自動化，以及 24/7 監控涵蓋。
5. 個別化供應商評估。 優先強化供應鏈安全，透過個別化供應商評估來檢視每個直接供應商與服務提供者特有的弱點。在所有供應商合約中納入安全條款，明確規定義務、稽核權、事件通報要求，以及合規驗證程序。
6. 集中管理文件與工作流程。 建立具備即時證據蒐集、版本控制與簽核鏈，以及安全控制有效性明確 KPI 的數位文件系統。建立預先設定的事件通報工作流程，能依事件分類標準與升級程序自動啟動。

遵循此結構化方法的組織，不僅能為 NIS2 合規做好準備，也能全面改善其安全態勢。為合規所需的投資，將帶來遠超出法規要求的營運效益。

NIS2 合規時程與截止期限

NIS2 法規依據該指令的採納與會員國轉置要求，按明確時程運作。了解這些截止期限，有助於組織排定實施活動的優先順序，並適當配置資源。

該指令於 2023 年 1 月 16 日生效，給予會員國 21 個月時間將要求轉置為國內法。轉置截止期限為 2024 年 10 月 17 日。自該日起，所有涵蓋實體皆依其各自國家實施版本而受 NIS2 要求約束。

然而，各會員國的轉置進度差異顯著。截至 2024 年 10 月截止期限時， 23 個歐盟成員國 因未完整轉置而面臨侵權程序。這造成了零散的合規環境，使跨境營運的組織會因司法管轄區不同而面臨不同的實施狀態。

成員國必須在 2025 年 4 月 17 日前建立必要實體與重要實體清單。此登錄期限要求受涵蓋的組織向國家主管機關提供分類所需資訊。若您尚未向國家主管機關登錄，請優先處理此事項，以確保適當的分類與監督指派。

歐盟執委會將於 2027 年 10 月 17 日前檢討 NIS2 的運作情況，此後每 36 個月檢討一次。這些檢討可能導致影響合規要求的指令修訂。組織應監控監管發展，並在其合規計畫中維持彈性，以因應潛在變更。

對於仍在建立合規計畫的組織而言，轉置期限已過意味著必須立即採取行動。請優先進行風險評估、事件回應工作流程建立，以及供應鏈安全評估。請記錄所有合規活動，以向監督機關證明善意實施的努力。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

NIS2 指令摘要與關鍵重點

EU NIS2 為 18 個關鍵產業建立強制性要求，並針對必要實體引入管理機構責任，以及最高可達 1,000 萬歐元或全球營業額 2% 的罰則。該指令要求實施 10 項特定的風險管理措施、分三階段的事件通報（從 24 小時內的早期預警期限開始），以及涵蓋每個直接供應商與服務提供者的供應鏈安全評估。

成功實施需要從專案啟動開始就獲得董事會層級的支持、使用 ENISA 的 13 個主題領域框架進行結構化差距分析，以及即使在資源受限的情況下仍能滿足嚴格通報時程的自主安全能力。組織應優先進行供應鏈評估與事件回應工作流程，因為對於從原始 NIS 指令過渡的實體而言，這些是最顯著的合規缺口。