與前身相比，NIS2 指令（指令 (EU) 2022/2555）對歐盟境內更多類型的組織提出了更高的網路安全要求。各會員國將其轉化為本國法律，因此義務、登記步驟與時程因國家而異。對許多中型企業而言，實際問題不在於法律條文，而在於從何著手。本 NIS2 準備度檢查清單將主要要求歸納為可以規劃、分派並留存證據的步驟。本文僅為一般資訊，不構成法律建議。
服務簡介
NIS2 準備度是指了解該指令是否以及如何適用於您，然後建立並記錄其所要求的治理、技術與組織措施。第 21 條列出了網路安全風險管理措施的各個領域，包括：風險分析與安全政策、事件處理、營運持續與危機管理、供應鏈安全、安全的採購與開發（包括漏洞處理）、措施有效性評估、基本網路衛生與訓練、密碼學、人力資源安全與存取控制，以及多重要素或持續性身分驗證。第 20 條規定由管理機構負責核准與監督這些措施。第 23 條規定了向主管機關或 CSIRT 分階段通報事件的要求：在知悉重大事件後 24 小時內發出早期預警，72 小時內提交事件通報，並在提交事件通報後一個月內提交最終報告。各國法律可能補充細節；對於雲端服務、資料中心、代管服務與 DNS 服務供應商等特定數位服務供應商，歐盟執委會施行規則 (EU) 2024/2690 對技術要求有更詳細的規定。
適用對象
本清單適用於：
- 屬於 NIS2 涵蓋產業、正在評估自身狀況的中型及大型組織
- 收到與 NIS2 相關安全問卷的受規範實體供應商
- 需要以結構化方式了解應與法律及技術顧問討論哪些事項的管理團隊
- 正在準備差距分析與路線圖的 IT 及資安負責人
有助釐清的問題
逐項完成本清單，有助於釐清：
- 您的組織是否可能在適用範圍內，以及適用哪個國家主管機關
- 現有控制措施與文件相較於預期措施有哪些不足
- 管理階層中由誰負責，以及他們需要接受哪些訓練
- 哪些差距應優先處理，哪些需要另行尋求專業意見
包含內容
- 適用範圍：確認所屬產業、規模以及您營運所在的會員國；記錄結論與理由
- 登記：確認本國法律是否要求您向主管機關登記，以及截止時間
- 治理：指定一名負責的高階主管，約定管理階層核准與審查安全措施的方式，並規劃管理階層訓練
- 風險評估：記錄關鍵服務、支援系統及其面臨的主要風險
- 政策：維護資訊安全政策、存取控制規則與密碼學指引
- 事件處理：界定對您而言何謂重大事件、由誰決定，以及如何準備 24 小時、72 小時與一個月的報告
- 持續性：測試關鍵服務的備份與復原，並記錄危機溝通方案
- 供應鏈：列出關鍵 ICT 供應商，審查其安全承諾，並在合約中納入安全條款
- 安全開發與漏洞處理：明確漏洞的通報、分類處理與修正方式
- 網路衛生與訓練：定期進行資安意識訓練，依排程安裝修補程式，並強制使用多重要素驗證
- 有效性：規劃定期審查或測試，以證明措施有效
不包含內容
- 法律建議，或判定您是否在適用範圍內
- 認證、合規核准或官方稽核意見
- 代表您向主管機關提交報告或登記
- 宣稱完成本清單即符合本國法律要求
適用時機
在首次評估 NIS2、您營運所在國家發布或更新轉化立法，或客戶要求提供符合 NIS2 的安全證據時，使用本清單。請同時就適用範圍與本國要求尋求法律意見。如果您已在推行以 ISO 27001 為基礎的計畫，請在撰寫新文件之前，先將現有控制措施與本清單相互對照。本文僅為一般資訊，不構成法律建議。
我們的方法
從適用範圍與治理著手；缺少管理階層主導的技術工作往往會停滯不前。接著，對照各項措施進行差距分析，依據證據而非假設：設定、日誌、測試結果、合約與訓練紀錄。依風險與工作量為差距排序，並制定有負責人與日期的路線圖。我們的 Security Baseline Review 可以提供一個有據可查的起點：對約定資產的書面評估、依嚴重程度分級的觀察結果，以及在確認範圍包含的情況下，對照約定參考標準的準備度差距觀察。它為內部決策與利害關係人討論提供支援，並形成一份有書面紀錄的準備度檢視，供您提交給驗證機構與法律顧問。在事件處理方面，請透過桌上演練預演通報時程，讓 24 小時早期預警切實可行，而非紙上談兵。隨著各國指引的發展，請適時更新路線圖。
常見問題
相關文章
立即開始
需要一個有據可查的 NIS2 準備起點？
請告訴我們您所屬的產業、營運所在國家，以及支援關鍵服務的系統。我們將提出範圍明確的準備度差距審查方案。
申請書面範圍說明