NIS2 就绪检查清单：企业实用步骤

服务简介

NIS2 就绪是指了解该指令是否以及如何适用于您，然后建立并记录其所要求的治理、技术和组织措施。第 21 条列出了网络安全风险管理措施的各个领域，包括：风险分析和安全策略、事件处理、业务连续性与危机管理、供应链安全、安全的采购与开发（包括漏洞处理）、措施有效性评估、基本网络卫生与培训、密码学、人力资源安全与访问控制，以及多因素或持续身份验证。第 20 条规定由管理机构负责批准和监督这些措施。第 23 条规定了向主管机关或 CSIRT 分阶段报告事件的要求：在获悉重大事件后 24 小时内发出早期预警，72 小时内提交事件通知，并在提交事件通知后一个月内提交最终报告。各国法律可能补充细则；对于云服务、数据中心、托管服务和 DNS 服务提供商等特定数字服务提供商，欧盟委员会实施条例 (EU) 2024/2690 对技术要求作了更详细的规定。

适用对象

本清单适用于：

• 属于 NIS2 覆盖行业、正在评估自身状况的中型及大型组织
• 收到与 NIS2 相关安全问卷的受监管实体供应商
• 需要以结构化方式了解应与法律和技术顾问讨论哪些事项的管理团队
• 正在准备差距分析和路线图的 IT 与安全负责人

帮助厘清的问题

逐项完成本清单，有助于厘清：

• 您的组织是否可能在适用范围内，以及适用哪个国家主管机关
• 现有控制措施和文档与预期措施相比存在哪些不足
• 管理层中由谁负责，以及他们需要接受哪些培训
• 哪些差距应优先处理，哪些需要另行寻求专业意见

包含内容

• 适用范围：确认所属行业、规模以及您开展业务的成员国；记录结论和理由
• 注册：核实本国法律是否要求您向主管机关注册，以及截止时间
• 治理：指定一名负责的高管，约定管理层批准和审查安全措施的方式，并规划管理层培训
• 风险评估：记录关键服务、支撑系统及其面临的主要风险
• 策略：维护信息安全策略、访问控制规则和密码学指南
• 事件处理：界定对您而言何为重大事件、由谁决定，以及如何准备 24 小时、72 小时和一个月的报告
• 连续性：测试关键服务的备份与恢复，并记录危机沟通方案
• 供应链：列出关键 ICT 供应商，审查其安全承诺，并在合同中加入安全条款
• 安全开发与漏洞处理：明确漏洞的报告、分诊和修复方式
• 网络卫生与培训：定期开展安全意识培训，按计划打补丁，并强制使用多因素身份验证
• 有效性：规划定期审查或测试，以证明措施有效

不包含内容

• 法律建议，或判定您是否在适用范围内
• 认证、合规批准或官方审计意见
• 代表您向主管机关提交报告或注册
• 声称完成本清单即满足本国法律要求

适用时机

在首次评估 NIS2、您开展业务的国家发布或更新转化立法，或客户要求提供与 NIS2 对齐的安全证据时，使用本清单。请同时就适用范围和本国要求寻求法律意见。如果您已在实施基于 ISO 27001 的体系，请在编制新文档之前，先将现有控制措施与本清单进行对照。本文仅为一般性信息，不构成法律建议。

我们的方法

从适用范围和治理入手；缺少管理层主导的技术工作往往会停滞不前。接下来，对照各项措施开展差距分析，依据证据而非假设：配置、日志、测试结果、合同和培训记录。按风险和工作量对差距排序，并制定有负责人和日期的路线图。我们的 Security Baseline Review 可以提供一个有据可查的起点：对约定资产的书面评估、按严重程度分级的观察结果，以及在确认范围包含的情况下，对照约定参考标准的就绪差距观察。它为内部决策和利益相关方讨论提供支持，并形成一份有书面记录的就绪情况视图，供您提交给认证机构和法律顾问。在事件处理方面，请通过桌面演练排练报告时间线，使 24 小时早期预警切实可行，而非纸上谈兵。随着各国指南的发展，请适时更新路线图。

Security Baseline Review

常见问题

相关文章