NIS2 适用于哪些组织？行业、规模与实体类型

服务简介

NIS2（指令 (EU) 2022/2555）在两个附件中列出了覆盖行业。附件 I 涵盖高度关键行业：能源、交通、银行、金融市场基础设施、卫生、饮用水、废水、数字基础设施、ICT 服务管理（企业对企业）、公共行政以及航天。附件 II 涵盖其他关键行业：邮政和快递服务、废物管理、化学品的制造与分销、食品生产与分销、特定产品制造（如医疗器械、计算机和电子产品、电气设备、机械和车辆）、数字服务提供商（在线市场、搜索引擎和社交网络平台）以及科研。一般而言，该指令适用于这些行业中的中型和大型组织；根据欧盟中小企业定义，大体上，员工人数达到 50 人或以上，或年营业额与资产负债表总额均超过 1,000 万欧元的组织，至少属于中型。有些实体无论规模大小均在覆盖范围内，例如特定的公共电子通信提供商、信任服务提供商、DNS 服务提供商和顶级域名注册管理机构，成员国也可能指定其他实体。受覆盖的组织分为基本实体和重要实体。大体而言，附件 I 行业中的大型组织为基本实体，而附件 I 中的中型组织以及附件 II 中的组织为重要实体，但须遵守与规模无关的规则以及各国的指定。这一分类影响的是监管方式和处罚，而非所要求的基本措施。

适用对象

本指南适用于：

• 制造、物流、数字服务、食品、化工或医疗相关供应链领域的中型企业管理者
• 为企业客户提供服务的托管服务和 ICT 服务提供商
• 收到安全问卷的受监管实体供应商
• 在多个欧盟成员国运营、需要统一视角的集团

帮助厘清的问题

审视适用范围的结构，有助于厘清：

• 您的任何业务活动是否与附件 I 或附件 II 中的行业相符
• 您是否达到规模门槛，或属于无论规模大小均受覆盖的类别
• 哪些成员国的本国法律和主管机关与您相关
• 您的义务是直接产生的，还是通过客户合同间接产生的

包含内容

• 列出每一项业务活动和服务线，而不仅仅是主营业务描述
• 将每项业务活动与附件 I 和附件 II 中的行业描述进行对照
• 按照欧盟中小企业定义的要求，结合集团结构以及伙伴企业或关联企业，核查员工人数、营业额和资产负债表
• 确认您提供受覆盖服务或设有机构的每一个成员国
• 核查每个相关国家的转化立法和主管机关指南
• 记录结论、理由和日期，并在业务发生变化时重新审视
• 如不在适用范围内，列出在适用范围内的客户及其向您传递的安全要求

不包含内容

• 关于 NIS2 是否适用于您组织的法律判定
• 对具体某国转化立法的解释
• 代表您向主管机关注册
• 认证或合规批准

适用时机

请在投入大型项目之前尽早使用本指南，并在进入新行业或新国家、收购企业或跨越规模门槛时再次使用。如果答案不明确，例如某项业务活动处于行业描述的边界，请寻求法律意见，而不要自行假设。即使是不直接在适用范围内的组织，提前准备通常也有益处，因为受覆盖的客户必须管理其供应链中的风险。本文仅为一般性信息，不构成法律建议。

我们的方法

将适用范围视为一项有书面记录的决策，而不是简单的是或否。先收集事实：业务活动、规模数据、集团结构和所在国家。然后带着这些证据向法律顾问咨询。与此同时，审视 NIS2 所要求的安全措施；这些措施反映了广泛认可的良好实践，因此无论适用范围问题的答案如何，改进这些措施都有益处。我们的 Security Baseline Review 可以为您提供对约定资产的书面评估和按严重程度分级的观察结果，并在确认范围包含的情况下，提供对照约定参考标准的就绪差距观察。这些证据可以为您与客户、管理层和顾问的沟通提供支持。它是决策支持材料，帮助您带着有针对性的问题去咨询法律顾问，并在相关时咨询认证机构。如果您是供应商，请询问受覆盖的客户需要您证明哪些具体控制措施，并优先处理这些措施。

Security Baseline Review

常见问题

相关文章