NIS2 適用於哪些組織？產業、規模與實體類型

服務簡介

NIS2（指令 (EU) 2022/2555）在兩個附件中列出涵蓋產業。附件 I 涵蓋高度關鍵產業：能源、運輸、銀行、金融市場基礎設施、衛生醫療、飲用水、廢水、數位基礎設施、ICT 服務管理（企業對企業）、公共行政以及太空。附件 II 涵蓋其他關鍵產業：郵政與快遞服務、廢棄物管理、化學品的製造與經銷、食品生產與經銷、特定產品製造（如醫療器材、電腦與電子產品、電氣設備、機械與車輛）、數位服務供應商（線上市集、搜尋引擎與社群網路平台）以及研究。一般而言，該指令適用於這些產業中的中型與大型組織；依歐盟中小企業定義，大致上，員工人數達 50 人以上，或年營業額與資產負債表總額均超過 1,000 萬歐元的組織，至少屬於中型。有些實體無論規模大小均在涵蓋範圍內，例如特定的公眾電子通訊供應商、信任服務供應商、DNS 服務供應商與頂級網域註冊管理機構，會員國也可能指定其他實體。受涵蓋的組織分為基要實體與重要實體。大致而言，附件 I 產業中的大型組織為基要實體，而附件 I 中的中型組織以及附件 II 中的組織為重要實體，但須遵守與規模無關的規則以及各國的指定。此分類影響的是監管方式與罰則，而非所要求的基本措施。

適用對象

本指南適用於：

• 製造、物流、數位服務、食品、化工或醫療相關供應鏈領域的中型企業管理者
• 為企業客戶提供服務的代管服務與 ICT 服務供應商
• 收到安全問卷的受規範實體供應商
• 在多個歐盟會員國營運、需要一致觀點的集團

有助釐清的問題

檢視適用範圍的架構，有助於釐清：

• 您的任何業務活動是否與附件 I 或附件 II 中的產業相符
• 您是否達到規模門檻，或屬於無論規模大小均受涵蓋的類別
• 哪些會員國的本國法律與主管機關與您相關
• 您的義務是直接產生的，還是透過客戶合約間接產生的

包含內容

• 列出每一項業務活動與服務線，而不只是主要業務描述
• 將每項業務活動與附件 I 及附件 II 中的產業描述相互對照
• 依歐盟中小企業定義的要求，納入集團架構以及夥伴企業或關聯企業，核查員工人數、營業額與資產負債表
• 確認您提供受涵蓋服務或設有據點的每一個會員國
• 查閱每個相關國家的轉化立法與主管機關指引
• 記錄結論、理由與日期，並在業務發生變化時重新檢視
• 如不在適用範圍內，列出在適用範圍內的客戶及其轉嫁給您的安全要求

不包含內容

• 關於 NIS2 是否適用於您組織的法律判定
• 對特定國家轉化立法的解釋
• 代表您向主管機關登記
• 認證或合規核准

適用時機

請在投入大型計畫之前盡早使用本指南，並在進入新產業或新國家、收購企業或跨越規模門檻時再次使用。如果答案不明確，例如某項業務活動位於產業描述的邊界，請尋求法律意見，而不要自行假設。即使是不直接在適用範圍內的組織，提前準備通常也有好處，因為受涵蓋的客戶必須管理其供應鏈中的風險。本文僅為一般資訊，不構成法律建議。

我們的方法

將適用範圍視為一項有書面紀錄的決策，而不是簡單的是或否。先蒐集事實：業務活動、規模資料、集團架構與所在國家。接著帶著這些證據向法律顧問諮詢。同時，檢視 NIS2 所要求的安全措施；這些措施反映了廣受認可的良好實務，因此無論適用範圍問題的答案為何，改善這些措施都有幫助。我們的 Security Baseline Review 可以為您提供對約定資產的書面評估與依嚴重程度分級的觀察結果，並在確認範圍包含的情況下，提供對照約定參考標準的準備度差距觀察。這些證據可以為您與客戶、管理階層及顧問的溝通提供支援。它是決策支援資料，協助您帶著有針對性的問題諮詢法律顧問，並在相關時諮詢驗證機構。如果您是供應商，請詢問受涵蓋的客戶需要您證明哪些具體控制措施，並優先處理這些措施。

Security Baseline Review

常見問題

相關文章