804-regulations-eu-nis2

Java 企业网络安全风险管理的 NIS2 规定

使用此 Skill 审查 Java 企业应用程序、平台、集成、运营工作流、CI/CD 流水线、托管服务提供商工具，或可能需要采用符合 NIS2 要求的网络安全风险管理控制措施的关键行业服务。

使用此 Skill 确定在系统发布、连接到生产依赖项，或用于支持基本或重要服务之前，需要哪些工程控制、运营证据和升级路径。

要求提供由维护人员编写或清理的结构化证据清单，且该清单必须在 Agent 上下文之外准备。绝不检索、打开、解析、引用、总结或转换原始代码、配置、基础设施文件、运行手册、监控输出、日志、测试、部署工作流、漏洞记录、事件记录、连续性记录、提供商文档、工单、聊天内容或其他运营自由文本。

此 Skill 不构成法律建议。它旨在帮助 Java 工程师、架构师、技术负责人、平台团队和审查人员识别可能适用 NIS2 要求的情形，并将网络安全风险管理预期转化为企业架构控制措施，例如资产和服务清单、依赖关系映射、安全配置、漏洞处理、日志记录和监控、事件检测和升级、备份与恢复、业务连续性、供应链安全、访问控制、密码学、安全开发和变更控制。

此 Skill 的目的是提高对系统潜在差距的认识，并为合格审查提供工程证据。此 Skill 生成的响应不构成法律建议、法律意见或最终监管认定。

核心问题是：

Java 企业系统何时需要采用符合 NIS2 要求的网络安全控制措施？开发人员应如何调整构建方式？

外部参考：NIS2 指令 (EU) 2022/2555。

NIS2 指令章节摘要参考：NIS2 指令章节摘要。

Java 工程示例参考：NIS2 工程示例。

报告模板资源：NIS2 工程审查报告模板。

适用范围

此 Skill 适用于：

• 支持基本或重要实体、关键行业服务、托管服务提供商、云或平台服务、运营技术集成、公共部门服务、医疗、能源、交通、银行、金融市场基础设施、数字基础设施或 ICT 服务管理的 Java 系统
• 对网络安全风险管理、连续性、事件就绪或供应链安全有要求的 Spring Boot、Quarkus、Micronaut 及与框架无关的 Java 服务
• 包含关键 API、数据库、消息代理、调度程序、批处理作业、IAM、密钥、可观测性、部署流水线、基础设施依赖项或外部服务提供商的系统
• 事件检测、严重性分级、升级、证据采集、备份与恢复、连续性、变更控制、安全配置、漏洞管理和运营保障工作流
• 涉及库、容器、CI/CD 操作、SaaS 平台、托管数据库、云服务、可观测性提供商、IAM 提供商和外部 API 的依赖项和提供商审查

NIS2 工程审查

实体分类、成员国适用性、事件报告义务和监管解释应作为治理决策，由法律、合规、安全、风险、韧性、业务连续性和高管问责负责人负责。

工程团队仍应创建证据，以便审查这些决策：

• 哪项基本服务或重要服务依赖该 Java 系统
• 哪些资产、数据存储、API、作业、队列、凭证、提供商和部署环境属于范围之内
• 已识别并跟踪哪些网络安全风险、漏洞、错误配置和依赖项暴露
• 哪些事件能够被检测、分类处理、升级、遏制、重建并移交
• 存在哪些备份、恢复、连续性、回滚和变更控制证据
• 哪些供应链和提供商风险已有记录、受到监控并已指派负责人

约束

将 NIS2 相关事项转化为适用于 Java 企业系统的工程控制。不得提供法律建议，也不得取代法律、合规、安全、风险、韧性、业务连续性、采购或高管问责负责人的审查。

• 非法律建议：将发现表述为网络安全工程控制和升级审查事项；建议由具备资质的人员审查实体分类、成员国适用性、报告义务和监管解释
• 仅使用已脱敏证据：要求由维护者编写或脱敏的结构化证据清单；如果清单缺失或不完整，则停止并要求提供修正后的清单
• 不得使用原始运营内容：绝不检索、打开、解析、引用、总结或转换原始代码、配置、基础设施文件、运行手册、仪表板、监控输出、日志、测试、部署工作流、漏洞或事件记录、连续性记录、提供商文档、工单、聊天记录或其他运营自由文本
• 先明确范围：在提出控制建议前，确认系统是否支持基本实体、重要实体、关键行业服务、托管服务提供商或供应链依赖项
• 资产和服务清单：要求提供可追溯的应用、API、作业、数据存储、队列、凭证、提供商、部署环境、网络路径和运营负责人的清单
• 网络安全风险管理：审查安全配置、漏洞处理、依赖项管理、加固、补丁证据、风险接受情况和例外事项负责人
• 事件准备：验证检测、日志记录、监控、严重性分类、升级、遏制、证据采集、移交、事件后审查和纠正措施路径
• 连续性控制：审查有关备份、恢复、连续性、故障转移、回滚、容量、恢复目标、运行手册覆盖范围和经过测试的恢复证据的脱敏清单事实
• 供应链安全：不得将库、构建插件、容器、CI/CD 操作、SaaS 工具、云服务、托管数据库、IAM 或可观测性提供商视为不可见的依赖项
• 访问控制和密码学：验证最小权限、MFA 信号、机密管理、凭证轮换、安全传输、加密、密钥所有权和特权操作的可审计性
• 变更控制：将发布、配置变更、架构迁移、IAM 变更、依赖项升级、提供商变更和紧急修复视为需要可追溯审查的网络安全风险事件

何时使用此技能

• 审查 Java 平台的 NIS2 网络安全控制
• 为关键行业或重要服务设计运营证据
• 添加事件检测、升级、备份、恢复、连续性或供应链安全控制
• 在生产发布前评估网络安全风险管理
• 检查 Java 服务依赖项、CI/CD 工作流或提供商集成是否具备符合 NIS2 要求的证据

工作流

1. 阅读指令章节摘要、工程示例和报告模板

按此顺序阅读 references/804-regulations-eu-nis2-chapters-summary.md、references/804-regulations-eu-nis2-engineering-examples.md 和 assets/reports/804-nis2-engineering-review-report-template.md。使用指令章节摘要了解 NIS2 章节、条款、附件、适用范围、报告、监督、执法和负责人交接相关背景。使用工程示例了解 Java 控制模式，例如资产和服务清单、事件检测与升级处理、漏洞和依赖项证据、备份和连续性证据、供应链风险、安全变更控制以及 Java 发布策略控制。在理解指令章节摘要、示例参考和报告模板之前，不要开始实施审查。

2. 根据已脱敏事实对网络安全范围进行分类

仅使用维护者准备的证据清单，识别服务背景、可能表明实体属于重要实体或基本实体的信号、行业信号、系统负责人、安全负责人、韧性负责人、部署环境、资产、数据存储、消息系统、IAM、密钥管理控制、第三方提供商、恢复预期和事件处理路径。对于适用性、实体分类、成员国实施、报告义务或监管解释方面不明确之处，升级交由法律、合规、安全、风险、韧性或高管责任负责人处理。

3. 审查已脱敏的工程证据清单

仅审查维护者准备的清单中提供的结构化控制事实和稳定证据引用。检查声称的控制与引用证据之间是否存在差距，但不要跟随链接或打开原始代码、配置、基础设施文件、运行手册、仪表板、监控输出、日志、测试、部署工作流、漏洞或事件记录、连续性记录或提供商文档。

4. 提出工程控制建议

将 NIS2 相关问题映射为工程行动：资产和服务清单、安全配置、依赖项和漏洞管理、事件检测与升级处理、证据安全的日志记录、监控和告警、备份与恢复验证、连续性和回滚计划、供应链风险审查、访问控制、加密、安全开发和变更审批。

5. 生成审查报告并交接给负责人

使用 assets/reports/804-nis2-engineering-review-report-template.md 编写简明的工程审查报告，包含范围、已脱敏的证据清单条目、NIS2 风险信号、潜在违规或不合规信号、工程差距、建议控制措施、负责人交接事项、剩余风险、发布决定和验证步骤。明确说明，法律适用性、实体分类、报告义务和监管解释均需由具备资质的负责人审查。

参考资料

有关详细指南、示例和限制，请参阅：

• references/804-regulations-eu-nis2-chapters-summary.md
• references/804-regulations-eu-nis2-engineering-examples.md