nis2-directive-specialist

NIS2 指令专家

欧盟《2022/2555 号指令》相关工具与指南，旨在提升欧盟整体网络安全水平（NIS2 指令）。

---

目录

• NIS2 概述
• 适用范围与适用性
• 10 项最低安全措施
• 事件报告要求
• 管理层问责
• 供应链安全
• 处罚
• NIS2 与 NIS1 对比
• 基础设施安全检查
• 工具
• 参考指南
• 合规评估工作流
• NIS2 实施路线图

---

NIS2 概述

**NIS2 指令（EU 2022/2555）**是欧盟更新后的网络安全框架，取代了原有的 NIS 指令（EU 2016/1148）。该指令于 2023 年 1 月 16 日生效，要求成员国在 2024 年 10 月 17 日之前将其转化为国内法。

主要目标：

• 在欧盟范围内建立较高且统一的网络安全水平
• 协调网络安全要求与执法
• 扩大适用范围，涵盖更多行业和实体
• 加强事件报告义务
• 引入网络安全管理层问责机制
• 提高供应链安全要求

法律依据：《欧盟运行条约》（TFEU）第 114 条（内部市场协调）

与其他框架的关系：

框架	关系
ISO 27001	NIS2 措施与 ISO 27001 控制措施高度对应
GDPR	NIS2 补充 GDPR 中有关处理安全的要求
CER 指令	关键实体韧性——物理安全方面的补充
DORA	适用于金融行业实体的特别法
《网络韧性法案》	硬件／软件的产品安全要求

---

适用范围与适用性

重要实体（附件 I——高度关键行业）

行业	子行业
能源	电力（DSO、TSO、生产商、储能）、石油（管道、生产、炼油、储存）、天然气（DSO、TSO、LNG、储存）、氢能、区域供热／供冷
交通运输	航空（承运商、机场、空中交通管理）、铁路（基础设施管理者、运营商）、水运（内河、海运、港口运营商）、公路（交通管理、ITS 运营商）
银行业	《条例》（EU）No 575/2013 中定义的信贷机构
金融市场基础设施	交易场所、中央对手方
医疗卫生	医疗服务提供者、欧盟参考实验室、药品制造实体、在公共卫生紧急情况下被视为关键的医疗器械制造实体
饮用水	用于人类饮用的水的供应商和分销商
废水	收集、处置或处理城市废水、生活污水或工业废水的实体
数字基础设施	IXP、DNS 提供商、TLD 注册机构、云计算提供商、数据中心运营商、CDN 提供商、信任服务提供商、公共电子通信网络、公众可用的电子通信服务
ICT 服务管理（B2B）	托管服务提供商、托管安全服务提供商
公共行政部门	中央政府实体、NUTS 1 级和 2 级的区域政府实体
航天	为基于太空的服务提供支持的地面基础设施运营商

重要实体（附件 II — 其他关键领域）

领域	子领域
邮政和快递服务	提供邮政服务（包括快递服务）的服务提供商
废物管理	从事废物管理的实体（废物管理并非其主要经济活动的实体除外）
化学品	制造、生产或分销化学物质和混合物的实体
食品	从事批发分销、工业生产和加工的食品企业
制造业	医疗器械和体外诊断产品、计算机／电子／光学产品、电气设备、机械和设备、机动车辆／拖车、其他运输设备
数字服务提供商	在线市场、在线搜索引擎、社交网络服务平台
研究	研究机构

规模门槛

类别	员工人数	年营业额	年资产负债表总额
中型企业	50–249	€10M–€50M	€10M–€43M
大型企业	250+	€50M+	€43M+

无论规模大小，均自动纳入：

• 信托服务提供商
• 顶级域名（TLD）名称注册管理机构
• DNS 服务提供商
• 公共电子通信网络／服务
• 公共行政实体
• 在某个成员国提供某项服务的唯一实体
• 一旦中断运营，可能对公共安全、安保或健康造成重大影响的实体
• 一旦中断运营，可能引发系统性风险（尤其是跨境风险）的实体

豁免对象：

• 微型和小型企业（通常不纳入，除非被特别指定）
• 国家安全、公共安全、国防、执法
• 司法机构、议会、中央银行

---

10 最低安全措施（第 21 条）

所有重要实体和关键实体都必须实施适当且合乎比例的技术、运营和组织措施，以管理网络安全风险。这些措施必须基于全灾害方法，至少涵盖：

1. 风险分析和信息系统安全政策

建立并维护全面的风险分析流程和信息安全政策，涵盖所有信息系统。

要求：

• 正式的风险评估方法
• 资产清单和分类
• 安全政策框架（经管理机构批准）
• 定期政策审查周期（至少每年一次）
• 风险偏好和容忍度定义
• 有据可查的风险处置计划

2. 事件处理

实施用于检测、管理和应对网络安全事件的程序。

要求：

• 事件检测能力
• 事件分类和分诊程序
• 事件响应计划和操作手册
• 事件升级程序
• 事件后审查流程
• 与 CSIRT 报告机制集成（参见事件报告部分）

3. 业务连续性和危机管理

确保在网络安全事件期间及之后服务持续运行。

要求：

• 业务影响分析（BIA）
• 业务连续性计划（BCP）
• 灾难恢复计划（DRP）
• 备份管理政策
• 危机管理程序
• 定期测试连续性计划（至少每年一次）
• 恢复时间目标（RTO）和恢复点目标（RPO）

4. 供应链安全

应对与直接供应商和服务提供商之间关系中的安全风险。

要求：

• 供应商风险评估流程
• 与供应商签订的合同中的安全要求
• 监控供应商的安全状况
• 供应商事件通知要求
• 评估供应链整体风险
• 评估供应商的产品／服务质量及网络安全实践

5. 网络和信息系统采购、开发与维护中的安全

在整个系统生命周期中融入安全。

要求：

• 安全开发生命周期（SDLC）实践
• 漏洞管理流程
• 安全测试（SAST、DAST、渗透测试）
• 补丁管理流程
• 纳入安全审查的变更管理
• 安全配置管理

6. 评估有效性的政策与流程

评估网络安全风险管理措施是否有效。

要求：

• 安全指标和 KPI
• 定期安全评估与审计
• 渗透测试计划
• 漏洞扫描
• 合规性监控
• 持续改进流程

7. 基本网络安全卫生实践与网络安全培训

确保所有人员具备充分的网络安全意识和技能。

要求：

• 面向所有员工的网络安全意识培训
• 面向技术人员的基于角色的安全培训
• 管理机构网络安全培训（《第 20 条》规定的强制要求）
• 钓鱼模拟演练
• 安全意识宣传活动
• 培训记录与有效性衡量

8. 密码学与加密使用相关政策与流程

通过密码学控制保护数据的机密性和完整性。

要求：

• 密码学政策
• 静态数据和传输中数据的加密标准
• 密钥管理流程
• 证书管理
• 密码算法选择指南
• 定期审查密码学实现

9. 人力资源安全、访问控制政策与资产管理

安全地管理人员、访问权限和资产。

要求：

• 入职前背景调查与安全检查
• 在雇佣合同中明确安全职责
• 离职流程（撤销访问权限）
• 基于角色的访问控制（RBAC）
• 特权访问管理（PAM）
• 资产清单与所有权
• 可接受使用政策

10. 多因素身份验证、安全通信与紧急通信

部署强身份验证机制和安全通信渠道。

要求：

• 所有远程访问和特权账户均使用 MFA
• 访问关键系统时使用 MFA
• 在适当情况下进行持续身份验证
• 加密通信（最低 TLS 1.2+）
• 安全的紧急通信渠道
• 带外通信能力
• 安全的语音和视频通信

---

事件报告要求

NIS2 引入了针对重大事件的多阶段事件报告机制。如果事件造成或可能造成以下影响，则视为重大事件：

• 严重运营中断或财务损失
• 对他人造成重大有形或无形损害

报告时间表

阶段	截止时间	内容
早期预警	自知悉事件起 24 小时内	说明是否怀疑事件由非法或恶意行为造成，以及事件是否可能产生跨境影响
事件通知	自知悉事件起 72 小时内	更新早期预警，初步评估事件严重程度和影响，并在适用时提供失陷指标
中期报告	应 CSIRT/主管机关要求	更新事件处理与响应状态
最终报告	自事件通知起 1 个月内	详细说明事件及其根本原因、已采取和正在实施的缓解措施，以及适用时的跨境影响

其他要求

• 如果重大事件可能对服务的提供产生不利影响，实体必须及时将事件告知服务接收方
• 成员国可以要求实体使用特定平台或模板
• CSIRT 必须在收到早期预警后的 24 小时内提供反馈和指导
• 必须将活跃的网络威胁及补救措施告知服务接收方

---

管理层问责（第 20 条）

NIS2 引入了管理机构的个人问责制，这是相较于 NIS1 的一项重大变化。

主要要求：

1. 批准和监督：管理机构必须批准网络安全风险管理措施，并监督其实施
2. 责任：管理机构可能因违反第 21 条而被追究责任
3. 培训：管理机构成员必须接受网络安全培训，并鼓励员工接受类似培训
4. 具备充分的知识：管理机构必须具备足够的知识和技能，以评估网络安全风险和管理实践

不合规的后果：

• 成员国可以对重要实体中担任 CEO 或法定代表人级别管理职责的自然人实施临时禁任
• 行政罚款和其他执法措施
• 未能履行合规义务的管理机构成员将承担个人责任

---

深入了解供应链安全

供应链安全是 NIS2 下影响最大的新增要求之一。

要求

实体必须考虑以下因素：

1. 每个直接供应商和服务提供商特有的漏洞
2. 供应商的产品整体质量和网络安全实践，包括安全开发流程
3. 关键供应链协调风险评估的结果（根据第 22 条）
4. 供应商合同安排，包括：
   • 安全要求和认证
   • 审计权
   • 事件通知义务
   • 分包商安全要求

实施框架

第 1 级 — 关键供应商：

• 在建立合作关系前进行全面安全评估
• 每年进行安全审计或认证核验（ISO 27001、SOC 2）
• 实时事件通知要求
• 审计权条款
• 退出策略和数据可移植性要求

第 2 级 — 重要供应商：

• 安全问卷和自我评估
• 定期安全审查（每半年一次）
• 合同安全要求
• 在 48 小时内通知事件

第 3 级 — 普通供应商：

• 基本安全问卷
• 每年审查安全态势
• 标准合同安全条款

协调风险评估（第 22 条）

NIS 合作组可以对关键供应链开展协调风险评估，考虑以下因素：

• 技术和非技术风险因素
• 依赖关系和潜在故障点
• 非欧盟方面对供应链施加影响所带来的风险

---

处罚

行政罚款

实体类型	最高罚款
重要实体	€10,000,000 或 全球年营业额总额的 2%，以较高者为准
重要实体	€7,000,000 或 全球年营业额总额的 1.4%，以较高者为准

其他执法措施

针对重要实体（第 32 条）：

• 有约束力的指示
• 要求落实安全审计建议
• 要求使措施达到合规要求
• 临时暂停认证或授权
• 临时禁止责任自然人履行管理职责

针对重要实体（第 33 条）：

• 有约束力的指示
• 要求落实安全审计建议
• 要求使措施达到合规要求
• 行政罚款

监管制度差异

方面	重要实体	其他重要实体
监管	事前监管（主动）	事后监管（被动／基于投诉）
审计	定期安全审计	在有正当理由时进行审计
现场检查	是	根据合理请求进行
管理层禁令	是（临时）	否

---

NIS2 与 NIS1 对比

方面	NIS1 (2016/1148)	NIS2 (2022/2555)
适用范围	7 个行业，约 10K 个实体	18 个行业，约 160K 个实体
实体分类	OES 和 DSP	重要实体和其他重要实体
安全措施	一般要求	10 项具体的最低措施
事件报告	没有具体时间表	分阶段：24h / 72h / 1 个月
管理层问责	未作规定	强制培训，个人责任
供应链	未涉及	明确规定相关要求
处罚	由成员国设定	统一规定：€10M/2% 或 €7M/1.4%
监管	各不相同	统一实行事前／事后监管
同行评审	有限	强化同行评审机制
漏洞披露	未涉及	协调漏洞披露
规模门槛	由成员国指定	明确的规模上限规则
执法	薄弱、不一致	有力、统一

---

基础设施安全检查

DNS 安全

• 根据 NIS2，DNS 服务提供商和顶级域名注册管理机构实际上必须实施 DNSSEC
• 验证所有区域的 DNSSEC 信任链
• 实施 DNS 监控和异常检测
• 考虑使用 DNS-over-HTTPS (DoH) 或 DNS-over-TLS (DoT) 进行内部解析
• 监控 DNS 隧道和数据外泄

网络监控与分段

• 部署网络监控以检测异常（第 21(2)(b) 条）
• 在关键系统和非关键系统之间实施网络分段
• 监控数据中心内的东西向流量
• 部署基于网络的入侵检测／防御系统
• 保留网络流日志以供取证分析

端点检测与响应

• 在所有可访问关键系统的端点上部署 EDR 解决方案
• 配置自动化威胁检测与响应
• 维护包含健康状态的端点清单
• 为关键系统实施应用程序允许列表
• 定期扫描端点合规性

强制实施 MFA（第 21(2)(j) 条）

• 为所有远程访问部署 MFA
• 对特权账户强制实施 MFA
• 为访问关键系统和数据实施 MFA
• 在可行的情况下考虑无密码身份验证
• 为高风险账户支持硬件安全密钥（FIDO2/WebAuthn）

加密要求

• 所有外部通信至少使用 TLS 1.2；优先使用 TLS 1.3
• 使用 AES-256 或同等算法加密静态数据
• 为敏感通信实施端到端加密
• 部署证书管理和监控
• 定期审查加密算法

协调漏洞披露

• 制定协调漏洞披露（CVD）政策
• 指定漏洞披露联系人
• 参与 ENISA 的漏洞数据库
• 实施负责任的披露流程
• 在规定时限内跟踪并修复已披露的漏洞

关键基础设施的物理安全

• 对数据中心和关键设施实施物理访问控制
• 进行环境监控（温度、湿度、水浸检测）
• 部署监控和入侵检测系统
• 制定访客管理和陪同流程
• 将物理安全测试纳入整体韧性测试

---

工具

NIS2 范围分析器

确定组织是否属于 NIS2 范围，并将其分类为重要实体或重要实体。

# Analyze scope interactively
python scripts/nis2_scope_analyzer.py --sector energy --sub-sector electricity --employees 500 --turnover 100

# Full analysis with JSON output
python scripts/nis2_scope_analyzer.py --sector health --sub-sector healthcare_providers --employees 75 --turnover 15 --json

# Generate compliance checklist
python scripts/nis2_scope_analyzer.py --sector digital_infrastructure --sub-sector cloud_computing --employees 200 --turnover 50 --checklist

# Load from config file
python scripts/nis2_scope_analyzer.py --config organization.json --json --output scope_report.json

功能：

• 根据附件 I 和附件 II 进行行业及子行业分类
• 评估规模门槛（员工人数、营业额、资产负债表）
• 自动识别纳入范围的情形（DNS 提供商、顶级域名注册管理机构等）
• 确定实体类型（重要实体或重要实体）
• 汇总适用的义务
• 生成合规清单

---

NIS2 合规检查器

根据全部 10 项最低安全措施评估合规情况，并为每项措施评分。

# Run full compliance check
python scripts/nis2_compliance_checker.py --config assessment.json

# Generate assessment template
python scripts/nis2_compliance_checker.py --template > assessment.json

# Check specific measures only
python scripts/nis2_compliance_checker.py --config assessment.json --measures 1 2 4 --json

# Generate gap analysis report
python scripts/nis2_compliance_checker.py --config assessment.json --output gap_report.json --json

功能：

• 根据第 21 条的全部 10 项最低措施进行评估
• 为每项措施进行合规评分（0–100）
• 计算总体合规评分
• 验证事件报告准备情况
• 评估供应链安全
• 核实管理层问责要求
• 分析差距并提供按优先级排序的整改建议

---

参考指南

NIS2 要求指南

全面介绍全部 10 项最低安全措施，包括实施指导、事件报告流程、管理层问责要求、供应链安全框架，以及 ISO 27001 控制措施映射。

NIS2 实施手册

为期 12 个月的实施路线图，涵盖资源需求、政策模板、技术控制措施清单、培训要求和成本估算框架。

---

先澄清

开始评估前，请先确认以下输入信息。如果某项信息缺失或含糊，且会影响结果，请先询问；如果不会影响结果，则采用合理的默认值，并说明所用的默认值。

• **实体范围：**行业（附件 I 或附件 II）、规模门槛，以及任何自动纳入标准（决定实体分类及适用义务）。
• **任务：**确定范围、检查 10 项措施的合规情况，或评估供应链（决定使用的工具和工作流）。
• **成员国：**适用哪个国家的转化法律（这些工具评估的是指令基准，而非特定国家的法律）。

只询问对当前请求最重要的两三项信息，而不是列出所有问题。如果用户希望立即获得结果，请直接生成结果，并在开头说明假设。

合规评估工作流

阶段 1：范围确定

1. Identify sector and sub-sector classification
   → Use NIS2 Scope Analyzer tool
2. Determine entity size (employees, turnover, balance sheet)
3. Check for automatic inclusion criteria
4. Classify as Essential or Important entity
5. Identify applicable Member State transposition requirements

阶段 2：差距评估

1. Document current security posture
2. Map existing controls to NIS2 10 minimum measures
   → Use NIS2 Compliance Checker tool
3. Assess incident reporting readiness
4. Evaluate supply chain security maturity
5. Review management accountability compliance
6. Generate gap analysis report

阶段 3：整改规划

1. Prioritize gaps by risk and regulatory impact
2. Develop remediation roadmap (see Implementation Playbook)
3. Allocate budget and resources
4. Define project milestones and ownership
5. Establish governance structure

阶段 4：实施

1. Implement technical controls
2. Develop and approve policies
3. Deploy monitoring and detection capabilities
4. Establish incident reporting procedures
5. Conduct supply chain security assessments
6. Train management body and staff

阶段 5：持续合规

1. Regular compliance assessments (quarterly minimum)
2. Annual management body training refresh
3. Incident response exercises (biannual)
4. Supply chain security reviews (annual)
5. Policy review and update cycles
6. Audit preparation and execution

---

NIS2 实施路线图

12 个月计划

月份	阶段	主要活动
1–2	评估	确定范围、差距分析、记录当前状态
3–4	规划	制定整改路线图、分配预算、建立治理机制、落实快速改进措施
5–6	基础建设	制定核心政策、建立风险框架、编制资产清单、开展管理层培训
7–8	实施	部署技术控制措施和监控，建立事件响应机制
9–10	供应链	评估供应商、更新合同、制定第三方风险计划
11	测试	开展事件响应演练、渗透测试和合规验证
12	投入运营	开展最终审计、持续监控，启动持续合规计划

快速改进措施（第 1–3 个月）

1. 为所有远程访问和特权账户启用 MFA
2. 记录现有安全政策
3. 与国家 CSIRT 建立事件报告联系渠道
4. 开始对管理机构开展网络安全培训
5. 为关键系统创建资产清单
6. 审查并更新备份流程

资源估算

组织规模	全职员工需求	预算估算
中型（50–249）	1–2 名专职人员 + 项目团队	€200K–€500K
大型（250–999）	2–4 名专职人员 + 项目团队	€500K–€1.5M
企业级（1000+）	4–8 名专职人员 + 项目团队	€1.5M–€5M+

---

---

故障排除

问题	可能原因	解决方案
范围分析器将本应属于范围内的实体判定为 "out of scope"	未触发自动纳入标准；未达到规模阈值	检查自动纳入标记（DNS 提供商、TLD 注册机构、唯一提供商）。验证 --turnover 和 --employees 的值。使用 --checklist 标志查看所有标准。
合规检查器的评分意外偏低	评估 JSON 中缺少控制项响应，或响应为 null	运行 --template 重新生成评估模板。确保每个控制项问题都有布尔值或评分值。
差距报告未涵盖全部 10 项措施	--measures 标志筛选了输出	移除 --measures 标志，以评估《第 21 条》中的全部 10 项措施。验证配置 JSON 包含所有措施部分。
实体被归类为 "Important" 而非 "Essential"	所属行业属于附件 II，而非附件 I	查看行业/子行业分类。附件 I 行业对应基本实体；附件 II 行业对应重要实体。规模也会影响分类。
国家层面的转置要求不明确	成员国尚未完全转置 NIS2	截至 2026 年初，27 个欧盟成员国中有 13 个尚未完成转置。查看 ECSO NIS2 转置跟踪器，了解各国的具体状态。遵循该指令的基线要求。
供应链评估部分不完整	配置中未提供供应商层级分类	填写供应商数据并注明层级（关键/重要/标准），并为每个层级列出合同安全要求。
事件报告准备度评分为零	评估中未记录事件处理控制措施	在评估 JSON 中完成措施 2（事件处理）控制项，包括检测能力、分类流程和 CSIRT 报告集成。

---

成功标准

• 所有范围内实体均被正确归类为基本实体或重要实体，并记录分类决定的理由
• 在首个评估周期内，全部 10 项最低安全措施的合规评分均达到 70% 或以上，并力争在 12 个月内提升至 90% 以上
• 根据 24h/72h/1-month 分阶段时间线测试并验证事件报告流程，并记录 CSIRT 联系方式和报告模板
• 管理机构成员已完成强制性网络安全培训，并留存出席记录和知识评估记录
• 供应链安全计划覆盖 100% 的 Tier 1（关键）供应商，合同中包含质量协议、审计权条款和事件通知要求
• 差距分析生成按优先级排序的整改路线图，为每个已识别的差距指定负责人、预算和里程碑日期
• 季度合规重新评估显示出可衡量的改进，并向管理层报告趋势指标

---

范围与限制

范围内：

• NIS2 指令（EU 2022/2555）合规评估与差距分析
• 根据附件 I 和附件 II 对实体进行分类（重要实体与关键实体）
• 评估第 21 条规定的全部 10 项最低安全措施
• 根据多阶段报告机制评估事件报告准备情况
• 评估供应链安全框架（第 1/2/3 层供应商）
• 根据第 20 条核实管理层问责情况
• 映射至 ISO 27001 控制措施，实现跨框架对照

范围外：

• 国家转化法的具体规定（因成员国而异；这些工具依据指令基准进行评估，而非特定国家的实施立法）
• 技术渗透测试或漏洞扫描（技术检查请使用 infrastructure-compliance-auditor）
• CER 指令（EU 2022/2557）中的物理韧性要求（与 NIS2 相辅相成，但属于单独法规）
• DORA（EU 2022/2554）对金融行业实体的要求（针对特别法请使用 dora-compliance-expert）
• 关于罚款风险或法律责任的法律建议（请咨询合格的法律顾问）
• 实时基础设施监控或 SIEM 部署

---

集成点

技能	集成方式
information-security-manager-iso27001	NIS2 措施与 ISO 27001 附录 A 控制措施密切对应；使用 ISO 27001 ISMS 作为实施 NIS2 合规的基础
infrastructure-compliance-auditor	验证满足 NIS2 第 21 条要求的技术控制措施（DNS、TLS、MFA、加密、监控）
dora-compliance-expert	DORA 是适用于金融行业实体的特别法；协调 NIS2 和 DORA 评估，避免重复
nist-csf-specialist	NIST CSF 2.0 功能与 NIS2 措施相对应；使用 CSF 成熟度评估工具对网络安全态势进行基准评估
soc2-compliance-expert	SOC 2 信任服务准则与 NIS2 措施高度重叠；利用现有的 SOC 2 证据
isms-audit-expert	ISO 27001 审计证据可直接支持 NIS2 合规证明

---

工具参考

nis2_scope_analyzer.py

确定 NIS2 的适用性并对实体进行分类。

标志	必填	说明
--sector	是（或 --config）	行业标识符（例如，energy、health、digital_infrastructure）
--sub-sector	是（或 --config）	子行业标识符（例如，electricity、healthcare_providers、cloud_computing）
--employees	是（或 --config）	组织员工人数
--turnover	是（或 --config）	年营业额（百万欧元）
--config	否	组织 JSON 配置文件的路径（可替代单独标志）
--json	否	以 JSON 格式输出结果
--checklist	否	根据实体分类生成合规检查清单
--output	否	输出报告文件的写入路径

nis2_compliance_checker.py

评估是否符合第 21 条规定的全部 10 项最低安全措施。

标志	必填	说明
--config	是（或 --template）	包含控制措施响应的评估 JSON 文件路径
--template	否	生成空白评估模板（使用 > 将输出传输至文件）
--measures	否	要评估的措施编号，以空格分隔（例如，1 2 4）。省略则评估全部 10 项。
--json	否	以 JSON 格式输出结果
--output	否	差距分析报告的写入路径

---

最后更新：2026 年 3 月 指令参考：EU 2022/2555 适用日期：2024 年 10 月 17 日（成员国转化期限）