欧盟网络与信息系统安全指令 2（NIS2）

第 26(1)(b) 条所列实体（含云计算服务提供者、数据中心服务提供者、内容分发网络提供者、托管服务与托管安全服务提供者、在线市场与在线搜索引擎与社交网络平台提供者）若未在欧盟设立但在欧盟提供服务，须在其提供服务的成员国之一指定代表，该实体即被视为受代表所在成员国管辖。第 27(2) 条要求此类实体向主管机关提交名称、行业与实体类型、主要营业场所或代表地址、联系方式、提供服务的成员国及 IP 地址段，且依第 27(3) 条须在信息变更后无延迟、且无论如何在变更之日起三个月内通知主管机关。

触发条件

在中国设立、向欧盟提供云/托管/CDN/托管安全服务或运营平台业务的企业。指定代表不仅是形式要求，还直接决定由哪个成员国主管机关对你行使监管与处罚权。

时限：第 27(2) 条信息报送截止日为 2025-01-17；变更须在三个月内通知。

开始适用：2024-10-18

做完之后应留存的证据

• · 欧盟代表委任文件与设立证明
• · 向主管机关提交的登记信息与回执
• · 登记信息变更通知记录（三个月内）
• · 服务范围与成员国覆盖清单（用于判定管辖）

首次达标投入估算：5–12 人日（估算，非承诺）

实体须采取与风险相称的适当技术、运营与组织措施，管理其运营或服务所用网络与信息系统的安全风险，并防止或最小化事件对服务接受者与其他服务的影响。措施须基于全风险方法，至少包括：（a）风险分析与信息系统安全政策；（b）事件处置；（c）业务连续性（如备份管理与灾难恢复）与危机管理；（d）供应链安全，含与直接供应商及服务提供者关系中的安全相关方面；（e）网络与信息系统获取、开发与维护中的安全，含漏洞处置与披露；（f）评估网络安全风险管理措施有效性的政策与程序；（g）基本网络卫生实践与网络安全培训；（h）密码学与（适当时）加密的政策与程序；（i）人力资源安全、访问控制政策与资产管理；（j）适当时使用多因素认证或持续认证方案、安全的语音视频文本通信与安全的应急通信系统。

触发条件

落入 NIS2 范围的中国企业欧盟主体或其指定代表管辖下的实体。与 ISO/IEC 27001 有较大重叠，但第 (d) 与 (j) 两项（供应链安全、多因素认证）通常是差距最大的部分。

开始适用：2024-10-18

做完之后应留存的证据

• · 信息安全管理体系文件与十类措施的逐项映射表
• · 风险评估报告与处置计划
• · 业务连续性与灾难恢复演练记录
• · 措施有效性的定期评估报告

首次达标投入估算：30–80 人日（估算，非承诺）

在确定第 21(2)(d) 条供应链安全措施是否适当时，实体须考虑每一直接供应商与服务提供者的特有脆弱性，以及其产品的总体质量与网络安全实践（含其安全开发流程），并须考虑依第 22(1) 条开展的关键供应链协同安全风险评估的结果。对 AI 供应链而言，这意味着模型供应商、GPU 云、标注外包、开源组件都需要纳入评估范围。

触发条件

落入 NIS2 范围的实体。中国 AI 企业作为欧盟客户的供应商时，往往先被这一条"带到"：欧盟客户会把 NIS2 要求以合同形式向上游传导，形成事实上的合规义务。

开始适用：2024-10-18

做完之后应留存的证据

• · 直接供应商清单与分级评估记录
• · 供应商安全问卷与审计/证书收集记录
• · 合同中的安全条款与事件通报条款
• · 开源与第三方组件清单及其漏洞监控记录

首次达标投入估算：15–40 人日（估算，非承诺）

发生对服务提供有重大影响的事件时，实体须无不当延迟地通知其 CSIRT 或（适用时）主管机关，并在适当时无不当延迟地通知可能受不利影响的服务接受者。事件"重大"的判定标准为：已造成或能够造成该实体严重的运营中断或财务损失；或已影响或能够影响其他自然人或法人并造成相当的物质或非物质损害。报送分三阶段：知悉后 24 小时内提交预警（适用时说明是否疑似由非法或恶意行为造成、是否可能有跨境影响）；72 小时内提交事件通报（更新预警信息并给出初步评估，包括严重性与影响，以及在可得时的失陷指标）；应 CSIRT 或主管机关请求提交中期报告；并按第 23(4) 条提交最终报告。此外，实体在适当时须无不当延迟地就重大网络威胁向可能受影响的服务接受者通报其可采取的措施或补救办法。

触发条件

落入 NIS2 范围的实体。与 GDPR 的 72 小时通报是两套独立时限：一次涉及个人数据的安全事件通常同时触发 NIS2 的 24 小时预警与 GDPR 的 72 小时通报，须在同一预案中并行编排。

时限：24 小时预警；72 小时事件通报；按第 23(4) 条提交最终报告。

开始适用：2024-10-18

做完之后应留存的证据

• · 事件分级标准与重大性判定记录
• · 24 小时预警、72 小时通报与最终报告的提交记录及回执
• · 服务接受者通报文本与送达记录
• · 与 GDPR 泄露通报的并行时限编排预案

首次达标投入估算：8–20 人日（估算，非承诺）

成员国须确保关键实体与重要实体的管理机构批准为符合第 21 条而采取的网络安全风险管理措施、监督其实施，并可因实体违反第 21 条而被追究责任。管理机构成员还须接受培训，实体亦被鼓励为员工定期提供同类培训，使其获得识别风险、评估网络安全风险管理实践及其对所提供服务影响的知识与技能。

触发条件

落入 NIS2 范围实体的董事会与高管。对中国企业欧盟子公司而言，这意味着网络安全不能只停留在 IT 部门：欧盟董事需要留下批准与监督的书面痕迹，否则个人责任风险实在存在。

开始适用：2024-10-18

做完之后应留存的证据

• · 管理机构批准网络安全措施的决议或会议纪要
• · 定期监督汇报材料与管理层意见记录
• · 管理机构成员培训记录与证书
• · 面向员工的网络安全培训计划与完成率统计

首次达标投入估算：5–12 人日（估算，非承诺）