"什么是NIS2指令？为什么我们的欧盟客户向我们索要网络安全文件？"在向欧洲供应产品或服务的土耳其企业中，这个问题出现得越来越频繁。NIS2是欧盟关于网络和信息系统安全的共同框架。它并不直接适用于土耳其，但可能通过欧盟境内的客户、子公司和数字服务影响到土耳其企业。
本文严格依据该指令文本以及欧盟机构官方页面上的内容，概述该指令的适用范围、实体类型、报告期限和实施时间表。土耳其国内的义务属于另一个框架；我们已在关于第7545号《网络安全法》的文章中予以介绍。
什么是NIS2指令？
其正式名称为第(EU) 2022/2555号指令。该指令于2022年12月14日通过，并于2022年12月27日刊登于《欧盟官方公报》。该文本没有土耳其语版本；本文的引用均以英文文本为准。根据ENISA，该指令于2023年1月16日生效，取代了此前的NIS指令（2016/1148）。
作为一项指令，NIS2的对象是成员国而非企业（第46条）。对企业具有约束力的是各成员国转化该指令所制定的国内立法。时间表相应如下：
- 2024年10月17日： 成员国必须通过并公布其国内规则的期限（第41条）。
- 2024年10月18日： 国内规则开始适用，NIS1废止（第41条、第44条）。
- 2025年4月17日： 成员国必须确定其基本实体和重要实体名单的期限；该名单至少每两年审查一次（第3(3)条）。
各国的转化进度并不一致。根据欧盟委员会的转化情况页面，2025年5月7日，委员会向19个尚未通报完全转化的成员国发出了说明理由的意见。因此，企业需要关注的主要文本是其经营所在国的NIS2实施法。
适用于谁？基本实体与重要实体
该指令适用于附件I和附件II所列类型的公共或私营实体。标准是按照欧盟中小企业定义属于中型或以上规模，并在欧盟境内提供服务或开展活动（第2(1)条）。相关行业分为两个附件：
- 附件I，高关键性行业： 能源、交通、银行、金融市场基础设施、医疗卫生、饮用水、废水、数字基础设施、ICT服务管理（企业对企业）、公共管理和航天。
- 附件II，其他关键行业： 邮政和快递服务、废物管理、化学品的生产和分销、食品的生产、加工和分销、制造业、数字服务提供商以及科研。
某些实体不论规模均在适用范围内：公共电子通信提供商、信任服务提供商、顶级域名注册管理机构和DNS服务提供商、域名注册服务提供商，以及成员国视为唯一提供商或关键实体的实体（第2(2)至2(4)条）。
适用范围内的实体分为两类（第3条）。基本实体主要是附件I中超过中型规模门槛的实体，以及成员国列入该类别的实体。重要实体是所有不属于基本实体的适用实体。两者的区别在于监管方式：基本实体须接受现场检查和定期安全审计等事前监管（第32条），而对重要实体则规定在出现不合规的证据或信息时进行事后（ex post）监管（第33条）。
对企业有哪些要求？
管理层责任（第20条）。 管理机构须批准网络安全风险管理措施、监督其实施并接受培训；对违反第21条的行为，管理机构可能被追究责任。
风险管理措施（第21条）。 措施必须基于"全危害"方法，并至少涵盖以下内容：风险分析和信息系统安全政策；事件处置；业务连续性和危机管理；供应链安全；系统采购和开发中的安全，包括漏洞处理；评估措施的有效性；基本网络卫生和培训；密码学；人力资源安全以及访问控制和资产管理；以及在适当情况下的多因素认证。
事件报告（第23条）。 "重大事件"，即对服务提供产生重大影响的事件，须分阶段向国家CSIRT或主管机关报告：
- 获知后24小时内发出早期预警，
- 72小时内提交事件通报和初步评估，
- 如主管机关要求，提交中期报告，
- 最迟在事件通报后一个月内提交最终报告；如届时事件仍在持续，则提交进展报告。
对为欧盟提供服务的土耳其企业意味着什么
该指令并未对欧盟以外的企业规定一般性义务；其影响通过文本中的三个依据产生。
1. 在欧盟设立的子公司。 适用实体一般受其设立地所在成员国管辖（第26(1)条）。土耳其集团在欧盟设立、并在附件I或附件II行业经营的公司，如满足规模条件，可能须遵守该国的NIS2实施法。
2. 未在欧盟设立的数字服务提供商。 云计算、数据中心、内容分发网络、托管服务和托管安全服务的提供商，以及在线市场、搜索引擎和社交网络平台，如未在欧盟设立但在欧盟提供服务，必须在欧盟指定代表（第26(3)条）。如未指定代表，提供服务所在的任何成员国均可采取法律行动。该规定仅适用于所列服务类型；文本中没有对其他行业的非欧盟企业规定代表要求。
3. 作为适用客户的供应商。 在实践中，这是最常见的影响。第21(2)(d)条要求供应链安全涵盖与直接供应商和服务提供商的关系，第21(3)条要求考虑每个供应商的漏洞和安全开发实践。该指令的序言鼓励在与直接供应商的合同中体现这些措施。该指令本身并未对供应商规定义务，但欧盟客户为了自身合规，可能希望在合同中加入安全条款、事件通报承诺或审计权。在满足这些要求时，ISO 27001信息安全管理体系等框架可以提供共同语言。
处罚：条款与类型
该指令以最低上限的形式将处罚金额交由成员国确定；本文不列出金额。处罚类型如下：
- 监管和执法措施（第32至33条）： 警告、具有约束力的指示、纠正缺陷的命令、执行审计建议的命令以及公开违规行为的命令。
- 针对基本实体的附加措施（第32(5)条）： 如先前措施无效，可暂时中止相关认证或授权，并请求暂时禁止首席执行官履行管理职能。
- 行政罚款（第34条）： 针对违反第21条和第23条的行为；对基本实体和重要实体分别设定上限，并设有与全球年度总营业额挂钩的计算方式。
- 国内处罚（第36条）： 成员国另行制定有效、相称和具有威慑力的处罚规则。
拟议修正
根据欧盟委员会的NIS2页面，2026年1月20日，委员会作为新网络安全一揽子方案的一部分，提出了对NIS2的针对性修正，以提高法律明确性。这只是一项提案；在其通过之前，现行有效的文本仍为2022/2555。
从哪里开始？
以下步骤是根据该指令条款归纳的一般框架：
- 确定您的地位： 分别列出在欧盟设立的子公司、直接向欧盟提供的数字服务以及与欧盟适用客户的供应关系。
- 找到国家法律： 确定您经营所在的每个成员国的NIS2实施法和主管机关。
- 为客户要求做好准备： 将您现有的政策和证据与第21(2)条的十项内容进行对照。
- 书面规定通报流程： 确定在可能影响客户的事件中，由谁在多长时间内提供信息。
结论
NIS2并不直接适用于土耳其，但它通过欧盟境内的子公司、向欧盟提供的数字服务以及适用客户的供应链要求与土耳其企业相关。从Orient Global的角度看，现在就将第21条的各项内容转化为书面的合规对照图，可以更容易地从同一基础出发，既回答欧盟客户的问题，又履行第7545号法律规定的国内义务。
本文仅供一般参考，不构成法律或财务建议。请就您自己的情况咨询您的顾问。
#interimmanagement #forwarddeployedengineering