NIS2 管理层责任：它会改变董事会的行为吗？

二十年来，安全负责人一直要求董事会重视网络安全，但效果参差不齐。NIS2改变了激励结构。第20条要求受规管实体的管理机构批准网络安全风险管理措施、监督其实施，并且自身接受培训，同时规定其对违规行为承担责任。对于关键实体，在某些情形下，国家主管机关可以申请暂时禁止某管理人员行使管理职能。

这会改变董事会的行为吗？我认为会，但不会自动发生，而且未必以安全团队期望的方式发生。

应当发生的改变

• 批准成为实质性工作。 董事会必须批准这些措施，并可能因此被追责，因此它有理由真正理解自己批准的内容。
• 培训不再是可选项。 董事必须接受足以识别风险并评估管理实践的培训。许多董事会将首次拥有共同的基本认知。
• 监督有了结构。 关于措施、事件和进展的定期汇报成为法定义务，而非礼节性安排。

可能出现的问题

• 责任可能催生走过场式的合规。 担心个人风险的董事会可能要求提供合规证明而非安全证据：更多的确认书、更多的文书工作，风险依旧。
• 培训可能流于形式。 一段一小时的年度视频可能满足培训要求的字面规定，却不会带来任何改变。
• 安全团队可能过度依赖恐惧。 “你可能要承担责任”一开始能引起注意，但无法支撑长期的安全项目。

董事会现在应当做什么

1. 弄清自己在批准哪些措施。 第21条列出十个领域；实施条例则为数字服务提供商详细说明了这些内容。要求管理层就每个领域提供一页纸的概览，说明组织目前所处的状态。
2. 要结果，而非文件。 我们多快能够报告一起重大事件？我们上一次从备份恢复是什么时候？哪些供应商一旦出问题会让我们停摆？
3. 使用董事会能够读懂的框架。 NIST CSF 2.0的Govern（治理）职能恰好覆盖董事会的职责范围：组织环境、风险策略、角色、政策、监督和供应链。参见借助CSF概况向董事会汇报。
4. 让培训实质化：基于场景、贴合业务、反复进行。

董事会明天就可以问的问题

董事会无需成为安全专家，也能很好地监督安全工作。他们需要提出无法用一份文件来回答的问题：

• 如果我们最重要的系统今晚被勒索软件加密，我们需要多长时间才能恢复运营？我们上一次测试这一点是什么时候？
• 哪三家供应商最可能给我们造成最大损害？我们对它们的安全状况了解多少？
• 面向互联网的系统上有多少个未修复的严重漏洞？最老的一个存在多久了？
• 谁来判定某起事件是否重大到需要在24小时内报告？他们是否演练过？
• 我们上一次审计或评估发现了什么问题？此后有哪些变化？

答案应当附带证据：测试结果、指标、日期。随着时间推移，董事会提出的问题会塑造管理层的衡量重点，这正是第20条所要求的监督。差距分析可以显示您现有框架已支持哪些NIS2措施。

关键要点

• 第20条要求管理机构批准、监督网络安全工作并接受相关培训。
• 责任可能推动真正的监督，也可能只是增加文书工作。
• 董事会应当索取结果和证据，而非文件。

机遇

第20条以法律形式使安全负责人获得董事会的关注。最好的利用方式不是挥舞责任条款，而是把真正的决策交给董事会：它愿意接受何种风险、将为哪些事项提供资金，以及期望看到什么结果。这才是治理，其余都是文书工作。

如需更全面的了解，请参阅NIS2指南和我们的NIS2报告流程文章。NIS2框架页面将每一项实施条例要求映射到十个框架。

常见问题

NIS2第20条对管理层有哪些要求？

关键实体和重要实体的管理机构必须批准网络安全风险管理措施，监督其实施，接受培训，并可能因违规行为承担责任。成员国也鼓励为员工定期开展培训。

根据NIS2，董事会成员可能需要承担个人责任吗？

NIS2要求成员国确保管理层可因违规行为被追责，并且对于关键实体，在某些情形下允许暂时禁止其担任管理职务。责任如何认定取决于国家法律。

NIS2管理机构需要接受哪些培训？

足以获得知识和技能、以识别风险并评估网络安全风险管理实践及其对实体所提供服务影响的培训。具体形式由实体和国家法律决定。