供应商与供应链风险：谁要求什么
通过供应商发生的安全事件持续攀升，各框架也随之跟进。大多数框架现在都要求供应商安全，但它们对此的理解各不相同。
本文介绍的是撰写时 ControlMapping 已映射的 11 个框架。此后，DORA, CPS 234, Cyber Essentials 已于 2026-10-27 新增；其页面和覆盖矩阵均已包含这些内容。
供应商已成为进入企业的最常见途径之一，从被篡改的软件更新到遭入侵的托管服务提供商，皆是如此。各框架已作出回应，但力度不一。ControlMapping 从两个主题对此进行跟踪：供应商风险管理（评估和管理单个供应商）以及供应链风险（围绕供应商的整体计划）。
供应商风险管理
| 框架 | 供应商风险管理 | 链接 |
|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | 主题定义 |
| ISO 27001 | A.5.19A.5.20A.5.22 | 对照映射 |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | 对照映射 |
| SOC 2 | CC9.2 | 编辑说明 |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | 对照映射 |
| CMMC | — | |
| 800-53 | SA-4SA-9SR-6 | 对照映射 |
| HIPAA | §164.308(b)(1)§164.314(a) | 对照映射 |
| GDPR | Art.28(1)Art.28(3) | 编辑说明 |
| NIS2 | 5.15.26.1 | 对照映射 |
| Essential Eight | — | 本站数据中无映射 |
完整详情及每条关联的依据： 供应商风险管理 跨框架对照 →
作为计划的供应链风险
| 框架 | 供应链风险 | 链接 |
|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | 主题定义 |
| ISO 27001 | A.5.19A.5.21 | 对照映射 |
| CIS v8.1 | CIS 15.2 | 对照映射 |
| SOC 2 | CC9.2 | 编辑说明 |
| PCI DSS | 6.3.212.8.1 | 对照映射 |
| CMMC | — | |
| 800-53 | PM-30SR-2SR-3SR-11 | 对照映射 |
| HIPAA | — | |
| GDPR | Art.28(1) | 编辑说明 |
| NIS2 | 5.16.1 | 对照映射 |
| Essential Eight | — | 本站数据中无映射 |
完整详情及每条关联的依据： 供应链风险 跨框架对照 →
共识之处
大多数框架要求遵循相同的生命周期：明确你的供应商有哪些，在合作前进行评估，在合同中写入安全要求，持续监控，并安全地结束合作关系。ISO 27001 在 A.5.19 至 A.5.22 中涵盖了这一点；PCI DSS 要求提供服务提供商清单、书面协议、尽职调查、年度监控，以及书面化的职责划分（12.8.1 至 12.8.5）；SOC 2 期望对供应商风险进行评估和管理（CC9.2）；CIS Controls 要求进行清点、分类、落实合同要求、评估、监控并安全退役（Control 15）。只需建立一次这套生命周期，同一流程即可满足其中大多数框架的要求。
差异之处
- GDPR（《通用数据保护条例》）关注的是处理者：须签订书面合同，合同条款需符合第 28 条，并且只能使用能提供充分保障的处理者。它针对的是个人数据，而非一般意义上的供应商。
- HIPAA 要求与代表您处理 ePHI 的任何方签订业务伙伴协议（§164.308(b)(1)、§164.314(a)）。
- NIS2 将供应链安全视为一项独立措施（第 21(2)(d) 条）；其实施条例要求制定供应链安全政策、供应商选择标准和合同安全要求（第 5.1 和 5.2 点），并需考虑供应商自身的安全实践和漏洞。
- NIST CSF 2.0 走得最远，在治理（Govern）职能下设有十个关于网络安全供应链风险管理的子类别，涵盖从建立计划到贯穿整个生命周期管理供应商的全过程。
- CMMC Level 2 没有供应商相关实践；向分包商的要求传递依赖合同条款。Essential Eight 未涉及供应商。
良好计划的样子
- 统一的供应商清单，记录每个供应商可访问的内容及其关键程度。
- 分级尽职调查：对能访问敏感数据或系统的供应商进行更深入的调查，其余供应商则从简。如其 SOC 2 报告或 ISO 证书覆盖所提供的服务，可予以采纳，但需核查其范围。
- 合同要求：安全义务、向您通报数据泄露的义务、审计权，以及终止时的数据返还或删除（涉及个人数据时，应包含 GDPR 第 28 条的条款）。
- 与分级相称的监控：对关键供应商进行年度审查，这也是 PCI DSS 对服务提供商的要求。
- 退出管理：撤销访问权限，取回或删除数据，并确认已完成。
供应商风险和供应链风险主题页面列出了每项要求及其来源。我们的文章为什么 SOC 2 报告本身无法回答供应商问题介绍了如何解读供应商保证。
常见问题
NIS2 对供应链安全有何要求？
第 21(2)(d) 条要求开展供应链安全，包括与直接供应商和服务提供商关系中的安全问题。实施条例规定了供应链安全政策、供应商选择标准和合同要求（第 5.1 和 5.2 点）。
CMMC Level 2 是否要求供应商风险管理？
并非以计划形式要求。CMMC Level 2 继承了 SP 800-171 Rev 2，该标准侧重于保护本单位自身系统中的 CUI；要求向分包商的传递则改由合同条款来体现。
数据截至 2026-10-27：本文中的数字基于当前对照映射计算，映射更新时数字随之更新。 对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 非合规建议。
相关文章
分析 · 2026-10-27APRA CPS 234 与 ISO 27001：ISMS 涵盖什么，APRA 又增加了什么ISO 27001 ISMS 几乎涵盖了 APRA CPS 234 的每一段内容，但 APRA 还增加了董事会职责、第三方保证以及严格的通知时限。
分析 · 2026-10-27Cyber Essentials与Essential Eight对比：两项国家基线的比较英国的Cyber Essentials和澳大利亚的Essential Eight都针对常见攻击，但覆盖范围各不相同。哪些内容重叠，哪些不重叠，以及原因何在。
分析 · 2026-10-27DORA 与 NIS2 对比：已有 NIS2 计划能覆盖什么DORA 与 NIS2 的安全内容大部分相同，但 DORA 增加了登记册、合同条款和威胁驱动测试。逐条说明哪些内容可以延续沿用。