NIS2合规：实用指南
按 Paul Gillet · 更新于 2026-10-17
NIS2是欧盟的核心网络安全法律：Directive (EU) 2022/2555。作为一项指令，它需要通过各成员国的国内法实施，实施截止日期为2024年10月17日。核心义务在各地基本一致，但注册、监管、处罚及部分细节因国而异，因此务必查阅您开展业务所在国的国内法。
您是否属于适用范围？
NIS2涵盖18个行业的实体。Annex I列出高关键性行业：能源、交通、银行、金融市场基础设施、卫生、饮用水、废水、数字基础设施、企业对企业ICT服务管理、公共行政和航天。Annex II列出其他关键行业：邮政和快递服务、废物管理、化学品、食品、制造业（包括医疗器械、电子、机械和车辆）、数字服务提供商和研究。
一般而言，若实体在欧盟境内从事上述行业之一，且至少为中型企业（员工50人或以上，或年营业额及资产负债表总额超过1,000万欧元），即属于适用范围。部分实体无论规模大小均属适用范围，例如DNS服务提供商、顶级域名注册管理机构、信任服务提供商以及公共电子通信网络提供商。实体被划分为关键或重要实体；两类实体须满足相同的措施要求，但监管方式和最高罚款额不同。
NIS2的要求
- 治理（Article 20）：管理机构必须批准风险管理措施、监督其实施，并参加网络安全培训。管理层可能因失职而承担责任。
- 风险管理措施（Article 21）：采用全危害（all-hazards）方法，涵盖：(a) 风险分析与安全政策；(b) 事件处置；(c) 业务连续性、备份、灾难恢复和危机管理；(d) 供应链安全；(e) 获取、开发和维护过程中的安全，包括漏洞处理与披露；(f) 评估这些措施的有效性；(g) 基础网络卫生与培训；(h) 密码学与加密；(i) 人力资源安全、访问控制和资产管理；以及(j) 多因素或持续认证及安全通信。
- 事件报告（Article 23）：对于重大事件，须在知悉后24小时内向CSIRT或主管机关提交早期预警，72小时内提交事件通报，并在一个月内提交最终报告。
- 注册：大多数实体必须向国家主管机关注册。
实施条例
对于某些数字服务提供商，欧盟委员会在Implementing Regulation (EU) 2024/2690中具体规定了Article 21措施，适用对象包括：DNS服务提供商、TLD注册管理机构、云计算和数据中心服务、内容分发网络、托管服务及托管安全服务提供商、在线市场、搜索引擎、社交网络平台以及信任服务提供商。该条例的附件远比Article 21本身具体。ControlMapping的NIS2要求即为该附件的各项要点，并采用ENISA的标题以及ENISA官方发布的与ISO 27001和NIST CSF 2.0的映射。其他实体则遵循其国内法，但该附件和ENISA实施指南对所有人都是可靠的参考。
实施步骤
- 确认适用范围和分类：依据您开展业务所在各国的国内法进行确认，并在要求时完成注册。
- 向管理机构汇报：他们必须批准各项措施并完成培训，因此应从这里入手。
- 依据Article 21开展差距评估；若实施条例的附件适用于您，则依据该附件进行评估。若您已持有ISO 27001认证，请从ISO 27001 → NIS2对比入手。
- 落实缺失的措施，其中供应链安全和漏洞处理通常需要投入最多的新工作。
- 建立报告流程：明确由谁判断某一事件是否属于重大事件，并演练在24小时和72小时时限内完成报告，包括非工作时间。
- 留存有效性证据（Article 21(2)(f)）：通过审计、测试和指标证明措施确实有效。
获得ISO 27001认证是否意味着符合NIS2？
单靠ISO 27001并不足够，但它能帮您完成大部分工作。ENISA的映射将实施条例的每一项要点与ISO 27001条款或附录A控制措施相连接，因此获得ISO认证的组织已具备大部分技术和组织措施。但ISO无法替代以下内容：报告时限、管理层培训与责任、注册，以及部分附件要点中比附录A描述更为详细的具体技术要求。是否合规由您的国家主管机关而非认证机构决定。
监管与处罚
国家主管机关对关键实体进行主动监管（审计、检查、安全扫描），对重要实体则通常在事件或投诉发生后进行事后监管。关键实体的最高罚款额至少为1,000万欧元或全球年营业额的2%，重要实体则至少为700万欧元或1.4%，以较高者为准。
本站如何提供帮助
此处每一项NIS2要求均通过ENISA的映射链接到ISO 27001和NIST CSF 2.0，并进一步通过它们链接到其他框架。下表显示您已持有的各框架对NIS2的覆盖程度。
已有其他框架？
您可能已遵循的每个 NIS2 框架，有多少项要求与之对应。打开差距报告可查看逐条要求列表。
| 如果您已有 | NIS2 项要求已映射 | 仅弱相关 | 无映射 | |
|---|---|---|---|---|
| ISO 27001 | 49 / 49 | 0 | 0 | 差距报告 → · 对比 |
| SOC 2 | 47 / 49 | 1 | 1 | 差距报告 → · 对比 |
| NIST CSF 2.0 | 45 / 49 | 3 | 1 | 差距报告 → · 对比 |
| PCI DSS | 45 / 49 | 3 | 1 | 差距报告 → |
| 800-53 | 45 / 49 | 3 | 1 | 差距报告 → |
| DORA | 44 / 49 | 5 | 0 | 差距报告 → |
| CMMC | 40 / 49 | 8 | 1 | 差距报告 → |
| CIS v8.1 | 34 / 49 | 7 | 8 | 差距报告 → |
| HIPAA | 34 / 49 | 13 | 2 | 差距报告 → |
| GDPR | 29 / 49 | 9 | 11 | 差距报告 → |
| CPS 234 | 21 / 49 | 6 | 22 | 差距报告 → |
| Essential Eight | 17 / 49 | 8 | 24 | 差距报告 → |
| Cyber Essentials | 16 / 49 | 3 | 30 | 差距报告 → |
对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 计数来源与 差距分析 相同的数据；映射仅表示相关要求，并不证明一项要求满足另一项。
常见问题
NIS2何时开始适用？
成员国须自2024年10月18日起适用其NIS2国内法。部分成员国有所延迟，因此请查看您开展业务所在地的实施状态。
NIS2的事件报告时限是什么？
在知悉重大事件后24小时内提交早期预警，72小时内提交事件通报，并在一个月内提交最终报告。
NIS2是否适用于欧盟以外的公司？
可能适用。部分在欧盟提供服务但未在欧盟设立机构的数字服务提供商，必须在某一成员国指定代表。
本内容不构成法律或合规建议。在依赖本内容之前，请核对官方原文，并咨询您的审计师、评估机构或监管机构。