# NIS2 指令：为什么欧洲客户突然开始问你的供应链安全

> 大多数中国出海企业不会被 NIS2 直接点名，但你的欧洲客户很可能是。它们必须管理供应链安全，于是会把要求写进供应商问卷和合同。

来源页面: https://assurelane.ai/frameworks/nis2/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: Directive (EU) 2022/2555（网络与信息系统安全指令 2）
- 发布/监管方: 各成员国主管机构（经本国法律转化）
- 成果: 法律义务：风险管理措施、事件报告、管理层责任
- 适用对象: 18 个行业中的中型及以上关键实体和重要实体；部分数字服务商不论规模
- 地区: 欧盟
- 典型周期: 作为供应商满足客户要求，常见 1–3 个月
- 有效期: 持续义务

## 关键时间线

- 2023-01-16: 指令生效
- 2024-10-17: 成员国转化截止日（多国延迟）

## 谁直接受 NIS2 约束？

NIS2 覆盖附件 I（高关键性行业，如能源、交通、银行、医疗、饮用水、数字基础设施、ICT 服务管理、公共管理、航天）和附件 II（其他关键行业，如邮政、废物管理、化工、食品、制造、数字服务提供者、研究机构）中的实体。原则上适用于**中型及以上企业**（员工 50 人以上或年营业额超过 1000 万欧元），但 DNS 服务、顶级域名注册、可信服务等不论规模。

实体分为**关键实体**和**重要实体**，监管强度和罚款上限不同：关键实体最高 1000 万欧元或全球营业额 2%，重要实体最高 700 万欧元或 1.4%。

## 第 21 条：十项风险管理措施

1. 风险分析与信息系统安全政策
2. 事件处置
3. 业务连续性、备份与危机管理
4. **供应链安全**，包括与供应商之间的安全相关方面
5. 网络和信息系统获取、开发与维护中的安全，包括漏洞处理与披露
6. 评估网络安全措施有效性的政策与程序
7. 基本网络卫生与网络安全培训
8. 密码学与加密的政策与程序
9. 人员安全、访问控制与资产管理
10. 多因素认证与安全通信

## 出海企业为什么会被问到

第 4 项“供应链安全”意味着 NIS2 实体要评估供应商的安全状况，并在合同中写入安全要求。作为它们的供应商，你常会遇到：

- 更长、更细的安全问卷
- 合同中的事件通报时限、审计权和安全条款
- 要求提供 ISO/IEC 27001 证书或 SOC 2 报告
- 询问漏洞处理流程和软件供应链（SBOM）

## NIS2 怎么准备？

1. 判断自身是否直接落入 NIS2 范围（特别是云、数据中心、MSP、在线平台）
2. 准备一份对照 NIS2 第 21 条的安全说明，便于回答问卷
3. 用 [ISO/IEC 27001](https://assurelane.ai/frameworks/iso-27001/) 建立体系化证据
4. 建立事件响应与通报流程，评估能否满足客户的时限要求

## 常见问题

### 我们是给欧洲客户提供 SaaS 的中国公司，直接适用 NIS2 吗？

视服务类型而定。云计算、数据中心、内容分发网络、托管服务（MSP）、托管安全服务（MSSP）、在线市场、搜索引擎和社交网络平台等数字服务提供者，如在欧盟提供服务但未设立机构，可能需要在欧盟指定代表。一般业务 SaaS 更多是通过客户间接受影响。

### 客户要求我们 24 小时内通报安全事件，合理吗？

这是 NIS2 实体自身的报告时限（24 小时预警、72 小时通报、1 个月最终报告）传导到供应商的结果。签约前应评估自身能力，并争取明确“事件”的定义和通报内容。

### ISO 27001 能帮我们应对 NIS2 要求吗？

很有帮助。NIS2 第 21 条列出的风险管理措施与 ISO/IEC 27001 控制高度对应，很多欧洲客户把 ISO 27001 证书当作供应商满足要求的主要证据。

## 参考来源

- [EUR-Lex — Directive (EU) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
- [European Commission — NIS2 Directive](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。