谁直接受 NIS2 约束？
NIS2 覆盖附件 I（高关键性行业，如能源、交通、银行、医疗、饮用水、数字基础设施、ICT 服务管理、公共管理、航天）和附件 II（其他关键行业，如邮政、废物管理、化工、食品、制造、数字服务提供者、研究机构）中的实体。原则上适用于中型及以上企业（员工 50 人以上或年营业额超过 1000 万欧元），但 DNS 服务、顶级域名注册、可信服务等不论规模。
实体分为关键实体和重要实体，监管强度和罚款上限不同：关键实体最高 1000 万欧元或全球营业额 2%，重要实体最高 700 万欧元或 1.4%。
第 21 条：十项风险管理措施
- 风险分析与信息系统安全政策
- 事件处置
- 业务连续性、备份与危机管理
- 供应链安全，包括与供应商之间的安全相关方面
- 网络和信息系统获取、开发与维护中的安全，包括漏洞处理与披露
- 评估网络安全措施有效性的政策与程序
- 基本网络卫生与网络安全培训
- 密码学与加密的政策与程序
- 人员安全、访问控制与资产管理
- 多因素认证与安全通信
出海企业为什么会被问到
第 4 项“供应链安全”意味着 NIS2 实体要评估供应商的安全状况，并在合同中写入安全要求。作为它们的供应商，你常会遇到：
- 更长、更细的安全问卷
- 合同中的事件通报时限、审计权和安全条款
- 要求提供 ISO/IEC 27001 证书或 SOC 2 报告
- 询问漏洞处理流程和软件供应链（SBOM）
NIS2 怎么准备？
- 判断自身是否直接落入 NIS2 范围（特别是云、数据中心、MSP、在线平台）
- 准备一份对照 NIS2 第 21 条的安全说明，便于回答问卷
- 用 ISO/IEC 27001 建立体系化证据
- 建立事件响应与通报流程，评估能否满足客户的时限要求