2026 年 7 月，我们跨过的监管拐点
2026 年 7 月对数字监管而言并不平静。
NIS2 首个重大审计截止日期已于月初过去，这是对欧洲组织是否已落实该指令所要求的网络安全措施的首次正式检验。欧盟《人工智能法》针对高风险人工智能系统的义务于 8 月开始适用，此前的合规窗口期已于本月结束。DORA 自 1 月起已全面生效，针对金融实体 ICT 风险管理计划的首批监管评估正在进行中。
对于在 2026 年上半年做好准备的组织而言，7 月是验证成果的时刻。而对于为数不少未做准备的组织而言，这是一次清算。
以下是本月合规动态所揭示的市场走向。
7 月证实的三件事
1. 文档缺口真实存在。 在 NIS2、DORA 和欧盟《人工智能法》的评估中，最一致的发现是：组织已经实施了安全措施，却无法证明这一点。访问控制确实存在，但记录这些控制的审计日志可被修改。风险评估已经开展，但其所依据的数据没有经过任何完整性验证。训练数据经过了整理，但没有时间戳证据表明这些数据是何时汇集的。
合规不再关乎您做了什么，而关乎您能证明什么。
2. 人工智能治理正在追赶人工智能部署。 三年来，企业采用人工智能的速度一直快于治理。7 月的欧盟《人工智能法》适用截止日期，是这一差距首次带来正式执法后果的重大监管节点。那些把人工智能治理当作 IT 合规勾选项的组织正在发现，它需要基础设施投入。
3. 数据完整性是共同主线。 本月受到关注的每一个框架，即 NIS2、DORA、欧盟《人工智能法》和《通用数据保护条例》（GDPR），都以数据完整性为技术基础。合规管理效率最高的组织，正是那些很早就认识到这一点，并构建了共享的数据完整性基础设施、而非各自独立的合规孤岛的组织。
8 月及以后应关注的重点
对于在这三个框架中任何一个方面进度落后的组织：
从数据完整性基础设施入手。 这项投资能同时在所有三个框架中带来回报。将基于密码学的完整性验证层应用于您最关键的数据资产，只需一次建设，即可满足 NIS2、DORA 和欧盟《人工智能法》的技术基础要求。
在审计之前弥补文档缺口。 如果您已实施安全措施却无法证明，那么证明问题就是首要任务。密码学审计追踪、经完整性验证的证据包以及抗篡改日志记录，应列入您的即时行动清单。
对照高风险类别梳理您的人工智能系统。 如果您不确定自己的某项人工智能部署是否属于欧盟《人工智能法》规定的高风险类别，应在本月完成这项评估，而不是等到下一次季度审查。
ROOTKey 的企业合规资源涵盖所有三个框架。NIS2 合规模拟器可为您提供 15 分钟的就绪度评估。立即开始评估。
- 2026 年 7 月：NIS2 首个审计周期，DORA 监管评估正在进行，欧盟《人工智能法》高风险适用窗口期即将结束。
- 三个框架中最常见的合规缺口：组织已实施措施，却无法证明。
- 数据完整性基础设施是 NIS2、DORA 和欧盟《人工智能法》共同的技术基础。
- 8 月行动：弥补文档缺口，完成人工智能风险分类评估，并开始构建密码学审计追踪。
- 关注我们的博客，获取每月合规综述，并查看我们 7 月发布的所有文章，深入了解每个主题。