引言
在 2025 年的大部分时间和 2026 年初，NIS2 的执法仍停留在理论层面：这是一部罚款上限很高、却没有任何执法记录的指令。今年夏天，情况发生了变化。目前，至少四个成员国已开出经确认的罚款，仅德国和法国两国的正式监管命令就已达数十份；2026 年 7 月 8 日，欧盟委员会以未将该指令完全转化为国内法为由，将爱尔兰、西班牙、法国和荷兰诉至欧盟法院。NIS2 不再是幻灯片上的一个合规截止日期，而是一个正在实际运行的执法机制。
迄今为止的罚款
- 比利时：约 185,000 欧元
- 意大利：约 450,000 欧元
- 匈牙利：约 78,000 欧元
- 立陶宛：约 52,000 欧元
监管行动的步伐快于罚款
罚款是滞后指标。更直接的信号是已发出的正式监管命令数量：德国 BSI 约 47 份，法国 ANSSI 约 23 份；在法国国内正式转化 NIS2 仍未完成期间，ANSSI 依据其现行的 2018 年框架开展工作。目前，至少 14 个成员国已启动审计计划，首先针对基本实体。尚未被罚款的组织不应将此视为自身合规的证据，这只说明其监管机构尚未对其展开审查。
为何四个成员国被诉至欧盟法院
NIS2 要求各成员国在 2024 年 10 月前完成国内转化。截至 2026 年 5 月，27 个成员国中约有 21 至 23 个已完成转化，仍有少数成员国（包括欧盟部分最大的经济体）长期在仅部分到位或不完整的国家框架下运行。欧盟委员会将爱尔兰、西班牙、法国和荷兰诉至欧盟法院，是一次正式的升级，而非象征性姿态：它启动了一项法律程序，最终可能导致针对成员国本身的经济处罚；这些处罚叠加在当地受监管实体已承担的义务之上，而不是取而代之。
这在实践中对合规证据意味着什么
迄今为止避开罚款的组织，并不是纸面政策最完善的那些：罚款落在了基本实体和重要实体身上，这些实体在接受调查时，无法就其政策文件所描述的控制措施提供持续的证据。监管审计不会问安全政策是否存在，而是问组织能否用带时间戳的证据证明，该政策在关键日期确实得到了执行。正是在这一区别上，可由机器验证、持续生成的合规证据胜过只反映某一时间点的审计文件夹。
随着 NIS2 执法从理论走向实践，罚款正落在合规政策与合规证据之间的缺口上。了解 ROOTKey 如何生成持续、可随时用于审计的 NIS2 证据。