一张不均衡的版图
截至 2026 年 5 月，27 个成员国中已有 23 个将 NIS2 转化为国内法。其余国家包括仅部分完成转化的西班牙，以及保加利亚、波兰和斯洛文尼亚。欧盟委员会已以未完成转化为由，将七个成员国诉至欧盟法院。
对于只在一个国家运营的组织来说，这只是一则无关紧要的信息。对于在六个国家运营的组织来说，这却是一个没有简单答案的规划难题，因为义务格局确实因所看的地方而异，而且正按照一个无人能掌控的时间表不断变化。
可选的三种立场及各自的代价
跨国实体大体上在三种做法中选择其一，而每种做法都有其独特的失败模式。
等待本国立法。 站得住脚，但日益令人不安。国家法律通过时，指令规定的义务并非凭空出现，而是附带实施期限一同到来；那些在转化时才开始行动的组织一再发现，准备时间比预期更短。此外，如果在此期间某个司法管辖区发生事件，而当地虽然法规尚未生效、指令的实质内容却已是政治焦点，您将拿不出任何可以展示的东西。
在所有地方遵循指令基线。 操作上最简单，但覆盖范围略有超出。您在全欧盟范围内按指令要求实施，并接受某些司法管辖区最终会提出略多或略少的要求。我们所见的大多数大型组织都采用这种做法。
在所有地方遵循最严格的国家标准。 最安全，也最昂贵。对少数受到高度监管的实体而言是合理的，否则难以证明其必要性，因为就任何一个具体要点而言，转化最严格的国家并不是在每个要点上都是同一个。
各国转化的实际差异在哪里
这项指令的协调程度高于人们通常的认知，各国的差异集中在一组可预见的方面。如果您正在构建跨司法管辖区的合规项目，这些就是需要逐国跟踪的字段，而不应假定只有一个答案。
实体识别和注册机制差异很大：由谁注册、在哪个平台注册、在什么期限内注册，以及是由监管机构识别实体还是由实体自我识别。事件报告渠道和阈值围绕共同的节奏而有所不同。监管架构各不相同，有些国家将监管集中于国家网络安全主管机构，另一些国家则将其分散给各行业监管机构。处罚程序以及管理层责任的实际落实存在明显差异。此外，若干国家已将适用范围扩展到指令的最低要求之外，纳入了指令并未要求的行业或规模阈值。
好消息是，底层的控制要求大体一致。差异在于与监管机构之间的接口，而不在于您必须做什么的实质内容。
为什么一个统一的证据库能经受住这些差异
实际的结论就源自上述最后一点。如果控制措施大体一致而接口各不相同，那么需要按司法管辖区投入成本构建的是接口，而需要投入成本但只构建一次的是证据。
这意味着要抵制组织内部按国家建立合规孤岛的自然倾向。一家波兰子公司因为波兰法律尚未生效而自建证据库，一家葡萄牙子公司因为 CNCS 已开始审计而另建一个，结果只会产生两幅不完整的图景，以及一个对其中任何一方的问题都无法作答的集团职能部门。
一个统一的证据库记录发生了什么、何时发生、经由谁的授权，并可按实体、司法管辖区和监管机构进行查询；它既能回应葡萄牙当下的要求，也能在波兰的要求到来时予以回应。针对监管制度重叠（而非司法管辖区重叠）的情形，我们在为受双重监管的金融实体构建统一的证据层一文中提出过结构完全相同的论点。
- 按司法管辖区维护一份状态表，涵盖转化状态、监管机构、注册机制和报告渠道，并按月而非按年进行审查
- 以指令基线构建控制措施，并将各国差异视为叠加其上的配置，而不是独立的项目
- 集中保存证据，并将司法管辖区作为一项属性，这样无需开展数据收集工作即可回应监管机构的要求
- 确定您的哪个实体会最先面临监管，并以该司法管辖区来对集团模式进行压力测试
- 关注欧盟违约程序，因为被诉至欧盟法院之后，往往会迅速出现国家层面的行动
- 葡萄牙是目前最具借鉴意义的观察对象，因为当地的注册和监管活动均已实际展开，参见我们对葡萄牙的报道
- 德国的执法态势最清晰地展示了成熟的监管关系是什么样子，参见深入德国 NIS2 执法浪潮
- 欧盟层面的执法全景（包括首批罚款）记录在NIS2 执法追踪中
如果您集团的证据目前分散在与子公司数量一样多的地方，将其整合所需的工作量比听起来要少。您可以从一个实体和一个司法管辖区开始，也可以在 ROOTKey 企业版页面了解多实体部署是如何构建的。