NIS2：有哪些要求，以及如何证明您已合规
简要回答
NIS2 是一项欧盟指令，自 2024 年 10 月 18 日起通过各成员国国内法适用于 18 个行业的关键实体与重要实体。它要求采取风险管理措施（第 21 条），并在 24 小时、72 小时和一个月内通报重大事件（第 23 条）。ROOTKey 将这些要求映射到您现有的基础设施之上，并提供可验证的加密证明。
- 最高罚款
- €10M或全球年营业额的 2%
- 预警时限
- 24 小时在发现重大事件后
- 覆盖行业
- 18关键实体与重要实体
- 适用日期
- 2024 年 10 月 18 日通过各成员国国内法适用
适用对象与风险所在
NIS2 适用于 18 个行业的关键实体与重要实体，自 2024 年 10 月 18 日起通过各成员国国内法适用。最高罚款取决于实体属于这两类中的哪一类。
| 实体 | 最高罚款 |
|---|---|
| 关键实体 | 最高可面临 1000 万欧元或全球年营业额 2% 的罚款，以较高者为准 |
| 重要实体 | 最高可面临 700 万欧元或全球年营业额 1.4% 的罚款，以较高者为准 |
不确定自身所处的位置？NIS2 模拟器可评估您的合规差距。
五分钟了解 NIS2
用通俗的语言讲解该指令:适用对象、具体要求、罚款,以及数据完整性在其中的位置。
我们的 YouTube 频道中的 Compliance 播放列表以同样的形式讲解 NIS2、DORA 和 GDPR。
第 21 条：风险管理措施
第 21 条要求针对风险分析、事件管理、业务连续性、供应链安全和访问控制采取有文档记录的措施。以下是每项要求与 ROOTKey 的对应关系。
| 条款 | 要求 | ROOTKey | 状态 |
|---|---|---|---|
| 21 · 2(a)风险分析政策 | 各实体必须实施信息系统和安全方面的风险分析政策，且有文档记录并做版本管理。 | 不可篡改的政策记录，附可验证的加密哈希并保留已锚定的历史，事后篡改可被加密手段检测出来。 | 已覆盖 |
| 21 · 2(b)事件管理 | 为安全事件的检测、分析、遏制和响应制定有文档记录的流程，并保有保管链。 | 每个事件都有经加密签名的时间戳。可验证的保管链，数秒内即可导出给监管机构。报告会指明发生了什么变化、由谁、何时以及在何处。 | 已覆盖 |
| 21 · 2(c)业务连续性 | 备份、灾难恢复和危机管理计划，确保可验证的业务运营连续性。 | 带加密完整性验证的恢复点，在需要用到备份之前，先验证备份是否已被入侵。 | 已覆盖 |
| 21 · 2(e)供应链安全 | 确保与供应商和服务提供商之间关系的安全，包括对关键信息数据和系统的访问。 | 设计上即内置加密访问验证：每次访问都附带加密证明进行认证，对任何实体都没有隐性信任。 | 已覆盖 |
| 21 · 2(j)身份认证与访问控制 | 采用多因素认证和安全通信方案，作为保护关键系统访问的机制。 | 带加密验证的 MFA：无需暴露凭证即可实现强认证，通过 API 集成到现有系统之上。 | 部分 |
第 23 条：事件通报时限
NIS2 第 23 条要求在发生重大事件后 24 小时内通知国家主管机构，72 小时内提交详细报告，并在一个月内提交最终报告。ROOTKey 会自动生成这三个阶段所需的加密证据链。
| 时限 | 阶段 | 详情 |
|---|---|---|
| T0 | 发现 | 带不可篡改时间戳的日志，可验证地证明事件是何时被发现的。 |
| 24 小时 | 预警 | 在发现有重大影响的事件后 24 小时内通知 CSIRT（预警）。 |
| 72 小时 | 中期报告 | 72 小时内提交的详细报告。结构化导出，数分钟内即可备妥。 |
| 1 个月 | 最终报告 | 一个月内提交的最终报告，附完整的加密证据链。 |
ROOTKey 如何融入：建立在您的基础设施之上，而不是取而代之
ROOTKey 不会取代现有系统。它通过 API 增加一层加密验证，无需迁移，没有供应商锁定。
- 可审计的加密证据
- 每项关键操作都会生成独立证明，外部审计人员无需访问原始数据即可验证。
- 可验证的恢复点
- 备份的完整性经加密验证：日期、内容与完整性均可验证。
- 不可篡改的时间戳
- 每个安全事件都有保管链，并附有可验证的发生时间证据。
任意文件，同样的证据
PDF、图片、Word、Excel、PowerPoint、数据表和数据库：无论何种文件，ROOTKey 都会将其与已封存的原件比对，只显示被改动的部分。
- 部署方式
- SaaS · 私有云 · On-premise
- 连接器
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · 数据表与数据库 · REST API 与 Webhook
集成：数日内上线，而非数月
有文档的 REST API 与 Webhook、专属的企业级支持。ROOTKey 适配您的基础设施，而不是反过来。
API 集成
提供文档完备的 REST API 与 Webhook。数日内即可投入运行，无需替换现有基础设施。
自动生成证明
每个关键事件都会生成不可篡改、可审计的加密证明，运营投入极低。
即时报告
实时合规看板，数秒内即可导出面向监管机构的证据。
常见问题
NIS2 对事件通报有哪些要求？
NIS2 第 23 条要求在发生重大事件后 24 小时内通知国家主管机构，72 小时内提交详细报告，并在一个月内提交最终报告。ROOTKey 会自动生成这三个阶段所需的加密证据链。
在 NIS2 下，什么算重大事件？
重大事件包括造成严重运营中断、经济损失或对其他实体产生影响的事件，涵盖勒索软件攻击、数据完整性被破坏以及供应链被入侵。
ROOTKey 如何支持 NIS2 第 21 条？
NIS2 第 21 条要求制定加密政策、访问控制和事件管理。ROOTKey 的持续完整性验证支持加密证据方面的要求，并为事件文档提供不可篡改的审计追踪。
不遵守 NIS2 会被处以多少罚款？
关键实体最高可面临 1000 万欧元或全球年营业额 2% 的罚款，以较高者为准。重要实体最高可面临 700 万欧元或全球年营业额 1.4% 的罚款，以较高者为准。