總經理看 NIS2：第 20 條管理機構責任、罰則與歐洲客戶要求

NIS2 第 20 條說管理機構要負責，總經理個人會被追究嗎？

若公司是 NIS2 的關鍵或重要實體，會。依指令原文：

• 第 20 條第 1 項：管理機構要核准為遵循第 21 條所採取的資安風險管理措施、監督其執行，並可因實體違反第 21 條而被追究責任。
• 第 20 條第 2 項：管理機構成員必須接受訓練。
• 第 32 條第 6 項：代表實體、有權為其決策或控制實體的自然人，要有權確保實體遵循本指令，且可因違反這項義務被追究責任；重要實體依第 33 條第 5 項準用。
• 第 32 條第 5 項第 (b) 款：關鍵實體在前階段執法措施無效、逾期未改善時，主管機關可請求依國內法暫時禁止執行長或法定代表人層級的人行使管理職務。

NIS2 是指令，實際責任依各成員國轉化法，由法律顧問依個案判斷。

我們在歐洲沒有子公司，只是歐洲客戶的供應商，NIS2 跟我們有關嗎？

要先判定身分，三種身分要做的事完全不同：

多數台灣製造業屬於第三種：第 20 條的管理機構責任不直接落在你身上，但客戶的合約會。

NIS2 罰鍰有多重？是用台灣公司還是集團的營業額計算？

各成員國的罰鍰上限至少要達到：

營業額的基準，條文寫的是「該實體所屬事業」的全球年營業總額，所以不只看歐洲子公司本身。罰鍰適用於違反第 21 條資安措施或第 23 條通報義務。因為是指令，實際金額依各國轉化法；若要評估是否需估列負債準備或揭露或有負債，由簽證會計師與法律顧問依個案判斷。

歐洲客戶要我們簽 NIS2 資安條款、接受稽核，總經理要怎麼決定接不接？

先確認條款的來源：受規範客戶依第 21 條，要管理自己供應鏈的資安，所以把要求寫進採購合約。總經理要看三件事：

1. 承諾做得到嗎：通報時限、稽核權、資安措施，都要對照公司現有制度。已有 ISO 27001 時，多數要求可以用既有制度與紀錄回應。
2. 只是問卷，還是合約義務：確定不屬於受規範實體、客戶只要求填問卷時，用 ISO 27001 的制度與紀錄回應通常就足夠。
3. 法律判斷：管轄與適用性的問題，請熟悉當地轉化法的律師審閱。

上市櫃公司自己對上游的要求，也是證交所 ESG 評鑑 S-15 的題目（揭露要求供應商遵循資通訊安全等規範的政策）。ESG 評鑑對象是上市櫃公司；非公開發行公司不受此規範，可自願參考。

NIS2 由誰負責？董事會、總經理與資安長怎麼分工？

NIS2 第 20 條要求「管理機構」核准、監督並接受訓練，實務上要留下三種紀錄：管理階層核准資安措施的紀錄、監督執行的紀錄、管理機構成員的訓練紀錄。

上市櫃公司可以把它接進既有組織，不另建一套：

此指引適用於上市上櫃公司；非公開發行公司不受此規範，可自願參考。

NIS2 要投入多久？已經有 ISO 27001，能省多少？

服務頁所列：從差距分析到制度建立，NIS2 輔導通常需要 4–6 個月；已有 ISO 27001 基礎者，可縮短到 2–3 個月。流程分五步：適用性判斷、現況差距分析、制度建立與文件製作、技術控制落地、稽核就緒與持續維護。

ISO 27001 不等於 NIS2 合規。NIS2 沒有獨立證書，另有四件事要在 27001 之上補齊：

• 第 23 條的通報時限
• 向主管機關登記
• 供應鏈安全
• 管理階層責任（第 20 條）

所以總經理編預算時，先問「我們是哪一種身分」，再問「27001 已經涵蓋多少」。

積穗科研怎麼協助總經理處理 NIS2？

積穗科研由副總、董事級顧問全程親自輔導、不外包。

• 身分判定：依產業別、規模與所在成員國的轉化法，判定是否屬於關鍵或重要實體，或只需回應客戶的供應鏈要求。
• 第 21 條十項措施：逐項對照現行資訊安全管理制度、事件通報、供應商管理與技術措施，產出優先補強清單。
• 管理階層責任：建立高階管理的資安責任矩陣與核准紀錄。
• 通報流程：建立 24 小時、72 小時、1 個月三階段通報程序，並以桌上演練確認可以重複執行。
• 和 ISO 27001 整合：在既有制度上補 NIS2 差異，同一套證據對應 NIS2 與客戶要求。

延伸閱讀：NIS2 歐盟網安指令輔導、NIS2 顧問怎麼選、資安長角色頁。

申請免費機制診斷