財務長看 NIS2：罰鍰上限、管理階層責任與準備怎麼評估？

財務長先確認什麼：公司在 NIS2 下會被罰，還是只有合約曝險？

曝險型態取決於身分：

身分判定要看產業別、規模與所在成員國的轉化法；管轄與適用性的法律意見，由熟悉當地轉化法的律師出具。

NIS2 罰鍰上限怎麼算？營業額用子公司還是集團的數字？

依第 34 條：

• 關鍵實體違反第 21 條或第 23 條：上限至少 1,000 萬歐元或全球年營業總額 2%，取高者（第 4 項）。
• 重要實體：上限至少 700 萬歐元或 1.4%，取高者（第 5 項）。
• 營業額基礎：該實體所屬「事業」（undertaking）前一會計年度的全球年營業總額；前言第 130 點說明，事業依歐盟運作條約第 101、102 條的概念理解。台灣母公司的合併營收是否計入，由法律顧問依個案判斷。
• 「至少」：成員國可訂更高上限，要看所在國轉化法。
• 罰鍰在監理措施之外另加（第 34 條第 2 項）；同一行為已被 GDPR 監管機關處罰鍰時，不再依第 34 條處罰鍰（第 35 條第 2 項）。

NIS2 罰鍰風險要提列負債準備，還是揭露或有負債？

台灣公開發行公司的財報，依金管會認可的國際財務報導準則編製。IAS 37 的判斷框架：

• 是否有過去事件造成的現時義務（第 14 條 (a)；不明確時，看報導期間結束日是否很有可能存在，第 15 條）
• 資源流出是否很有可能，即可能性高於不可能（第 14 條 (b)、第 23 條）
• 金額能否可靠估計（第 14 條 (c)；除極少數情況外都能估出區間，第 25 條）

三者成立就認列負債準備，以最佳估計衡量（第 36 條），每期檢討（第 59 條）；流出並非很有可能時屬或有負債，除非可能性極低，否則於附註揭露。為了符合 NIS2 將來要花的建置成本，不是負債準備（第 18 條）。結論由簽證會計師與法律顧問依個案判斷。

董事會與高階經理人在 NIS2 下要負什麼責任？財務長怎麼向董事會報告？

• 第 20 條：管理機構核准第 21 條的資安風險管理措施並監督執行，可被追究責任；成員須接受訓練。
• 第 32 條：關鍵實體在其他執法措施無效後，可請求暫時禁止負責管理職責的自然人行使管理職務（第 5 項 (b)；前言第 133 點：僅作最後手段）；成員國也須能追究代表或控制實體之自然人的責任（第 6 項；重要實體依第 33 條第 5 項準用）。
• 報告重點：身分判定、罰鍰上限換算、第 21 條缺口與補強預算、通報演練紀錄。年報準則第 20 條第六款要求分析重要法律變動對財務業務的影響（年報準則、內控處理準則適用於公開發行公司；非公開發行公司不受此規範，可自願參考）。
• 董監事責任保險能否涵蓋，依保單條款與當地法律，由保險經紀人與律師確認。

NIS2 合規預算怎麼編？哪些支出要直接費用化？

第 21 條第 1 項要求「適當且合乎比例」的措施，並考量最新技術與實施成本：預算可以依風險排序，不必一次到位。預算結構可對應服務頁所列五步驟：

• 適用性判斷與現況差距分析
• 制度建立與文件：資安風險管理政策、72 小時事件通報 SOP、供應鏈安全評估程序、高管資安責任矩陣
• 技術控制落地
• 稽核就緒與持續維護
• 管理機構成員訓練（第 20 條第 2 項）

訓練支出依 IAS 38 第 69 條於發生時認列費用；其他支出的分類由簽證會計師判斷。時程（服務頁所列）：通常 4–6 個月，已有 ISO 27001 者可縮短到 2–3 個月。

歐盟客戶要我們簽 NIS2 資安條款，財務長要看哪些合約責任與保險？

客戶依第 21 條第 2 項 (d) 款管理供應鏈安全，第 3 項要求考量每個直接供應商與服務提供者的特定弱點，所以條款會落到你身上。財務長的審閱框架：

條款的法律效果由法律顧問判斷；承保範圍由保險經紀人確認。

積穗科研怎麼協助財務長處理 NIS2？

• 身分判定：依產業別、規模與所在成員國轉化法，判定是關鍵或重要實體，還是只需回應客戶的供應鏈要求，先確認曝險在罰鍰還是合約
• 差距分析：逐項對照第 21 條十項措施，產出優先補強清單，讓預算依風險排序
• 通報流程：建立 24 小時、72 小時、1 個月三階段通報程序，並以桌上演練確認可以重複執行
• 管理階層責任：建立高階管理的資安責任矩陣與核准紀錄
• 供應鏈安全：建立供應商風險評估程序與合約資安條款
• 和 ISO 27001 整合：在既有制度上補 NIS2 差異，同一套證據對應 NIS2 與客戶要求
• 誰主導：副總、董事級顧問全程輔導，不外包

深入：NIS2 歐盟網安指令輔導、台灣 NIS2 顧問怎麼選、財務長角色頁。申請免費機制診斷