資安長面對 NIS2：是不是受規範實體？多國據點、董事會與通報怎麼排？

我們是 NIS2 受規範實體，還是只是歐盟客戶的供應商？

管轄或適用性的法律判斷，應諮詢熟悉當地轉化法的律師。

我們在多個歐盟成員國都有據點，要向哪一國登記與通報？

NIS2 第 26 條第 1 項的原則是：實體受其設立所在成員國管轄。歐盟執委會的 NIS2 常見問答說明，在多個成員國設立的實體，受各該成員國管轄，各國應相互合作。例外有兩類：

• 公共電子通訊網路或服務提供者：受其提供服務所在成員國管轄。
• DNS、頂級網域註冊管理機構、雲端、資料中心、託管服務等數位實體：受其在歐盟「主要營業據點」所在成員國管轄；未在歐盟設立者，須在歐盟指定代表（第 26 條第 3 項）。

資安長要做的是把每個據點的主管機關、CSIRT 與登記程序列成清單，通報流程依清單分流。

NIS2 第 20 條要管理機構核准、監督並受訓，資安長怎麼向董事會提報？

第 20 條要求管理機構核准並監督第 21 條措施，成員應接受訓練；執委會常見問答也說明，NIS2 訂有高階管理職自然人責任的規定。罰則由各國法律規定，關鍵實體最高 €10M 或 2%。

建議提報內容：

• 公司身分判定與適用的成員國
• 第 21 條十項措施的差距與補強計畫
• 管理階層核准紀錄與受訓紀錄
• 通報演練結果

上市櫃公司可放進管控指引第 37 條的定期報告，並把 NIS2 責任寫進第 3 條的推動組織；非公開發行公司不受此指引規範，可以自願參考。

NIS2 重大事件 24 小時、72 小時、一個月三段通報，要怎麼接進現有應變程序？

第 23 條：重大事件須無不當延遲通報 CSIRT 或主管機關，24 小時內早期預警、72 小時內事件通報、通報後一個月內最終報告。

• 先分類：誰判斷是不是重大事件、誰負責送出，事先寫進程序並取得授權。
• 並列多項時限：同一事件可能同時觸發 GDPR 72 小時、DORA、EU CRA，起算點與受理機關各不相同，由同一個事件分類步驟判斷要通報哪幾項。
• 演練：以桌上演練確認流程可以重複執行，保留紀錄。

上市櫃公司可把這段加進管控指引第 34 條的應變處置及通報程序。

歐盟客戶寄來 NIS2 供應鏈資安條款，資安長要怎麼回應？

受規範客戶依第 21 條第 2 項 (d) 款的供應鏈安全要求，會把義務寫進合約。回應方式：

• 用既有證據：客戶只要求填資安問卷時，用 ISO 27001 的制度與紀錄回應通常就足夠。
• 逐條對照：合約條款若要求通報、稽核或特定控制，逐條對到既有程序，缺的列入補強清單；涉及責任分配時請法務審閱。
• 往下延伸：對自己的供應商建立風險評估程序與合約資安條款，讓對上游的要求和對下游的承諾一致。

上市櫃公司的 ESG 評鑑 S-15 也問供應商管理政策是否要求供應商遵循資通訊安全規範；非公開發行公司不受此評鑑規範，可自願參考。

已有 ISO 27001，NIS2 還要補什麼？要多久？

ISO 27001 能大幅縮短準備時間，但 NIS2 另有通報時限、向主管機關登記、供應鏈安全與管理階層責任等要求，要在 27001 之上補齊。

服務頁所列時程：從差距分析到制度建立通常 4–6 個月；已有 ISO 27001 者可縮短到 2–3 個月。流程五步：適用性判斷、現況差距分析、制度建立與文件製作、技術控制落地、稽核就緒與持續維護。

典型產出：資安風險管理政策、72 小時事件通報 SOP、供應鏈安全評估程序、高管資安責任矩陣。

積穗科研怎麼協助資安長處理 NIS2？

• 身分判定：依產業別、規模與所在成員國的轉化法，判定是否屬於關鍵或重要實體，或只需回應客戶的供應鏈要求。
• 第 21 條差距：逐項對照現行資安管理制度、事件通報、供應商管理與技術措施，產出優先補強清單。
• 通報流程：建立 24 小時、72 小時、一個月三階段通報程序，並以桌上演練確認可以重複執行。
• 管理階層責任：建立高管資安責任矩陣與核准紀錄。
• 一套證據：在既有 ISO 27001 上補 NIS2 差異；也提供 DORA＋NIS2 整合評估。
• 分工：副總、董事級顧問全程親自輔導、不外包。

延伸閱讀：NIS2 輔導、NIS2 顧問怎麼選、ISO 27001、資安長要管哪些標準。申請免費機制診斷