我們是不是 NIS2 的受規範實體？風險地圖上要怎麼標？
| 身分 | 判斷依據 | 要做的事 |
|---|---|---|
| 在歐盟有據點、達門檻的關鍵或重要實體 | 附件 I／II 產業，原則上中型以上 | 依當地轉化法登記、落實第 21 條、依第 23 條通報 |
| 在歐盟沒有據點、提供第 26 條數位服務 | 如雲端、資料中心、MSP、MSSP | 在歐盟指定代表並履行義務 |
| 歐盟受規範客戶的供應商 | 不屬於上述兩種 | 回應客戶依第 21 條提出的合約與稽核 |
依《上市上櫃公司風險管理實務守則》第 18 條，標為法遵風險與資訊風險。此守則以上市上櫃公司為對象；非公開發行公司不受此守則規範，可自願參考。
NIS2 的罰則與其他衝擊，風控長要怎麼評估？
第 34 條的罰則上限（取其高者）：
- 關鍵實體：1,000 萬歐元或全球年營業額 2%
- 重要實體：700 萬歐元或 1.4%
罰則只是衝擊的一部分。客戶要求、市場准入與商譽損失通常比罰則更早發生；對只是供應商的台灣企業，衝擊主要來自客戶合約條款與稽核，應一起放進衝擊評估。
管理機構須核准並監督資安措施，委員會與董事會報告要留下什麼紀錄？
NIS2 第 20 條要求管理機構核准、監督第 21 條措施，並接受訓練。風控長要確認核准與監督有紀錄可查：
- 高階管理的資安責任矩陣與核准紀錄
- 第 21 條措施的執行情形，併入守則第 15 條的年度彙整提報
- 管理機構受訓的紀錄
顧問可以協助建立紀錄格式，但核准與監督是管理機構自己的責任。
我們只是歐盟客戶的供應商，NIS2 風險會怎麼傳到我們身上？
只是歐盟受規範實體的供應商，本身通常不因此直接受規範，但客戶會依第 21 條第 2 項 (d) 款的供應鏈安全要求，把義務寫進合約。風控長可以：
- 把客戶的資安條款與稽核要求列為合約風險，追蹤回應情形
- 檢查對自己供應商的要求，與對客戶的承諾是否一致
確定不屬於受規範實體、客戶只要求填資安問卷時，用既有 ISO 27001 的制度與紀錄回應通常就足夠。ESG 評鑑 S-15（題型 A）也問供應商管理政策是否要求供應商在資通訊安全或隱私權保護等議題遵循規範；評鑑對象是上市櫃公司，非公開發行公司不受此評鑑規範，可自願參考。
重大事件發生時的通報時限是什麼？情境演練要測誰？
第 23 條：知悉重大事件後 24 小時內提出早期預警、72 小時內提出事件通報、一個月內提出最終報告。演練要測的是決策鏈：誰判斷是不是重大事件、誰負責送出、要送哪些成員國的主管機關。
積穗建立 24 小時、72 小時、1 個月三階段通報程序，並以桌上演練確認可以重複執行。
已有 ISO 27001，NIS2 還差什麼？要多久？
ISO 27001 能大幅縮短準備時間，但 NIS2 另有通報時限、向主管機關登記、供應鏈安全與管理階層責任等要求，需要在 ISO 27001 之上補齊。NIS2 沒有獨立證書，ISO 27001 證書也不等於 NIS2 合規。
服務頁所列時程：從差距分析到制度建立完成，通常 4–6 個月；已有 ISO 27001 基礎者可縮短至 2–3 個月。五步：適用性判斷、現況差距分析、制度建立與文件製作、技術控制落地、稽核就緒與持續維護。
積穗科研怎麼協助風控長處理 NIS2？
- 身分判定：依產業別、規模與所在成員國的轉化法，判定是否屬於關鍵或重要實體，或只需回應客戶的供應鏈要求
- 差距分析：第 21 條十項措施逐項對照現行制度，產出優先補強清單
- 通報與責任：72 小時事件通報 SOP、供應鏈安全評估程序、高管資安責任矩陣
- 整合：在既有 ISO 27001 制度上補 NIS2 差異，同一套證據對應 NIS2 與客戶要求
- 誰主導：副總、董事級顧問全程親自輔導、不外包
其他角色怎麼看這項服務
同一角色的其他服務
- 風控長導入 ERM：風險地圖、KRI 與董事會報告怎麼建？
- 風控長看 ISO 22301：中斷情境、RTO 與演練怎麼進風險報告？
- 風控長導入 ISO 37001：賄賂情境、海外暴險與誠信指標怎麼管？
- 風控長看營業秘密保護：外流情境、合理保密措施與 KRI 怎麼設？
- 風控長看 ISO 27001：資訊風險怎麼和企業風險用同一把尺？
- 風控長看 AI 風險：ISO 42001 與 EU AI Act 要先決定什麼？
- 風控長看 GDPR：罰則暴險、集團跨境傳輸與外洩情境怎麼評估？
- 風控長看 EU CRA：市場准入風險、通報義務與監督角色怎麼排？
- 風控長看 DORA：ICT 第三方與營運韌性風險怎麼放進風險地圖？
- 風控長管 AI 轉型：AI 風險怎麼進風險地圖、KRI 與董事會報告？