法務長先判斷什麼：哪一國的主管機關管得到我們？在歐盟沒有據點也要指定代表嗎？
依第 26 條，管轄原則上看設立地：
| 情況 | 管轄 |
|---|---|
| 在歐盟設有據點的實體 | 設立地成員國 |
| 雲端、資料中心、託管服務等第 26 條所列數位服務 | 在歐盟的主要營業所所在國；主要營業所是資安風險管理決策主要作成之地（第 2 項） |
| 在歐盟沒有據點、但在歐盟提供上述服務 | 須在歐盟指定代表，由代表所在國管轄；未指定代表時，提供服務所在的任何成員國都可採取法律行動（第 3 項） |
指定代表不影響對實體本身提起的法律行動（第 4 項）。只是歐盟受規範客戶的供應商、又不屬上述類型時，通常不是受規範實體。適用哪一國、哪一部轉化法，由熟悉當地轉化法的律師判斷。
董事與高階經理人個人會被追究責任嗎？董監責任保險要看什麼？
- 第 20 條第 1 項：管理機構核准第 21 條的資安風險管理措施、監督執行，並可就實體違反該條被追究責任；第 2 項要求成員接受訓練。
- 第 32 條第 5 項 (b) 款：關鍵實體在其他執法措施無效後，可請求暫時禁止負責管理職責的自然人行使管理職務；前言第 133 點說明僅作為最後手段。
- 第 32 條第 6 項：成員國須能追究代表或控制實體之自然人的責任；重要實體依第 33 條第 5 項準用。
- 執委會 FAQ：NIS2 引入高階管理職位自然人的責任規定。
法務長要準備的是「核准與監督」的紀錄：董事會議事錄、核准的資安政策、訓練紀錄。個人責任的具體範圍依各國轉化法；董監責任保險是否承保相關罰鍰或抗辯費用，依保單條款與當地法律，由保險經紀人與律師確認。
主管機關來查會用哪些手段？罰鍰上限怎麼算？
第 32 條第 2 項列出關鍵實體可受的監理措施：
- 現場檢查與場外監督
- 由獨立機構或主管機關執行的定期與針對性安全稽核
- 重大事件或違規後的臨時稽核
- 安全掃描
- 要求提供資安風險管理措施與政策的資訊
- 要求存取執行監理所需的資料、文件與資訊
- 要求提供落實資安政策的證據，例如合格稽核員的稽核結果
關鍵實體與重要實體的監理制度有所區分（執委會 FAQ）。罰鍰（第 34 條）：關鍵實體違反第 21 或 23 條，上限至少 1,000 萬歐元或全球年營業總額 2%，取高者；重要實體至少 700 萬歐元或 1.4%。其他違反國內轉化規定的罰則，由成員國依第 36 條訂定，須有效、合乎比例且具嚇阻性。法務長要先建好「被要求就交得出」的文件索引。
重大事件通報會不會等於自認違法？通報內容與證據要怎麼準備？
- 第 23 條第 1 項：單純的通報行為，不使通報實體負擔更多責任；但通報內容會成為後續監理的事實基礎。
- 最終報告（事件通報後一個月內，第 23 條第 4 項 (d) 款）須包含：事件的詳細描述含嚴重性與影響、可能觸發事件的威脅類型或根本原因、已採取與進行中的緩解措施、適用時的跨境影響。
- 和 GDPR 的交界：違反第 21、23 條可能涉及個資外洩時，主管機關須通知 GDPR 監管機關（第 35 條第 1 項）；同一行為已被 GDPR 監管機關處罰鍰時，不再依第 34 條處罰鍰，但仍可採其他執法措施（第 35 條第 2 項）。
實務框架：通報時區分已確認的事實與推測；先保全事件日誌、鑑識與決策紀錄並記錄經手人；哪些文件可主張律師保密特權，由律師依當地法律判斷。
歐盟客戶寄來 NIS2 資安條款，法務長的審閱清單是什麼？
客戶依第 21 條第 2 項 (d) 款管理供應鏈安全，並依第 3 項考量每個直接供應商與服務提供者的特定弱點，條款因此會落到你身上。
| 條款 | 法務長要確認的事 |
|---|---|
| 事件通知時限 | 客戶自己要在 24 小時內早期預警，可能要求你更早通知；內部偵測與判定流程做不做得到 |
| 稽核與問卷 | 範圍、頻率、事先通知、保密與費用負擔 |
| 責任上限與補償 | 有無上限；是否把客戶被處的罰鍰轉嫁給你；罰鍰能否約定由他方補償，依準據法判斷 |
| 再委外 | 是否要求你把同等要求寫進你的供應商合約 |
| 終止與資料返還 | 哪些資安違約可終止、終止後資料如何返還 |
| 準據法與管轄 | 適用哪一國法律、爭議在哪裡解決 |
條款的法律效果，由熟悉當地法律的律師判斷。
已有 ISO 27001，可以拿來證明我們盡到第 21 條義務嗎？
NIS2 沒有證書，ISO 27001 證書也不等於 NIS2 合規；但它可以是證明的骨架：
- 第 21 條第 1 項要求「適當且合乎比例」的技術、營運與組織措施，並考量最新技術與實施成本。法務長要能說明「為什麼這樣做是適當的」，風險評鑑與適用性聲明（SoA）就是這段說明的書面依據。
- 第 32 條第 2 項允許主管機關要求落實證據，例如合格稽核員的稽核結果；內部稽核與驗證稽核報告可以用上。
- NIS2 另有第 23 條通報時限、向主管機關登記、管理機構核准與訓練、供應鏈安全等要求，要在 27001 之上補齊。
時程（服務頁所列）：從差距分析到制度建立通常 4–6 個月；已有 ISO 27001 者可縮短至 2–3 個月。
積穗科研怎麼協助法務長處理 NIS2？
- 身分與適用性：依產業別、規模與所在成員國的轉化法，判定是否屬關鍵或重要實體，或只需回應客戶的供應鏈要求
- 差距分析：逐項對照第 21 條十項措施，產出優先補強清單
- 通報流程：建立 24 小時、72 小時、1 個月三階段通報程序，並以桌上演練確認可以重複執行
- 管理階層責任：建立高階管理的資安責任矩陣與核准紀錄
- 供應鏈安全：建立供應商風險評估程序與合約資安條款
- 和 ISO 27001 整合：在既有制度上補 NIS2 差異，同一套證據對應 NIS2 與客戶要求
- 誰主導：副總、董事級顧問全程輔導，不外包
其他角色怎麼看這項服務
同一角色的其他服務
- 法務長看 ISO 37001：代理商行賄、檢舉調查與合約條款怎麼管？
- 法務長看營業秘密保護：員工帶料、提告與證據保全要先準備什麼？
- 法務長看 GDPR 與 ISO 27701：處理者契約、跨境傳輸與調查怎麼應對？
- 法務長看 EU CRA：製造商責任、通報義務與 ODM 合約怎麼分？
- 法務長看 EU AI Act 與 ISO 42001：角色、AI 合約與責任
- 法務長看 DORA：第 30 條合約、稽核權與退出條款怎麼談？
- 法務長看 ERM：法遵風險怎麼進風險地圖、怎麼證明法遵制度有效？
- 法務長看 TISAX：車廠合約、參與條款與評估結果分享怎麼處理？
- 法務長看 ISO 27001：客戶資安條款、稽核權與事件責任怎麼談？