台灣企業常見的三種身分
| 身分 | 判斷依據 | 要做的事 |
|---|---|---|
| 在歐盟有據點、達門檻的關鍵或重要實體 | 屬附件 I 或附件 II 產業，原則上達中型企業以上規模；電信、信任服務、DNS、頂級網域名稱註冊管理機構等部分類型不論規模（第 2、3 條） | 依當地轉化法登記、落實第 21 條措施、依第 23 條通報 |
| 在歐盟沒有據點、向歐盟提供特定數位服務 | 提供第 26 條所列數位服務並符合第 2 條適用範圍，例如雲端、資料中心、內容傳遞網路、託管服務（MSP，含到場或遠端維運客戶 ICT 系統）、資安託管（MSSP） | 在歐盟指定代表，並履行上述義務 |
| 歐盟受規範客戶的供應商 | 不屬於上述兩種 | 回應客戶依第 21 條供應鏈安全要求提出的合約條款與稽核 |
八個判斷準則
| 準則 | 可以直接問任何顧問的問題 |
|---|---|
| 適用身分判定 | 我屬於哪一種身分？依據哪個產業別、規模門檻與管轄規定？ |
| 成員國轉化法 | 我的據點或客戶在哪些成員國？當地轉化法有哪些額外要求與登記程序？ |
| 第 21 條十項措施 | 十項風險管理措施各對應我現有制度的哪一塊？缺口在哪？ |
| 通報流程 | 知悉重大事件後 24 小時預警、72 小時通報、通報後 1 個月內最終報告，誰判斷是不是重大事件、誰負責送出？ |
| 管理階層責任 | 管理階層核准與監督資安措施的紀錄怎麼留（第 20 條）？ |
| 供應鏈安全 | 客戶要求我簽的資安條款怎麼回應？我對自己的供應商又要做什麼？ |
| 和 ISO 27001 整合 | 能不能在既有 ISO 27001 制度上補 NIS2 的差異，而不是另建一套？ |
| 誰主導、是否外包 | 實際帶案的是誰？有什麼資格？會不會轉包？ |
什麼情況不一定需要找顧問
確定不屬於受規範實體，而且客戶只要求填寫資安問卷時，用既有 ISO 27001 的制度與紀錄回應通常就足夠。需要判斷管轄或適用性的法律意見時，應諮詢熟悉當地轉化法的律師。
積穗科研對應這些準則的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 適用身分判定：依產業別、規模與所在成員國的轉化法，判定是否屬於關鍵或重要實體，或只需回應客戶的供應鏈要求
- 第 21 條十項措施：逐項對照現行資訊安全管理制度、事件通報、供應商管理與技術措施，產出優先補強清單
- 通報流程：建立 24 小時、72 小時、1 個月三階段通報程序，並以桌上演練確認可以重複執行
- 管理階層責任：建立高階管理的資安責任矩陣與核准紀錄
- 供應鏈安全：建立供應商風險評估程序與合約資安條款
- 和 ISO 27001 整合：在既有 ISO 27001 制度上補 NIS2 差異，同一套證據對應 NIS2 與客戶要求
- 誰主導：副總、董事級顧問全程輔導，不外包
相關問題
- NIS2 和 CRA 有什麼不同？ CRA 規範含數位元素的產品，NIS2 規範組織的網路安全風險管理與事件通報；產品出口歐盟、又在歐盟提供服務的企業，兩者可能同時適用。台灣 CRA 顧問怎麼選
- 有 ISO 27001 就夠了嗎？ ISO 27001 能大幅縮短準備時間，但 NIS2 另有通報時限、向主管機關登記、供應鏈安全與管理階層責任等要求，需要在 ISO 27001 之上補齊。NIS2 歐盟網安指令輔導
- NIS2 輔導要多久？ 從差距分析到制度建立通常 4 至 6 個月；已有 ISO 27001 者可縮短至 2 至 3 個月。NIS2 歐盟網安指令輔導
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。