合规 · NIS2
NIS2：Kayzen 如何有助于落实第 21 条的措施
指令 directive (UE) 2022/2555 第 21 条列出了十项风险管理措施。以下逐项说明 Kayzen 这类工具能带来什么，以及哪些属于贵组织的职责。
一般性信息，不构成法律意见。您的情况与义务须由专业人士确认。Kayzen 有助于落实部分措施；它不能使任何组织合规。
Kayzen Security 正在开发中：尚无任何模块正式销售。此处描述的贡献基于 K-Comply 的技术映射，以及截至 2026 年 10 月 31 日各模块的真实状态。
第 21 条第 2 款的十项措施
摘要由 Kayzen 根据《欧盟官方公报》发布的文本撰写；仅以该版本为准。
| 编号 | 措施（改写） | Kayzen 可能的贡献 | 由组织负责 |
|---|---|---|---|
| 21.2.a | 风险分析与信息系统安全策略 |
| 有文档记录的风险分析，以及经管理层批准并定期审查的安全策略。 |
| 21.2.b | 事件处理 |
| 事件管理流程、值班角色，并在第 23 条规定的时限内报告重大事件。 |
| 21.2.c | 业务连续性、备份、灾难恢复与危机管理 | 组织性措施：无软件层面的贡献 | 经过测试的连续性与恢复计划、经核验的离线备份、危机处置小组。Kayzen 不备份您的数据。 |
| 21.2.d | 供应链安全 | 评估供应商和服务商，在合同中加入安全条款，跟踪其实践。 | |
| 21.2.e | 系统获取、开发与维护的安全，包括漏洞管理 | 采购时的安全要求、内部应用的安全开发、协调漏洞披露政策。 | |
| 21.2.f | 评估风险管理措施的有效性 |
| 由管理层跟踪的指标、内部或外部审计、改进计划。 |
| 21.2.g | 基本网络卫生与网络安全培训 |
| 管理层培训和员工定期安全意识教育；Kayzen 不提供培训。 |
| 21.2.h | 有关密码学与加密的策略和流程 | 密码学策略：算法、密钥管理、通信与备份加密。 | |
| 21.2.i | 人力资源安全、访问控制与资产管理 |
| 入职、离职和调岗流程，定期审查权限，使用守则。 |
| 21.2.j | 多因素身份验证、安全通信与紧急通信 |
| 在其他应用上启用双重身份验证，安全通信工具及紧急通信手段。 |
以证据代替承诺
K-Comply 模块根据您的设备计算实测指标（已连接的代理程序、待安装的补丁、磁盘加密、控制台管理员的双重身份验证……），并将其关联到相应的措施。来自未部署模块的证据始终显示为“未测量”，绝不会显示为“已满足”。
局限
- 治理、培训、业务连续性和供应商管理完全由贵组织负责。
- 向主管机构报告事件是实体自身的义务；Kayzen 可以帮助记录事件，但不能代您申报。
- 法国的转化立法可能会细化这些措施：本映射不能取而代之。