一家 10 名员工的微型企业受 NIS2 约束吗？

一般不受约束，除非指令和国内法律对某些活动另有例外规定。不过，它可能间接受到影响：受 NIS2 约束的客户必须保障其供应链安全，并可能通过合同向其提出要求。

仅靠一款软件就能满足 NIS2 吗？

不能。第 21 条的措施既有技术层面，也有组织层面（治理、培训、连续性、供应商）。软件可以有助于落实部分措施并提供相关证据，但绝不能保证合规。

欧盟 NIS2 指令大幅扩大了需履行网络安全义务的组织范围。以下要点帮助您判断自己是否受影响以及如何准备，但不能替代专业人士的分析。

Kayzen Security 编辑团队发布于 2026年10月31日阅读约需 4 分钟

NIS2 指令于 2022 年 12 月 14 日通过，取代了 2016 年的 NIS 指令。它要求相关实体采取网络安全风险管理措施（第 21 条）、报告重大事件（第 23 条），并规定管理层须承担责任，必须批准这些措施并接受培训（第 20 条）。

在法国，转化通过一部法律及其实施文本完成。其进展情况和生效日期，请在阅读本指南时到 ANSSI 网站上核实。

行业：指令列出了 11 个“高度关键”行业（附件一：能源、交通、银行、卫生、水、数字基础设施、公共行政、航天……）和 7 个“其他关键行业”（附件二：邮政服务、废物管理、化工、食品、部分产品制造、数字服务提供商、科研）。对于金融行业，在风险管理和事件通报方面优先适用 DORA 条例（UE）2022/2554。
规模：一般而言，指这些行业中的中型企业（至少 50 名员工，或营业额和资产负债表总额均超过 1000 万欧元）和大型企业；关联企业或合作企业的员工人数和金额可能需要合并计算。
规模例外：部分实体不论规模均受约束，尤其是公共电子通信网络或服务提供商、信任服务提供商、顶级域名注册管理机构和 DNS 服务提供商，以及根据国家指定、在本国唯一提供某项基本服务的实体。
地方政府和行政机关可能根据国内转化法律受到约束。

两类实体须采取相同类型的措施，但监管方式不同：基本实体可能接受事前检查，重要实体则接受事后检查。指令还为基本实体规定了更高的行政处罚上限。在法国适用的金额取决于转化法律。

指令规定：在获知重大事件后 24 小时内发出早期预警，72 小时内提交事件通报，并在该通报后最迟一个月内提交最终报告。这些报告应提交给 CSIRT 或主管机构。这意味着需要事先具备检测事件、对事件定性的能力，并提前知道正确的对接方。

本指南概述 directive (UE) 2022/2555，仅供参考，不构成法律意见：您是否受约束以及您的义务，需由专业人士根据现行转化文本和 ANSSI 发布的信息确认。Kayzen 这类工具可以有助于落实第 21 条的相关措施，但不能使组织达到合规。

ANSSI （新标签页） — Espace NIS 2 : test d'éligibilité et informations sur la transposition
EUR-Lex （新标签页） — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
ANSSI （新标签页） — Agence nationale de la sécurité des systèmes d'information — guides et publications

所引用的资料由其作者以原始语言发布。Kayzen 与上述任何机构均无关联。

本指南仅供一般性参考，不能替代法律意见，也不能替代信息安全专业人员的介入。