随着欧盟数字监管体系的持续完善，《网络与信息系统安全指令2》（NIS2）已成为继GDPR之后，对中国出海企业影响最为深远的横向监管立法之一。从能源、金融到制造业、云服务，NIS2的监管触角覆盖18个行业，不仅直接约束在欧盟境内运营的实体，更通过供应链传导，将合规压力延伸至大量未在欧盟设点的中国企业。对于计划进入或已在欧盟市场布局的中国企业而言，NIS2已不再是可选项，而是必须跨越的市场准入门槛。

本文以二十个核心问题为线索，从基础认知、适用范围、合规义务、责任处罚、各国落地到实操应对，系统梳理NIS2监管下中国企业面临的关键问题与应对路径，帮助企业快速建立认知框架、明确优先级、找准落地方向。

一、基础认知：NIS2是什么，为何重要

1.NIS2是什么？为什么中国出海企业必须高度重视

NIS2指欧盟《网络与信息系统安全指令2》（Directive (EU) 2022/2555），是欧盟当前网络安全领域最重要的基础性立法，也是继GDPR之后对企业影响最大的横向数字监管法律之一。该指令于2023年1月16日正式生效，要求所有欧盟成员国在2024年10月17日前完成国内法转化。目前各成员国正在推进国内法转换、监管机构建设、主体识别登记以及初步监督活动，部分国家已经开始实施监管措施。

中国企业必须重视的核心原因在于，其影响远不限于欧盟本土企业：无论是在欧盟设立运营实体、提供数字服务，还是仅作为欧盟企业的上游供应商，都会受到直接或间接的合规约束。它已不再是单纯的IT技术安全规范，而是相关领域中国企业进入欧盟市场必须满足的核心准入合规框架，直接影响市场准入、供应商资格和经营风险。

2.相比NIS1，NIS2的核心升级点是什么

NIS2是在2016年发布的NIS1指令基础上的全面升级，针对NIS1暴露的三大核心问题进行了彻底修订，核心变化如下：

（1）适用范围大幅扩围。NIS1仅覆盖少数关键基础设施行业和三类数字服务提供者，NIS2将覆盖范围扩展至18个行业，新增了云计算、SaaS、数据中心、制造业、在线平台等大量数字经济与实体经济领域，监管主体数量成倍增长。

（2）统一欧盟执行标准。NIS1下各成员国执行尺度差异大，监管碎片化严重；NIS2建立了统一的义务框架、处罚标准和监管规则，大幅降低了国别差异带来的合规复杂度。

（3）监管要求深度升级。NIS1的安全要求过于原则化，且缺乏供应链管理规则；NIS2明确了十类强制安全措施，将供应链安全上升为法定义务，同时新增了管理层个人责任、严格的事件报告时限和高额处罚机制，监管约束力显著增强。

3.NIS2与GDPR、AI Act、CRA的关系与协同

NIS2与GDPR、《欧盟人工智能法》（AI Act）、《网络韧性法案》（CRA）、《数据法案》（Data Act）等同属欧盟数字监管体系，各有侧重、并行互补，企业往往面临多法并行的监管局面，需要统筹协同而非重复建设。各法规核心监管方向区分如下：

二、适用范围：谁在监管范围内

4.判断企业是否受NIS2监管的标准方法

企业是否纳入NIS2监管，需严格按照“行业+规模+特殊情形”的三步逻辑判断：

（1）判断所属行业。核查企业业务是否属于NIS2附件I（高度关键行业）或附件II（其他关键行业）列明的18个行业范畴，这是准入的第一道门槛。

（2）核算企业规模。在行业符合的前提下，核查是否达到欧盟中型企业标准。

（3）排查特殊情形。部分特定主体无论规模大小，均直接纳入监管范围，需逐一排查是否属于此类例外情形。

完成三步判断后，即可明确企业是否落入监管范围，以及属于关键实体还是重要实体。

5.NIS2覆盖哪些行业？中企高频涉及的领域

NIS2共覆盖18个行业，分为两大类：

关键实体对应的高度关键行业（附件I）：包括能源、交通、银行、金融市场基础设施、医疗、饮用水、废水处理、数字基础设施、ICT服务管理、公共行政、航天领域相关地面基础设施运营主体等。中国企业高频涉及的是数据中心、云计算平台、MSP/MSSP（托管服务/安全服务提供商）、CDN、DNS服务等数字基础设施领域。

重要实体对应的其他关键行业（附件II）：包括邮政物流、化工、食品生产、制造业、在线平台、搜索引擎、社交网络、科研机构等。其中制造业覆盖范围极广，包含电子产品、半导体、汽车、医疗器械、电气设备、工业机械等细分领域，是中国制造企业出海的核心涉及领域。

此外，云计算、SaaS、AI平台、社交平台、在线市场等数字服务，也是中国互联网与科技企业出海最常触碰的监管领域。

6.关键实体与重要实体的划分及义务差异

两类实体的划分主要依据所属行业和企业规模：

关键实体（Essential Entity）：一般为附件I高度关键行业中的大型企业，以及法律明确规定无论规模均属核心主体的企业。

重要实体（Important Entity）：一般为附件II其他关键行业中的中大型企业，以及附件I行业中的中型企业。

二者的核心网络安全义务基本一致，都需要履行风险管理、事件报告、供应链安全、管理层责任等全部法定义务，差异主要体现在监管强度和监督方式上：

关键实体：主管机关可主动开展检查、审计和现场监督，监管介入更积极、频次更高；

重要实体：原则上采取事后监督模式，但主管机关仍可依法开展检查和调查。

7.规模门槛如何计算：单体还是集团合并口径

NIS2采用欧盟统一的中型企业标准作为规模门槛，即员工不少于50人且年营业额或资产负债表总额超过1000万欧元。

需要特别注意的是，核算规模时不能仅看单个欧盟子公司的独立数据，关联企业、母子公司之间的经营数据可能需要合并计算。这意味着即使欧洲子公司本身规模较小，但如果所属集团整体规模达标，也可能被纳入监管范围，企业不能通过拆分实体的方式规避监管。

对于大型企业，NIS2并未单独规定大型企业标准，而是引用欧盟中小企业定义。企业首先依据员工人数和财务指标判断是否属于微型、小型或中型企业；凡不符合中小企业定义的企业，即属于大型企业。实践中，员工人数达到250人以上，或者虽然员工人数低于250人但同时超过中型企业财务规模上限的企业，通常属于大型企业。

8.小微企业是否必然不受NIS2监管

不一定。“小微企业必然豁免”是对NIS2适用规则的常见误解。通常情况下，未达到规模门槛的小微企业不纳入监管，但NIS2明确规定了特殊例外情形，以下主体无论规模大小，均直接纳入监管范围：

(1) DNS服务提供商、顶级域名（TLD）注册机构；

(2) 合格信任服务提供商；

(3) 提供公共电子通信网络或公众可用电子通信服务的主体；

(4) 被成员国认定为对社会、经济具有重大影响的主体；

(5) 被纳入CER指令下的关键实体范围的企业。

因此，即使是小型的DNS服务商、信任服务机构等，也必须履行NIS2的全部合规义务，不能以规模小为由豁免。

9.未在欧盟设实体的中国企业是否仍受影响

NIS2主要针对在欧盟境内提供相关服务或运营相关业务的实体，但中国企业即使没有欧盟法人，也可能通过供应链关系受到间接影响。例如，中国云服务商、软件供应商、ICT设备供应商可能因服务欧盟受监管实体，被要求提供网络安全证明、漏洞管理机制、安全审计报告等材料。

三、核心义务：企业必须履行哪些合规要求

10.纳入监管后企业需履行的核心法定义务

被纳入监管的企业，核心需履行五大类法定义务：

建立全面的网络安全风险管理体系。这是最基础的义务，覆盖企业全组织的安全治理，包含风险评估、安全政策、漏洞管理、访问控制等十余个具体维度，属于法律强制要求，而非自愿性的认证标准。

严格履行事件报告义务。发生重大网络安全事件后，必须在法定时限内分阶段向成员国主管机关或CSIRT提交报告。

落实全链条供应链安全管理。不仅要保障自身安全，还必须对上游供应商、外包商的网络安全风险进行评估、监督和管理。

承担公司治理层面的责任。董事会需批准安全风险管理措施，高管监督落地执行，管理层必须接受定期网络安全培训。

配合监管执法。主管机关有权要求企业提交合规证明、接受安全审计、配合现场检查、落实整改要求，企业必须予以配合。

11.网络安全风险管理体系的必备措施

根据NIS2第21条规定，企业必须建立覆盖全组织的网络安全风险管理体系，至少包含以下核心措施：

(1) 风险分析与信息系统安全管理制度；

(2) 安全事件处置机制；

(3) 业务连续性管理，涵盖备份管理、灾难恢复及危机管理；

(4) 供应链安全管理，包含各主体与其直接供应商、服务商合作过程中的各类安全相关事项；

(5) 网络和信息系统采购、开发、运维全生命周期安全管理，含漏洞处置与漏洞披露机制；

(6) 用于评估网络安全风险管理措施实施成效的制度与流程；

(7) 基础网络安全规范落地机制及网络安全培训体系；

(8) 密码技术使用相关制度流程，必要时配套加密实施规范；

(9) 人员安全管理、访问控制制度与资产管理制度；

(10) 按需部署多因素认证或持续认证方案、企业内部安全语音/视频/文字通信工具以及安全应急通信系统。

与ISO27001等自愿认证不同，上述措施是法定强制要求，不落实将直接触发合规风险与处罚。

12.网络安全事件报告的时限与流程要求

根据NIS2第23条规定，发生重大网络安全事件后，企业必须分三个阶段按时限完成报告，报告对象通常为成员国指定的主管机关或国家CSIRT：

初步预警阶段：企业知悉重大事件后24小时内，提交早期预警报告，告知监管机构事件的基本情况，触发快速响应机制。

正式通知阶段：企业知悉重大事件后72小时内，提交正式的事件通知报告，包含事件性质、影响范围、已采取的处置措施等更详细的信息。

最终报告阶段：事件处置完成后一个月内提交最终分析报告，完整说明事件原因、造成的影响、处置结果、整改措施与防范方案。如事件持续超过一个月，则提交进展报告。

这一时限要求非常严格，企业必须建立配套的应急响应与内部上报流程，确保在规定时间内完成信息收集与合规报送。

13.供应链安全要求覆盖的范围与履行标准

NIS2进一步强化了供应链网络安全要求，将供应链风险管理明确提升为法定义务。监管覆盖的供应商范围非常广泛，包括云服务商、软件供应商、托管服务商等可能影响网络和信息系统安全的第三方供应商；对于AI模型供应商等新型数字服务提供者，如其构成关键供应链依赖，也可能成为风险评估对象。

企业需要履行的管理义务包括：

(1) 建立供应商安全准入标准，证明供应商选择过程中考虑了网络安全因素；

(2) 对供应商的安全能力进行定期评估；

(3) 对供应商的安全状态进行持续监督；

(4) 在合同中明确网络安全责任与要求。

监管机关有权要求企业提供上述管理的证明材料，未履行供应链管理义务将直接构成违规。这也是大量不直接适用NIS2的中国企业，会通过供应链传导受到合规影响的核心原因。 

四、责任与处罚：违规代价有多大

14.处罚力度与最高罚款标准

NIS2设置了高额的行政处罚机制，按实体类型分级处罚。根据第34条规定，成员国设定的罚款上限不得低于以下标准（成员国可规定更高上限），均采用“固定金额与全球营业额比例取其高”的计算规则，且适用于违反第21条（安全管理义务）或第23条（事件报告义务）的情形：

关键实体：最高不低于1000万欧元，或该实体所属企业上一财年全球年营业额的2%，二者取较高值；

重要实体：最高不低于700万欧元，或该实体所属企业上一财年全球年营业额的1.4%，二者取较高值。

除行政罚款外，成员国监管机关还可采取多种监管措施，包括下达整改命令、要求开展风险评估与安全审计、暂停相关人员的管理职务、暂停业务资质、限制经营活动等。

需要注意的是，罚款只是风险的一部分，因不合规失去欧盟核心客户的供应商资格、影响市场准入，对企业的实际影响往往比罚款更严重。

15.管理层个人责任的追究逻辑与追责对象

这是NIS2相比旧版最核心的制度升级之一，核心逻辑是将网络安全从“IT部门的技术问题”上升为“公司治理问题”，通过管理层责任倒逼企业真正重视网络安全投入。

NIS2第20条、第32条明确规定，企业的管理机构（management bodies）需承担治理责任，具体责任主体取决于成员国公司治理结构，通常包括董事会成员、执行董事及具有管理决策权限的高级管理人员。

CISO等技术执行岗原则上不是NIS2直接追责的主体，但如果存在隐瞒重大漏洞、提供虚假安全报告等行为，可能依据成员国公司法、劳动法、刑法等承担相应责任。

16.董事、高管违规的具体后果

NIS2没有设置统一的个人罚款标准，而是通过“行政监管措施+国内法责任衔接”的方式追究个人责任，具体后果分为三类：

行政监管措施：这是NIS2明确规定的突破性措施。对于严重违规且拒不整改的关键实体，监管机构可以请求国内相关机构、法院或法庭，依国内法临时禁止在该实体首席执行官或法定代表人层面承担管理职责的自然人，在该实体内继续行使管理职能，直至企业完成整改。

民事赔偿责任：NIS2本身未建立统一的个人赔偿制度，但成员国可依据本国公司法、董事责任制度、民事侵权规则追究个人责任。

间接职业风险：企业因违规遭受高额罚款、业务损失后，会反向证明管理层未履行监督职责，进而触发内部追责、职业声誉受损等连锁后果。

17. CISO等技术负责人的个人责任边界

NIS2的直接责任主体是企业的管理机构，即承担决策与监督职责的董事、高管层，而非技术执行岗位。因此CISO（首席信息安全官）等技术负责人，原则上不是NIS2直接追责的对象。

但这并不意味着技术负责人没有风险。如果CISO存在以下行为，可能依据成员国的国内法律承担相应责任：

故意隐瞒重大安全漏洞，未向管理层如实上报风险；

向监管机构提供虚假的安全报告与证明材料；

未履行岗位职责，直接导致重大安全事件发生。

对应的责任视成员国法律规定可能包括企业内部的劳动追责、民事赔偿责任，情节严重的还可能触发刑事责任。

五、落地与执法：各国进展与监管重点

18.欧盟主要成员国的转换落地进度

NIS2是指令而非直接适用的条例，需要各成员国转化为国内法后执行。欧盟要求2024年10月17日前完成转换，但各国进度差异较大，形成了“欧盟统一框架+27套国家实施规则”的格局。目前大部分成员国已经完成了落地转换，对于部分国家未按照规定时间完成落地转换的，欧盟委员会已对其启动相关程序促使其落地。

19.当前执法阶段与监管重点方向

截至当前，NIS2整体处于“法律转换收尾—企业识别登记—监管检查逐步铺开”的过渡阶段，尚未出现类似GDPR早期的大规模罚款潮，但监管已在稳步推进，不能因此低估合规风险。

预计当前及未来1-2年的监管重点主要集中在三个方向：

（1）先登记、后检查。第一阶段监管核心是识别受监管主体、推动企业完成登记注册，确认哪些企业属于NIS2覆盖范围；第二阶段再逐步铺开安全措施合规性检查。

（2）供应链安全成为核心抓手。各成员国均将供应链安全作为监管重点，要求受监管企业落实供应商尽职调查，这也是中国企业面临的最主要间接合规风险。

（3）重点行业优先监管。能源、金融、医疗、云服务、数据中心等核心行业预计会率先迎来严格检查，是合规风险最高的领域。

六、实操应对：中国企业如何落地

20.中企应对NIS2合规的优先级工作

结合NIS2的监管要求与执法节奏，中国企业可按优先级推进以下六项核心工作：

（1）完成适用性评估。按照“行业、规模、特殊情形”三步法，全面评估自身及欧洲子公司是否落入监管范围，明确属于核心还是重要实体，匹配对应的监管要求。

（2）搭建公司治理架构。将网络安全纳入董事会监督事项，明确管理层责任分工，建立安全决策留痕机制，保存董事会会议纪要、风险审批记录、投资决策文件等。

（3）补齐核心安全能力。重点完善风险评估、事件响应流程（适配24小时预警、72小时通知的时限要求）、业务连续性与灾备、漏洞管理、身份访问控制、多因素认证等基础安全措施。

（4）梳理供应链安全体系。对核心上游供应商开展网络安全尽职调查，在商务合同中明确安全责任与能力要求；同时面向欧盟下游客户，准备好ISO27001、渗透测试报告、漏洞管理制度等合规证明材料，保障供应商准入资格。

（5）落实管理层培训与防护。定期开展董事、高管NIS2专项培训并留存培训记录；建立正式的风险接受审批流程，对于无法立即修复的风险，留存管理层审批记录与整改计划，证明已履行合理决策义务。

（6）多法规协同规划。统筹NIS2与GDPR、AI Act、CRA、Data Act等法规的合规要求，搭建一体化的数字合规体系，避免重复建设与义务遗漏，降低整体合规成本。

结 语

NIS2标志着欧盟网络安全监管进入了一个更全面、更严格的新阶段。对于中国出海企业而言，这既是挑战，也是机遇。合规建设不仅是规避处罚的防御性举措，更是提升企业安全治理水平、增强国际市场竞争力的战略性投入。

面对NIS2，企业无需过度焦虑，但也不能掉以轻心。建议按照“先评估、再搭架、后补能”的路径稳步推进：首先完成适用性判断与差距分析，明确自身所处的监管位置；其次建立与NIS2要求相匹配的治理架构与责任体系；最后逐步补齐核心安全能力，实现从“形式合规”到“实质合规”的跨越。

同时需要注意的是，NIS2并非孤立存在。它与GDPR、AI Act、CRA、Data Act等法规共同构成了欧盟数字监管的完整拼图，企业应统筹规划、协同建设，在多法并行的监管环境中实现合规效益最大化。