NIS2 和 DORA

NIS2 和 DORA 是欧盟法规，对关键基础设施和金融部门组织提出网络安全和运营韧性要求。两者均于 2025 年生效，广泛适用于欧盟各行业。

NIS2 指令

网络和信息安全指令 2 (NIS2) 为能源、交通、医疗、数字基础设施和公共管理等领域的”基本”和”重要”实体制定了网络安全要求。

NIS2 要求	Rediacc 功能
风险管理措施（第 21 条）	LUKS2 静态加密、每仓库网络隔离、仅 SSH 访问、账户级审计日志（40 多种事件类型）
事件处理（第 21(2)(b) 条）	40 多种账户级事件类型（认证、令牌、配置、许可）提供取证线索。每仓库隔离限制影响范围。
业务连续性（第 21(2)(c) 条）	`rdc repo backup push/pull` 支持多目标加密备份。CoW 快照实现即时回滚。
供应链安全（第 21(2)(d) 条）	自托管消除 SaaS 供应链风险。没有第三方云提供商处理您的数据。
网络安全（第 21(2)(e) 条）	每仓库 Docker daemon、iptables 规则、环回 IP 隔离（/26 子网）。
加密（第 21(2)(h) 条）	强制 LUKS2 AES-256 加密。使用 AES-256-GCM 的零知识配置存储。
访问控制（第 21(2)(i) 条）	SSH 密钥认证、带 IP 绑定的范围限定 API 令牌、双因素认证 (TOTP)。
事件报告，24 小时早期预警（第 23 条）	审计日志支持快速事件检测和范围界定。

供应链安全是 NIS2 的核心关注点（第 21(2)(d) 条）。组织必须评估和管理来自 ICT 服务提供商和供应商的风险。

自托管 Rediacc 消除了最大的供应链攻击面：没有第三方 SaaS 处理您的数据，没有云提供商拥有对您基础设施的逻辑访问权，也没有多租户环境导致暴露于其他客户的安全态势。Blackbaud 2020 年的勒索软件攻击暴露了 13,000 多个客户组织的数据，和解金额达 4950 万美元。

DORA 为欧盟金融部门制定了 ICT 风险管理、事件报告、韧性测试和第三方风险管理的要求。适用于银行、保险公司、投资公司、加密资产服务提供商及其关键 ICT 第三方提供商。

DORA 要求	Rediacc 功能
ICT 风险管理框架（第 6 条）	加密、隔离、审计日志和备份构成技术控制层。
保护和预防（第 9 条）	LUKS2 AES-256 静态加密。网络隔离防止横向移动。仅 SSH 访问。
检测（第 10 条）	40 多种账户级事件类型。带用户和团队过滤的管理面板。机器操作可通过 SSH 和系统日志审计。
响应和恢复（第 11 条）	CoW 快照实现即时回滚。`rdc repo backup push/pull` 支持多目标恢复。基于 Fork 的灾难恢复测试。
ICT 第三方风险（第 28-30 条）	自托管完全消除”关键 ICT 第三方提供商”分类。
数字运营韧性测试（第 24-27 条）	CoW 克隆支持在类生产环境中进行威胁导向渗透测试，无数据暴露。克隆、测试、销毁。

DORA 最繁重的要求是关于管理关键 ICT 第三方提供商（第 28-30 条）。金融机构必须维护 ICT 提供商登记册、进行风险评估、协商特定合同条款并制定退出策略。

自托管 Rediacc 完全避免了这一点。没有需要登记、评估或监控的 ICT 第三方提供商。金融机构直接控制自己的基础设施。

DORA 要求进行数字运营韧性测试，包括大型机构的威胁导向渗透测试 (TLPT)（第 26 条）。CoW 克隆直接处理此需求：

生产环境从未被触及，而测试环境是精确的副本。没有数据离开机器。