NIS2 指令：面向 CISO 和合规负责人的英文摘要

不是。这是一份非官方英文摘要，旨在使指令的结构和义务更易于理解。如需具有约束力的解释，请查阅 OJ L 333/80（2022 年 12 月 27 日）的官方文本，或通过 EUR-Lex（CELEX 32022L2555）获取。你所在成员国的国内转化法律可能规定了比指令本身更严格或适用范围不同的义务。

在附件 I（高度关键性）或附件 II（其他关键性）行业运营且达到中型企业门槛（按建议 2003/361/EC，员工 50 人以上或年营业额超过 1000 万欧元）的实体。部分实体不受规模限制，包括顶级域名注册机构、DNS 提供商、信任服务提供商和中央公共行政机构。PDF 第 4、6、7 节详细介绍了适用范围。

该指令于 2023 年 1 月 16 日生效。成员国须在 2024 年 10 月 17 日前将其转化为国内法；自 2024 年 10 月 18 日起开始适用（同日 NIS1 废止）。完整时间表（包括向委员会提交实体名单的截止日期 2025 年 4 月 17 日和定期审查计划）见第 16 节。

对于基本实体：1000 万欧元或全球年营业额的 2%，以较高者为准。对于重要实体：700 万欧元或全球年营业额的 1.4%，以较高者为准。该指令还允许采取非金钱制裁措施，包括对基本实体高级管理层的临时管理禁令（最后手段）。第 15 节介绍了罚款确定因素。

适用，有两种方式。直接适用：在欧盟提供服务的非欧盟 DNS、云服务、数据中心、CDN、MSP/MSSP、在线市场、搜索和社交网络提供商，须指定欧盟代表并遵守相关规定。间接适用：向欧盟基本实体或重要实体提供产品或服务的非欧盟供应商，将受到其欧盟客户依据第 21(2)(d) 条施加的供应链安全合同要求约束。第 17 节对两种情况均有介绍。

三个截止期限，均从“知悉”重大事件起算：24 小时内提交早期预警，72 小时内提交完整事件通知，1 个月内提交最终报告。如存在重大网络威胁可能，还须及时通知服务接受方。第 10 节列有完整的报告矩阵。