欧盟组织的 NIS2 合规性安全评估
NIS2 指令（于 2024 年 10 月转变为国家法律）显着扩大了欧盟成员国的网络安全义务范围。 KENSAI 通过持续的漏洞评估帮助重要的实体满足 NIS2 第 21 条的要求。
开始 NIS2 评估 → 预订演示谁受 NIS2 约束？
NIS2 极大地扩展了 NIS1 的范围，现在涵盖两个实体类别：
| 类别 | 部门 | 监督 |
|---|---|---|
| 基本实体 | 能源、交通、银行、金融市场基础设施、健康、水、数字基础设施、ICT服务管理、公共管理、空间 | 主动监督；强制审核 |
| 重要实体 | 邮政服务、废物管理、化学品、食品、制造业、数字提供商、研究 | 被动监督；调查引发的 |
规模阈值：通常适用于中型以上实体（员工人数≥50 人或营业额≥1000 万欧元）。某些部门（关键基础设施）没有规模门槛。
NIS2 第 21 条：网络安全风险管理措施
第 21 条要求“适当且相称的技术、操作和组织措施”。与漏洞管理相关的关键要求：
风险分析政策，包括系统识别用于提供基本服务的系统中的漏洞。
整个系统生命周期的安全措施，包括漏洞管理和披露策略。
组织必须制定程序来评估网络安全风险管理措施的有效性。安全测试是主要的技术机制。
解决供应链漏洞的安全措施，包括评估直接供应商和服务提供商的安全实践。
🚨 NIS2 罚款：最高 1000 万欧元或全球营业额的 2%
重要实体面临最高 10,000,000 欧元或全球年营业额 2% 的罚款，以较高者为准。重要实体面临 7,000,000 欧元或全球营业额的 1.4%。 NIS2 还引入了管理层的个人责任——高级管理人员可能因疏忽导致 NIS2 违规而承担个人责任。
NIS2 漏洞管理要求
欧盟网络安全局 (ENISA) 发布了实施指南，阐明了 NIS2 技术要求。漏洞管理期望包括：
- 资产库存：基本服务交付中使用的所有 ICT 资产的全面清单
- 定期漏洞扫描：系统地识别漏洞——频率与风险成正比
- 渗透测试：根据实体分类和风险状况定期进行安全测试
- 补丁管理：及时应用安全补丁——定义的 SLA 内的关键补丁
- 漏洞披露：接收和处理外部研究人员披露的漏洞的政策
- 供应链安全测试：ICT供应商和服务提供商的评估
KENSAI 如何支持 NIS2 合规性
✓ 基本服务资产发现
自动发现并清点基本服务交付涉及的所有 ICT 资产——这是 NIS2 合规性的基础。
✓ 相应的风险扫描
配置与资产重要性成比例的扫描频率和深度——基本服务系统得到更频繁、更深入的测试。
✓ 供应链评估
ICT 供应商的外部攻击面管理符合 NIS2 第 21(2)(h) 条供应链安全要求。
✓ 管理报告
NIS2 要求管理层承担个人责任——KENSAI 提供执行仪表板，以便董事会级别了解漏洞风险。
✓ NIS2 证据包
生成可供国家主管当局检查的审计就绪文档 - 扫描历史记录、补救记录和政策证据。
✓ 事件相关性
将漏洞与 24 小时事件通知要求联系起来——当漏洞被积极利用时立即知道。
NIS2 与 NIS1：安全测试有何变化
| 方面 | NIS1 (2016) | NIS2 (2022) |
|---|---|---|
| 范围 | 仅限基本服务运营商 | 基本 + 重要实体（组织数量增加 10 倍） |
| 安全措施 | 模糊的“适当措施” | 具体10点安全措施清单 |
| 监督 | 轻触的国家方法 | 欧盟范围内的协调主动监管 |
| 罚款 | 因成员国而异 | 统一最高限额（1000 万欧元/2% 营业额） |
| 管理责任 | 未指定 | 高管的个人责任 |
| 供应链 | 不需要 | 明确要求 |
通过 KENSAI 满足 NIS2 网络安全要求
由于管理层的个人责任和高达全球营业额 2% 的罚款，NIS2 合规性是一个董事会层面的问题。 KENSAI 提供向国家主管部门证明 NIS2 合规性所需的自动化漏洞管理和文档。
开始 NIS2 合规性 → 与 NIS2 专家交谈