直接答案：欧盟 NIS2 指令（Directive (EU) 2022/2555）不是“做个 ISO 27001/填个问卷”就完了。它要求欧盟成员国在 2024-10-17 前转化，覆盖 18 个关键/重要行业的中大型实体，要求风险管理、供应链安全、管理层责任、注册和事件报告（24 小时预警、72 小时通知、1 个月最终报告）。对中国制造商来说，通常不是“直接适用”，而是作为欧盟客户/关键实体的供应商被合同/问卷/审核要求“NIS2 供应链安全”；如果在欧盟提供服务且未设立，成员国还可能要求代表。制造企业官网的 NIS2 供应链安全页，要写清：范围/角色、安全措施、供应链要求、事件通报、证据和客户问卷，而不是只写“通过 ISO 27001/网络安全合规”。
本文面向常州及周边的装备、电子电气、工业软件、医疗器械、汽车零部件、能源设备、云/IT 服务和出口制造企业，讨论官网的 NIS2 供应链安全页怎么写、怎么验收。资料截止 2026-11-05。本文是公开法规和项目方法整理，不是欧盟法律、网络安全、审计或合规意见；具体范围、义务、报告、处罚和成员国转化，以指令原文、成员国法、主管机构和客户合同为准。
NIS2 主要管欧盟成员国境内的关键/重要实体；中国制造商多数是通过客户/合同被“供应链安全”要求，不要自称“NIS2 认证”。事件报告是 24 小时预警、72 小时通知、1 个月最终报告（以成员国法为准）。供应链安全要看供应商/客户关系、漏洞/产品品质、访问控制、BCP、合同条款和证据；ISO 27001 有帮助，但不等于自动合规。
NIS2 页和 CRA、GDPR、ISO 27001、DORA、网络安全法页是什么关系？
CRA 页回答产品（含数字元素）的网络安全要求；GDPR 回答个人数据；信息安全/数据交换页回答 NDA/权限/加密；DORA 回答金融实体数字运营韧性；中国网络安全法/数据安全法回答中国境内义务。NIS2 页回答“作为欧盟关键/重要实体的供应商，或作为在欧盟提供服务的实体，要满足哪些组织/供应链/报告要求”。NIS2 是组织/服务层面，CRA 是产品层面，二者可叠加；ISO 27001 是体系标准，不是 NIS2 合规证明。
常见断点：把 ISO 27001 当 NIS2；把 CRA 当 NIS2；只写“网络安全”没有供应链/报告；以为中国工厂直接适用；忽略客户问卷/合同；没有事件通报流程；把“NIS2 认证”当卖点。页面把范围、角色、措施、报告、证据写清楚，销售、质量、IT、法务才有同一套口径。
| 页面/主题 | 回答什么 | 管什么 | 不能替代什么 |
|---|---|---|---|
| NIS2 | 组织/供应链/报告 | 关键/重要实体 | CRA/GDPR/ISO |
| CRA | 产品网络安全 | 数字元素产品 | 组织 NIS2 |
| GDPR | 个人数据 | 数据处理 | 网络/供应链 |
| ISO 27001 | 信息安全管理体系 | 体系 | NIS2 合规证明 |
| DORA | 金融数字韧性 | 金融实体 | 通用 NIS2 |
| 中国网安法 | 中国境内义务 | 中国 | 欧盟 NIS2 |
页面关系是编辑整理；NIS2 义务以 Directive (EU) 2022/2555 和欧盟委员会 NIS2 页面为准。
哪些行业/实体在范围？
NIS2 覆盖 18 个关键/重要行业：能源、交通、银行、金融市场基础设施、卫生、饮用水、废水、数字基础设施、ICT 服务管理、公共行政、空间、邮政/快递、废物管理、化学品、食品、制成品（含医疗器械、计算机/电子、机械、汽车等）、数字提供商、研究。一般适用于中型/大型实体（≥50 人，或营业额/资产 >1000 万欧元；以成员国法为准），部分实体不论规模；分为“关键（essential）”和“重要（important）”。成员国可扩大范围/加严。中国制造商通常不在欧盟境内设立，直接适用有限；但作为供应商会被客户要求，若在欧盟提供服务且未设立，成员国可能要求代表。
验收看：行业/子行业；规模；关键/重要；成员国转化；是否在欧盟设立/提供服务；客户是否关键实体；合同/问卷要求。常见缺口：以为中国工厂直接适用；忽略“制成品”子行业；规模算错；关键/重要不分；成员国差异不查；客户要求没纳入。
| 维度 | 要看什么 | 证据 | 常见缺口 |
|---|---|---|---|
| 行业 | 18 类/子行业 | 清单 | 漏“制成品” |
| 规模 | ≥50 人/€10m | 员工/财报 | 算错 |
| 关键/重要 | 类别/监管 | 成员国清单 | 不分 |
| 设立/服务 | 欧盟/跨境 | 合同/代表 | 以为不适用 |
| 客户 | 关键实体/供应链 | 问卷/合同 | 不纳入 |
| 成员国 | 转化/扩展 | 国内法 | 不查 |
范围/规模/类别以 NIS2 第 2–3 条、附件和成员国转化法为准；具体实体请由法务/合规确认。
关键/重要实体和处罚怎么讲？
“关键（essential）”实体（如能源、交通、银行、卫生、数字基础设施、公共行政等）监管更严；“重要（important）”实体（如邮政、废物、化学品、食品、制成品、数字提供商、研究）义务类似但监管/处罚较轻。处罚由成员国设定：关键实体常见最高 €10m 或全球营业额 2%，重要实体常见最高 €7m 或 1.4%（以成员国法为准）；管理层可被问责。NIS2 没有“认证”；注册/自查/主管机构清单因成员国而异。
验收看：类别；监管机构；注册；处罚；管理层责任；成员国差异。常见缺口：把重要当关键；不知道主管机构；不注册；低估处罚；管理层不参与；以为有证书。
| 类别 | 特征/监管 | 证据 | 常见缺口 |
|---|---|---|---|
| 关键 | 更严监管/处罚 | 成员国清单 | 当重要 |
| 重要 | 义务类似/监管较轻 | 清单 | 当关键 |
| 处罚 | €10m/2% 或 €7m/1.4% | 国内法 | 低估 |
| 管理层 | 问责/培训 | 任命/记录 | 不参与 |
| 注册 | 成员国要求 | 回执 | 不注册 |
| 认证 | 无“NIS2 认证” | — | 自称认证 |
类别/处罚以 NIS2 第 32–34 条和成员国法为准；具体金额/程序按国内法。
风险管理和管理层责任怎么验收？
NIS2 要求实体采取适当/相称的技术、操作和组织措施，常见包括：风险分析/安全政策、事件处理、业务连续性/备份/灾备、供应链安全、漏洞管理/披露、加密、访问控制/多因素认证、资产/身份管理、安全培训、渗透测试/审计、日志/监控。管理层要批准/监督措施、接受培训、对不合规负责。措施要与风险/规模相称，不是“买一套工具”。
验收看：风险分析；安全政策；事件处理；BCP/备份；漏洞管理；加密/MFA；访问控制；培训；审计/测试；管理层批准。常见缺口：只有防火墙/杀毒；没有风险分析；BCP 没演练；漏洞不修；MFA 不全；培训走过场；管理层不签。
| 措施 | 要确认什么 | 证据 | 常见缺口 |
|---|---|---|---|
| 风险/政策 | 分析/批准/评审 | 文件 | 没有 |
| 事件处理 | 流程/演练 | 记录 | 只写 |
| BCP/备份 | RTO/RPO/演练 | 报告 | 不演练 |
| 漏洞管理 | 扫描/修复/披露 | 记录 | 不修 |
| 加密/MFA | 覆盖/例外 | 配置 | 不全 |
| 访问控制 | 最小权限/审计 | 日志 | 共享账号 |
| 培训 | 频率/考核 | 记录 | 走过场 |
| 管理层 | 批准/监督 | 纪要 | 不参与 |
措施以 NIS2 第 20–21 条、成员国法和主管机构指南为准；具体基线按风险/规模确认。
供应链安全怎么验收？
NIS2 明确要求供应商/客户关系中的安全：评估供应商/服务商的漏洞、产品品质、网络安全实践、事件处理、访问/数据保护、业务连续性；合同写安全要求/通知/审计/终止；对关键供应商做尽调/分级；把 NIS2/客户要求向上一级供应链传递（flow-down）。中国制造商作为供应商，要能回答客户问卷、提供证据、约定事件通报和整改。供应链安全不是“签一份保密协议”。
验收看：供应商清单/分级；尽调/问卷；合同条款；事件通报；访问/数据；BCP；审计权；flow-down；整改。常见缺口：只签 NDA；不做尽调；合同无安全条款；事件不通报；关键供应商不审；不传递要求；整改不跟踪。
| 环节 | 要做什么 | 证据 | 常见缺口 |
|---|---|---|---|
| 清单/分级 | 关键供应商/服务商 | 清单 | 没有 |
| 尽调/问卷 | 安全能力/漏洞 | 问卷/报告 | 只 NDA |
| 合同 | 安全/通知/审计/终止 | 条款 | 缺失 |
| 事件 | 通报/时限/整改 | 流程 | 不通报 |
| 访问/数据 | 最小权限/加密 | 配置 | 过度 |
| BCP | 连续性/备用 | 计划 | 没有 |
| Flow-down | 向次级传递 | 合同 | 不传 |
供应链要求以 NIS2 第 21(2)(d) 条、成员国法和客户合同为准；具体尽调/条款按风险确认。
事件报告 24/72 小时怎么验收？
NIS2 显著事件报告通常三段：24 小时内早期预警（是否疑似恶意/跨境影响）、72 小时内事件通知（评估/严重性/指标）、1 个月内最终报告（根因/措施/跨境影响）；同时可能要求中期报告/进展。报告给 CSIRT/主管机构（按成员国法）；客户/合同可能另有更短时限。要区分“事件发现/确认/报告”时钟，保留时间线/证据；不报/迟报可能处罚。
验收看：报告流程/负责人；24/72/1 月；CSIRT/主管机构；客户通知；时间线；模板；演练；记录。常见缺口：不知道 24 小时；只报客户；没有模板；时钟起算错；不演练；记录缺失；跨境不报。
| 阶段 | 时限/内容 | 证据 | 常见缺口 |
|---|---|---|---|
| 早期预警 | 24 小时/疑似恶意 | 回执 | 不知道 |
| 事件通知 | 72 小时/评估 | 报告 | 迟报 |
| 最终报告 | 1 个月/根因 | 报告 | 不做 |
| 中期/进展 | 按主管机构 | 报告 | 漏 |
| 客户通知 | 合同/更短 | 记录 | 不通知 |
| 时间线 | 发现/确认/报告 | 日志 | 起算错 |
| 演练 | 桌面/实战 | 记录 | 没有 |
报告时限/对象以 NIS2 第 23 条、成员国法和主管机构为准；客户合同可能更严。
事件报告时间线怎么排？
示例：T0 发现/确认显著事件→启动事件响应/取证/ containment→24 小时内早期预警→72 小时内事件通知→按主管机构要求中期/进展→1 个月内最终报告→客户/合同通知→复盘/整改。每个节点要有负责人/模板/回执/证据；跨境/多实体事件要协调；不要等“完全查清”才报早期预警。
验收看：时间线；负责人；模板；回执；客户通知；复盘；演练。常见缺口：等根因；只报客户；没有模板；跨部门不协同；不演练；整改不跟踪。
| 节点 | 动作 | 证据 | 常见缺口 |
|---|---|---|---|
| T0 | 发现/确认/响应 | 日志/工单 | 不确认 |
| +24h | 早期预警 | 回执 | 等根因 |
| +72h | 事件通知 | 报告 | 迟报 |
| +1 月 | 最终报告 | 报告 | 不做 |
| 客户 | 合同通知 | 记录 | 不通知 |
| 复盘 | 整改/验证 | 报告 | 不跟踪 |
时间线是编辑示例；具体时限/对象以 NIS2、成员国法和主管机构为准。
客户问卷会问什么？
常见：公司/范围/是否 NIS2 实体；安全治理/政策；资产/访问/MFA；漏洞/补丁；事件处理/报告；BCP/备份；供应链/分包；数据保护/加密；开发安全/SBOM；云/托管；审计/认证（ISO 27001/SOC 2）；保险；合同条款；整改计划。回答要真实/可证，不要“全部 Yes”没有证据；对不适用项说明；对差距给计划/时间。客户可能要求现场/远程审核、渗透测试摘要、事件通知 SLA。
验收看：问卷库；证据映射；不适用说明；差距/计划；审核；SLA；版本。常见缺口：全部 Yes；没有证据；不适用不说明；差距不计划；问卷过期；不同客户答案不一致。
| 问卷项 | 要准备什么 | 证据 | 常见缺口 |
|---|---|---|---|
| 范围/角色 | 实体/供应商 | 说明 | 夸大 |
| 治理/政策 | 批准/评审 | 文件 | 没有 |
| 访问/MFA | 覆盖/例外 | 配置 | 不全 |
| 漏洞/补丁 | 扫描/修复 | 记录 | 不修 |
| 事件/报告 | 流程/时限 | 模板 | 没有 |
| BCP/备份 | 演练/RTO | 报告 | 不演练 |
| 供应链 | 尽调/flow-down | 合同 | 不传 |
| 认证/审计 | ISO/SOC/审核 | 证书 | 过期 |
问卷项是编辑建议；具体以客户/主管机构问卷和合同为准。
合同和 flow-down 怎么验收？
合同可写：安全要求/基线；事件通知时限/联系人；漏洞/补丁/披露；访问/数据/加密；分包/境外传输；BCP/退出；审计权/问卷；整改/终止；责任/赔偿；NIS2/客户要求向次级传递；认证/证据。作为供应商，要区分“我们能承诺的”与“客户/成员国法要求的”；不能替客户承诺其 NIS2 合规。合同/问卷/证据要一致。
验收看：安全条款；事件 SLA；漏洞/披露；访问/数据；分包；BCP/退出；审计；整改/终止；flow-down；责任。常见缺口：合同无安全条款；SLA 不清；分包不传；审计拒绝；整改无时限；责任过大/过小。
| 条款 | 要写什么 | 证据 | 常见缺口 |
|---|---|---|---|
| 安全要求 | 基线/标准 | 合同 | 没有 |
| 事件 SLA | 时限/联系人 | 条款 | 不清 |
| 漏洞/披露 | 通知/修复 | 流程 | 不写 |
| 访问/数据 | 权限/加密/传输 | 条款 | 缺失 |
| 分包 | 批准/flow-down | 合同 | 不传 |
| BCP/退出 | 连续性/迁移 | 计划 | 没有 |
| 审计/整改 | 权/时限/终止 | 条款 | 拒绝 |
合同条款是编辑建议；具体以客户合同、成员国法和法务意见为准。
官网 NIS2 供应链安全页怎么写？
公开页建议包含：适用客户/角色（供应商/服务商）、安全治理/措施、供应链安全、事件报告 24/72/1 月、数据/访问/加密、BCP/备份、认证/审计（ISO 27001/SOC 2，注明范围）、客户问卷/证据、合同/flow-down、联系/版本。写法要可核验：写“有措施/流程/证据”，不要写“NIS2 认证/完全合规/零事件”。
页面要区分“公开信息”和“客户/敏感文件”：安全政策、渗透测试、事件记录、问卷答案按权限/合同提供；公开页只写范围、措施、流程和联系，不公开漏洞/客户/事件敏感信息。若只是供应商，要写“配合欧盟客户/关键实体提供 NIS2 供应链证据”，不要替客户宣称其合规。多语言页面要与销售国家一致。
| 页面区块 | 写什么 | 证据 | 避免 |
|---|---|---|---|
| 范围/角色 | 供应商/服务商/客户 | 清单 | “NIS2 认证” |
| 治理/措施 | 政策/风险/访问 | 文件 | “完全合规” |
| 供应链 | 尽调/合同/flow-down | 合同 | 只 NDA |
| 事件 | 24/72/1 月 | 流程 | “零事件” |
| 数据/BCP | 加密/备份/演练 | 报告 | 不写 |
| 认证/审计 | ISO/SOC/范围 | 证书 | 夸大 |
| 问卷/合同 | 证据/条款 | 模板 | 无入口 |
| 联系/版本 | 数据索取/日期 | 表单 | 无 |
页面结构是编辑建议；对外声明要真实可核，具体以 NIS2、成员国法、客户合同为准。
哪些话不能写？
高风险表述：“NIS2 认证/已完全合规”（没有统一认证）；“ISO 27001=NIS2”（体系≠法律合规）；“中国工厂直接适用 NIS2”（通常通过客户/合同，直接适用有限）；“零事件/绝对安全”（不可保证）；“只签 NDA 就满足供应链安全”（还要尽调/合同/证据）；“24 小时报告所有事件”（显著事件/成员国法）；“客户合规=我们合规”（各自义务）；“所有客户问卷都 Yes”（要证据/差距）。这些要么不准确，要么把责任边界说错。
更稳的写法：写“作为供应商配合 NIS2 供应链证据、措施/流程/报告/合同/认证范围，具体以 NIS2/成员国法/客户合同为准”。对外宣传还要遵守广告法/反不正当竞争法；客户/漏洞/事件信息要授权/脱敏。
| 页面表述 | 问题 | 建议写法 | 依据 |
|---|---|---|---|
| “NIS2 认证” | 无统一认证 | 措施/证据 | NIS2 |
| “ISO=NIS2” | 体系≠法律 | 范围/补充 | NIS2 |
| “中国工厂直接适用” | 通常供应商 | 客户/合同 | NIS2 |
| “零事件” | 不可保证 | 流程/演练 | 安全 |
| “NDA 就够” | 缺尽调/合同 | 供应链安全 | NIS2 |
| “24 小时所有” | 显著事件 | 按法规 | NIS2 |
| “客户合规=我们” | 各自义务 | 分别说明 | NIS2 |
红线表述是编辑建议；是否构成虚假宣传/违规由监管和合同认定，本文不构成法律意见。
上线验收清单
验收看十项：范围/角色、治理/风险措施、供应链安全、事件报告 24/72/1 月、数据/访问/加密、BCP/备份、认证/审计范围、客户问卷/证据、合同/flow-down、页面表述/版本。每项要有 owner、证据和复核日期。通过标准不是“页面写了 NIS2”，而是客户/主管机构能看懂你的角色、措施、报告流程和证据。
建议上线前拿一个真实客户问卷/合同走一遍：范围→治理→供应链→事件→数据/BCP→认证→问卷→合同→页面表述。走不通的环节，就是页面或流程还没补上的地方。
| 检查项 | 通过标准 | 证据 | 不合格处理 |
|---|---|---|---|
| 范围/角色 | 供应商/服务商 | 清单 | 补说明 |
| 治理/措施 | 政策/风险/访问 | 文件 | 补措施 |
| 供应链 | 尽调/合同/flow-down | 合同 | 补尽调 |
| 事件 | 24/72/1 月 | 流程 | 补流程 |
| 数据/BCP | 加密/备份/演练 | 报告 | 补演练 |
| 认证/审计 | ISO/SOC/范围 | 证书 | 补范围 |
| 问卷 | 证据/差距 | 问卷库 | 补证据 |
| 合同 | 安全/SLA/审计 | 条款 | 补条款 |
| 表述 | 无“认证/零事件” | 页面测试 | 删除 |
验收清单是编辑建议；具体合规要求以 NIS2、成员国法、主管机构和客户合同为准。
谁该读、谁不适合、能支持什么决策？
适合常州及周边的装备、电子电气、工业软件、医疗器械、汽车零部件、能源设备、云/IT 服务和出口制造企业的销售、IT/安全、质量、法务和网站团队；也适合给欧盟关键/重要实体做供应商、收到 NIS2 问卷/合同要求的企业。不适合完全不向欧盟销售、不接触关键实体客户、或希望用一篇页面替代 NIS2/法律/安全审计意见的团队。
该读：欧盟客户要求 NIS2 问卷/合同；你给关键实体供货；在欧盟提供服务；要建/改官网 NIS2 页；需要区分 NIS2、CRA、GDPR、ISO 27001、DORA。不适合：把 ISO 27001 当 NIS2；自称认证；只签 NDA。能支持：范围、措施、供应链、报告、证据、合同和页面表述的自查。
常见问题
NIS2 适用于中国制造商吗？
NIS2 主要适用于欧盟成员国境内的关键/重要实体；中国制造商通常不是直接适用，而是作为欧盟客户/关键实体的供应商被合同/问卷要求“NIS2 供应链安全”。如果在欧盟提供服务且未设立，成员国可能要求代表（以成员国法为准）。具体请由法务/合规确认。
哪些行业/规模在范围？
18 个关键/重要行业（能源、交通、银行、卫生、水、数字基础设施、ICT、公共行政、空间、邮政、废物、化学品、食品、制成品、数字提供商、研究等）；一般中型/大型（≥50 人，或营业额/资产 >€10m，以成员国法为准），部分实体不论规模；分关键/重要。
24/72 小时报告是什么？
NIS2 显著事件通常要求：24 小时内早期预警、72 小时内事件通知、1 个月内最终报告（可能另有中期/进展）；报告给 CSIRT/主管机构（按成员国法），客户合同可能更短。要区分发现/确认/报告时钟，保留时间线/证据。
供应链安全要做什么？
评估供应商/服务商的漏洞、产品品质、安全实践、事件处理、访问/数据、BCP；合同写安全要求/通知/审计/终止；关键供应商分级/尽调；把要求向次级传递（flow-down）。中国制造商作为供应商，要能回答问卷、提供证据、约定事件通报/整改。
NIS2、CRA、ISO 27001 有什么区别？
NIS2 是组织/供应链/报告；CRA 是产品（含数字元素）网络安全；ISO 27001 是信息安全管理体系标准。ISO 27001 有帮助，但不是 NIS2 合规证明；NIS2 也没有统一“认证”。
官网/客户声明怎么写？
写适用客户/角色、治理/措施、供应链安全、24/72/1 月报告、数据/访问/加密、BCP、认证/审计范围、问卷/证据、合同/flow-down 和联系/版本；不要写“NIS2 认证/完全合规/零事件/ISO=NIS2”。客户/漏洞/事件文件按权限提供。
一句话总结
常州制造企业官网的 NIS2 供应链安全页，核心不是“ISO 27001/网络安全”四个字，而是把范围/角色、治理/风险措施、供应链尽调/合同、24/72/1 月事件报告、数据/访问/BCP、认证范围、客户问卷和 flow-down 写成可核对清单；客户/主管机构能看懂你的角色、措施、报告和证据，页面才算合格。
研究方法与局限
本文为公开法规和项目方法整理，不是对任何企业网络安全、NIS2、审计或合规的审核/法律意见。文中没有使用未公开的客户/漏洞/事件数据；范围、措施、供应链、报告、证据和验收项均为编辑建议，不构成安全/法律结论。具体范围、义务、报告、处罚和成员国转化，以指令原文、成员国法、主管机构和客户合同为准。
数据来源与口径
资料截止 2026-11-05；以下为欧盟官方/法规页面，具体条款、转化法和指南以原文为准。
- Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)，2022-12-14 通过，2022-12-27 公布：EUR-Lex。范围、风险措施、供应链、报告、监管和处罚。
- European Commission，NIS2 Directive：European Commission。18 行业、关键/重要、转化、2026 修订提案。
- European Commission，NIS2 Q&A：European Commission。范围/义务/报告解释。
- European Commission，NIS2 transposition：European Commission。成员国转化进度。
- European Commission，NIS Cooperation Group：European Commission。实施指南/协调。