直接答案：NIS2（Directive (EU) 2022/2555）已于 2023 年 1 月生效，成员国须在 2024-10-17 前转为国内法；它覆盖 18 个关键行业的中型和大型实体，要求做网络安全风险管理、在 24 小时内发早期预警、72 小时内发事件通知、1 个月内交最终报告，并让管理层对合规负责。罚款上限：关键实体（essential）至少 1,000 万欧元或全球年营业额 2%，重要实体（important）至少 700 万欧元或 1.4%，取较高者。2026 年 1 月 20 日，欧盟委员会在网络安全一揽子方案中提出对 NIS2 的定向修订提案（COM(2026) 13），目标是简化管辖规则、简化勒索攻击数据收集、便利跨境实体监管并强化 ENISA 协调；委员会称可减轻 28,700 家企业（含 6,200 家微/小型企业）的合规负担。但这是提案，尚未生效；现有 NIS2 义务仍然适用。
本文面向在欧盟有业务或向欧盟客户提供数字服务的企业的安全、法务、合规、IT 与管理层，尤其是云、数据中心、CDN、托管服务、SaaS、在线市场/搜索引擎等数字服务提供商。资料截止 2026-11-07；依据欧盟委员会 NIS2 政策页、EUR-Lex 指令原文、2026-01-20 新闻稿与 COM(2026) 13 提案页。本文把“官方事实”“编辑解读”和“待确认项”分开写，不构成法律意见。
① NIS2 已经生效，靠成员国国内法落地；2026 年的提案只是“简化”，不是“暂停”或“取消”。② 报告时钟从“知悉重大事件”起算：24h 预警、72h 通知、1 个月最终报告；信任服务提供商是 24h 通知。③ 管理层要批准并监督风险措施，可能被追责；供应链安全是 10 项最低措施之一，不是可选项。
时间表：从生效到 2026 年提案
NIS2 于 2022-12-14 由欧洲议会和理事会通过，2023 年 1 月生效，取代 2016 年的 NIS1；成员国须在 2024-10-17 前完成转换，NIS1 自 2024-10-18 起废止。部分数字基础设施/数字服务提供商须在 2025-01-17 前向主管机关提交登记信息。2026-01-20，委员会提出 COM(2026) 13 定向修订提案，作为新网络安全一揽子方案的一部分；同日还提出修订《网络安全法案》的单独提案。提案需要走完立法程序才会成为法律，当前仍以 NIS2 原文和各国转换法为准。
| 日期 | 事件 | 对企业含义 |
|---|---|---|
| 2022-12-14 | NIS2 通过 | 取代 NIS1，扩大行业与实体范围 |
| 2023 年 1 月 | NIS2 生效 | 进入成员国转换期 |
| 2024-10-17 | 转换截止 | 成员国须把 NIS2 转为国内法 |
| 2024-10-18 | NIS1 废止 | 以 NIS2 及国内法为准 |
| 2025-01-17 | 登记截止（适用实体） | 数字基础设施/数字服务提供商提交登记信息 |
| 2026-01-20 | COM(2026) 13 提案 | 定向简化；尚未生效，现有义务不变 |
来源：欧盟委员会 NIS2 政策页、EUR-Lex Directive (EU) 2022/2555、2026-01-20 新闻稿与 COM(2026) 13 提案页（访问 2026-11-07）。转换进度、登记要求和主管机关以各成员国国内法为准；提案状态以立法程序为准。
谁在范围内：行业、规模与角色
NIS2 原则上覆盖附件 I/II 所列 18 个行业中的中型和大型实体（按欧盟中小企业定义），并覆盖一些不论规模的类别，例如公共电子通信网络/服务、信任服务、DNS/TLD、云、数据中心、CDN、托管服务、托管安全服务、在线市场/搜索引擎/社交平台等。附件 I 的高关键性行业通常对应“关键实体”（essential），附件 II 对应“重要实体”（important）；具体分类还要看附件、规模规则和成员国指定。非欧盟实体若属于附件 I/II 的数字基础设施/数字服务提供商并在欧盟提供服务，但未在欧盟设立，须指定欧盟代表；未指定时，任何提供服务成员国都可对其采取法律行动。
| 维度 | 要点 | 先核对 |
|---|---|---|
| 行业 | 能源、交通、银行、金融市场基础设施、卫生、水、废水、数字基础设施、ICT 服务管理、公共行政、空间、邮政、废物、化工、食品、制造、数字提供商、研究等 18 个行业 | 附件 I/II 的具体子行业 |
| 规模 | 中型和大型实体；部分类别不论规模 | 员工数、营业额/资产负债表 |
| 分类 | essential（关键）/ important（重要） | 附件、规模、成员国指定 |
| 非欧盟实体 | 数字基础设施/数字服务提供商在欧盟提供服务但未设立 | 是否需指定欧盟代表 |
| 与其他法规 | DORA 对金融实体有专门规则；CRA 管产品 | 是否属于 lex specialis/重叠 |
来源：Directive (EU) 2022/2555 第 2、3、26 条与附件 I/II；欧盟委员会 NIS2 政策页（访问 2026-11-07）。本表为编辑整理；行业归类、规模计算和 essential/important 认定以指令原文、成员国转换法和主管机关指定为准。
10 项最低风险措施：不是“交个文档”
NIS2 第 21 条要求采取“适当且相称”的技术、运营和组织措施，基于全危害方法，至少覆盖 10 个方面：风险分析与信息系统安全政策、事件处理、业务连续性与危机管理、供应链安全、系统获取/开发/维护安全（含漏洞处理与披露）、有效性评估、基本网络卫生与培训、密码学与加密政策、人力资源安全/访问控制/资产管理、多因素认证与安全通信。措施要与风险、企业规模和事件影响相称；发现不符合时要立即采取纠正措施。供应链安全要评估直接供应商/服务商的漏洞、产品质量和安全开发实践，并考虑第 22 条协调风险评估的结果。
| # | 最低措施 | 可核对证据 |
|---|---|---|
| 1 | 风险分析与信息系统安全政策 | 风险评估报告、政策文件、审批记录 |
| 2 | 事件处理 | 事件响应流程、演练记录、复盘 |
| 3 | 业务连续性与危机管理 | BCP/DR 方案、备份与恢复测试 |
| 4 | 供应链安全 | 供应商尽调、合同安全条款、SBOM/漏洞信息 |
| 5 | 获取/开发/维护安全 | SDL、漏洞管理与披露流程、补丁记录 |
| 6 | 有效性评估 | 内审、渗透测试、KPI/KRI、管理评审 |
| 7 | 网络卫生与培训 | 培训记录、钓鱼演练、意识材料 |
| 8 | 密码学与加密 | 加密策略、密钥管理、算法清单 |
| 9 | 人力资源/访问控制/资产 | 权限矩阵、离职流程、资产台账 |
| 10 | MFA/安全通信 | MFA 覆盖率、加密通信、应急通信 |
来源：Directive (EU) 2022/2555 第 21 条（访问 2026-11-07）。表中“可核对证据”为编辑整理，不是官方模板；措施的具体技术/方法要求可能由实施法案或成员国指南细化。
报告义务：24 小时、72 小时、1 个月
第 23 条要求关键/重要实体在知悉“重大事件”后不迟于 24 小时提交早期预警（说明是否疑似恶意/违法、是否可能跨境影响），不迟于 72 小时提交事件通知（更新信息、初步评估严重性与影响、可用时提供 IOC），并在事件通知后1 个月内提交最终报告（详细描述、根因/威胁类型、已采取和正在采取的缓解措施、跨境影响等）。若提交最终报告时事件仍在持续，先交进展报告，并在事件处理完毕后 1 个月内交最终报告。信任服务提供商对影响其信任服务的重大事件适用24 小时通知。CSIRT/主管机关应在收到预警后尽快（尽可能 24 小时内）给出初步反馈。
| 节点 | 时限 | 内容 |
|---|---|---|
| 早期预警 | 知悉后 ≤24 小时 | 是否疑似恶意/违法、是否可能跨境影响 |
| 事件通知 | 知悉后 ≤72 小时 | 更新信息、严重性与影响、可用 IOC |
| 最终报告 | 事件通知后 ≤1 个月 | 详细描述、根因、缓解措施、跨境影响 |
| 持续事件 | 处理完毕后 ≤1 个月 | 先交进展报告，再交最终报告 |
| 信任服务提供商 | 知悉后 ≤24 小时 | 影响信任服务的重大事件通知 |
来源：Directive (EU) 2022/2555 第 23 条（访问 2026-11-07）。“重大事件”的判定、通知渠道/格式和 CSIRT/主管机关分工以指令、实施法案和成员国国内法为准；本文不构成法律意见。
2026 年提案：简化什么，不改变什么
2026-01-20 的 COM(2026) 13 提案对 NIS2 做“定向修订”，官方说明的目标是：简化管辖规则、简化勒索攻击数据的收集、便利跨境实体的监管并强化 ENISA 的协调作用；它与《数字综合法案》（Digital Omnibus）中提出的“事件报告单一入口”互补。委员会称可减轻 28,700 家企业（含 6,200 家微/小型）的合规负担。需要注意：这是提案，不是已生效的法律；在立法程序完成前，企业仍应按现行 NIS2 和国内法履行义务。提案也没有表示取消 24h/72h/1 个月报告、10 项措施或管理层责任。
| 事项 | 2026 提案的官方表述 | 现在怎么做 |
|---|---|---|
| 管辖规则 | 简化跨境实体的管辖认定 | 先按现行第 26 条确定主设立地/代表 |
| 勒索攻击数据 | 简化相关数据收集 | 保留事件与勒索信息记录，便于未来报送 |
| 跨境监管 | 便利监管并强化 ENISA 协调 | 准备跨境证据包与统一联系人 |
| 报告入口 | 与 Digital Omnibus 的单一入口互补 | 先按现行 CSIRT/主管机关渠道报告 |
| 合规负担 | 称惠及 28,700 家企业（含 6,200 家微/小型） | 不要据此推迟现有义务 |
| 法律状态 | 提案，需立法程序 | 持续监控，不把提案当现行法 |
来源：欧盟委员会 2026-01-20 新闻稿、COM(2026) 13 提案页、NIS2 政策页（访问 2026-11-07）。表中“现在怎么做”为编辑建议；提案内容/编号/状态以官方立法程序页面为准。
90 天落地清单
如果还没有 NIS2 项目，建议先用 90 天把“是否适用、属于哪类、谁负责、证据在哪”弄清楚，再补措施。顺序是：范围与分类 → 治理与责任人 → 差距评估 → 报告 SOP → 供应链与合同 → 演练与证据。
| 阶段 | 动作 | 产出 |
|---|---|---|
| 第 1–2 周 | 按附件 I/II 盘点行业、实体、规模、成员国业务 | 适用范围清单、essential/important 初判 |
| 第 2–3 周 | 确认主管机关、登记/代表要求、跨境管辖 | 合规路径、欧盟代表（如适用） |
| 第 3–4 周 | 管理层批准范围、责任人与预算 | 董事会/管理层决议、RACI |
| 第 4–7 周 | 按第 21 条 10 项做差距评估 | 差距清单、整改计划、证据目录 |
| 第 6–8 周 | 建 24h/72h/1 个月报告 SOP 与模板 | 联系人表、通知模板、升级路径 |
| 第 7–10 周 | 供应链尽调与合同安全条款 | 供应商分级、合同条款、SBOM/漏洞要求 |
| 第 10–12 周 | 桌面演练与证据复核 | 演练报告、整改项、管理评审 |
编辑整理的落地建议，不是官方模板；具体措施、登记、报告和审计要求以 NIS2 原文、成员国国内法和主管机关指南为准。
常见问题
NIS2 现在生效了吗？
生效了。NIS2 于 2023 年 1 月生效，成员国须在 2024-10-17 前转为国内法，NIS1 自 2024-10-18 起废止。具体义务、主管机关、登记和执法看各成员国国内法。
2026 年 1 月的修订通过了吗？
没有。COM(2026) 13 是 2026-01-20 提出的定向修订提案，需要走完立法程序才会生效。在通过并转换前，企业仍应按现行 NIS2 和国内法履行义务；不要把“简化提案”理解为暂停或取消。
哪些企业适用？
原则上覆盖附件 I/II 所列 18 个行业的中型和大型实体，以及部分不论规模的特殊类别（公共电子通信、信任服务、DNS/TLD、云、数据中心、CDN、托管/托管安全服务、在线市场/搜索引擎/社交平台等）。是否 essential 或 important，要看附件、规模规则和成员国指定。
24h/72h/1 个月从什么时候算？
从企业“知悉”重大事件时起算：24 小时内早期预警，72 小时内事件通知，事件通知后 1 个月内最终报告。若最终报告时事件仍在持续，先交进展报告，处理完毕后 1 个月内交最终报告。信任服务提供商适用 24 小时通知。
中国厂商适用 NIS2 吗？
取决于是否属于附件 I/II 的实体类型并在欧盟提供服务。若属于第 26(1)(b) 条所列数字基础设施/数字服务提供商、在欧盟提供服务但未在欧盟设立，须指定欧盟代表；未指定时，任何提供服务成员国都可对其采取法律行动。具体适用要结合业务模式和成员国国内法判断。
罚款多少？
NIS2 第 34 条要求成员国对违反第 21/23 条的关键实体设定至少 1,000 万欧元或全球年营业额 2% 的行政罚款（取较高者）；重要实体为至少 700 万欧元或 1.4%（取较高者）。具体金额、程序和是否对公共机构适用，由成员国国内法决定。
管理层要做什么？
管理层要批准并监督第 21 条风险措施的实施，成员应接受培训，并可能因实体违反第 21 条而被追责。实际落地通常包括：批准范围与预算、指定负责人、定期听取风险报告、把网络安全纳入经营决策。
NIS2 和 DORA、CRA 是什么关系？
三者角度不同：NIS2 管关键/重要实体的网络安全风险管理与报告；DORA 对金融实体及其 ICT 第三方风险有专门规则，可能作为 lex specialis 优先；CRA 管含数字元素产品的安全与合规。企业应做法规映射，避免同一事件/同一供应商在多套要求下漏报或重复建设。
研究方法与局限
本文把“官方事实”和“编辑建议”分开：NIS2 的生效/转换日期、18 个行业、24h/72h/1 个月报告、10 项最低措施、管理层责任、第 26 条管辖与欧盟代表、第 34 条罚款，来自 EUR-Lex Directive (EU) 2022/2555 与欧盟委员会 NIS2 政策页；2026-01-20 提案的目标、28,700/6,200 家企业和“提案状态”来自委员会新闻稿、COM(2026) 13 提案页与 NIS2 政策页。90 天清单和表格中的“证据/动作”为编辑整理。
局限有八个：① 本文不是法律意见；② 成员国转换进度、登记要求、主管机关和执法实践不同，本文未逐国核对；③ COM(2026) 13 尚未生效，最终文本可能变化；④ “重大事件”的判定、报告格式/渠道以实施法案和国内法为准；⑤ 未展开 DORA、CRA、GDPR、NIS2 的逐条交叉映射；⑥ 未覆盖成员国对公共机构/中小企业的特殊安排；⑦ 未提供技术控制清单或审计模板；⑧ 政策与指南可能更新，发布前应复核官方页面。
数据来源与口径
- European Commission, NIS2 Directive: securing network and information systems：digital-strategy.ec.europa.eu/en/policies/nis2-directive。18 个行业、转换截止 2024-10-17、NIS1 自 2024-10-18 废止、2026-01-20 提案与 28,700/6,200 家企业。访问 2026-11-07。
- EUR-Lex, Directive (EU) 2022/2555（NIS2）：eur-lex.europa.eu/eli/dir/2022/2555。第 2/3 条范围、第 20 条治理、第 21 条 10 项措施、第 23 条 24h/72h/1 个月报告、第 26 条管辖与欧盟代表、第 34 条罚款。访问 2026-11-07。
- European Commission, Commission strengthens EU cybersecurity resilience and capabilities（新闻稿，2026-01-20）：digital-strategy.ec.europa.eu/en/news/commission-strengthens-eu-cybersecurity-resilience-and-capabilities。新网络安全一揽子方案、修订《网络安全法案》与 NIS2 定向修订。访问 2026-11-07。
- European Commission, Proposal for a Directive as regards simplification measures and alignment with the Cybersecurity Act（COM(2026) 13，2026-01-20）：digital-strategy.ec.europa.eu/en/library/proposal-directive-regards-simplification-measures-and-alignment-cybersecurity-act。简化管辖、勒索攻击数据收集、跨境监管与 ENISA 协调；与 Digital Omnibus 单一报告入口互补。访问 2026-11-07。
- European Commission, NIS2 Directive FAQs：digital-strategy.ec.europa.eu/en/revision-network-and-information-security-directive-questions-and-answers。NIS2 背景、范围扩大与主要制度。访问 2026-11-07。
资料截止 2026-11-07；本文依据官方页面与指令原文整理，不构成法律意见；具体义务以 NIS2 原文、成员国国内法和主管机关要求为准。