荷兰网络安全法（NIS2）

By /

荷兰网络安全法（Cyber​​beveiligingswet）实施了欧盟NIS2指令。该法要求在18个指定行业中提供重要或关键服务的组织采取适当的风险管理措施，报告重大安全事件，并向政府注册。

法律基础

该法案旨在落实欧盟指令 (EU) 2022/2555，并与《关键实体韧性法案》一同于2026年8月15日生效。该法案预计将影响能源、饮用水、数字基础设施、医疗保健、交通运输和公共管理等行业的约8000家机构。该指令规定了分级报告义务：在知悉事件后24小时内发出预警，在72小时内提交更全面的事件通报，并在一个月内提交最终报告。与之前的制度不同，新法案不再指定具体机构；机构所属行业及其规模决定其是否受该指令约束。董事会成员负责批准相关措施，并必须接受培训。

在实践中如何运作

第一步是自我评估：您的组织是否属于某个行业？如果属于，它是否属于必要行业或重要行业？这一区分主要决定了监管方式，对于必要行业，即使没有任何特定理由，也可能受到监管。接下来是尽职义务：风险分析、事件处理、业务连续性、供应链、访问控制和加密。供应链义务延伸至那些本身不受该法案约束的供应商，因为这些要求是通过合同传递的。

哪里出了问题

很多机构很容易想当然地认为自身不属于关键基础设施范畴，因此无需承担责任；但实际上，行业范围很广，涵盖了废物管理、邮政服务、食品和数字服务提供商等。第二个误区是将报告义务视为IT事务，而24小时的截止日期只有在事先达成一致，并由董事会层面做出决策的情况下才能实现。第三，现有合同通常没有明确规定如何将成本转嫁给供应商。

相关术语

报告义务与个人数据泄露的报告义务并行，有其自身的截止日期和不同的监管机构，并纳入SaaS 协议和数据处理协议。

深入阅读

关于此主题的更多信息：荷兰的 NIS2：法律建议和业务步骤，NIS2 和荷兰网络安全法：您的组织需要了解的内容。

您想知道该法案是否适用于您以及适用该法案的具体含义吗？我们的IT律师将与您一起进行评估。