NIS2 指令：強化網路安全並對抗網路犯罪

2024 年，網路犯罪情況已升級至歷史新高，影響到全球政府與產業，並威脅到重要資料與基礎建設的安全。根據 Cybersecurity Ventures 的報告，因應網路犯罪的花費預計將從 2015 年的 3 兆美元{{Footnote.A74148}}，在 2025 年達到每年 10.5 兆美元。

網路攻擊、贖金軟體事件和資料外洩等問題日益複雜，而攻擊的頻率和嚴重性也逐年增加，這些都是導致趨勢激增的的原因。世界經濟論壇的《2023 年全球風險報告》{{Footnote.A74149}} 強調，網路威脅已躋身全球首要風險之列，強調亟需強大的網路安全措施。

為了對抗這種不斷升級的威脅，歐盟推出了 NIS2 指令，這是針對 2016 年原始 NIS 指令 (網路與資訊系統指令) 的重大更新，擴張指令範圍並涵蓋更多關鍵基礎設施和基礎服務供應商。

NIS2 指令目的是強化歐盟各國關鍵基礎建設的網路安全，確保具備更高的靈活性和更強大的防護，以防惡意行為者造成的資料外洩和中斷事件。

安全專家 David Clarke 解釋 NIS 與 NIS2 的主要差異

範圍與涵蓋層面：原本的 NIS 指令主要是針對基礎服務業者和數位服務供應商。NIS2 將範圍擴大至更廣泛領域的中型和大型實體，包括醫療保健、運輸、能源、銀行和政府。這表示現在有更多組織和政府實體必須遵守嚴格的網路安全標準。

安全要求：NIS2 導入更詳細的安全要求。組織必須執行風險管理措施、定期進行安全評估，並採用事件回應策略。本指令強制使用加密和存取控制來防護敏感資料。

事件報告：原本的 NIS 指令要求實體需報告重大事故，不得無故延遲。NIS2 則收緊這項規定，強制要求在偵測到網路事件後 24 小時內需向上報告，以確保對攻擊和相關干擾做出更快速的回應。

監督與執行：NIS2 強化了國家主管機關在監督和執行合規性方面的角色。違反規定的罰則也更為嚴厲，罰金可能高達 1,000 萬歐元或公司全球年營業額的 2%，以較高者為準。

供應鏈安全：NIS2 強調保障關鍵供應鏈安全的重要性，要求企業和政府需評估並管理其供應商和服務供應商所構成之網路的安全風險。

誰會受到影響？

NIS2 範圍的擴大表示將有廣泛的領域受到影響。這些產業包括能源、運輸、銀行、金融市場基礎建設、醫療保健、飲用水供應和分配、數位基礎建設、政府和航太部門。這些產業中的中型和大型企業必須確保從 2024 年 10 月 17 日起符合新指令。

潛在的罰款和處罰

不遵守 NIS2 指令可能導致巨額罰款。未能達到所需標準或未及時報告事故的組織，可能會面臨高達 1,000 萬歐元，或全球年營業額 2% 的罰款。這些嚴厲的罰則突顯出遵守該指令以避免財務和聲譽損失的重要性。

非位於歐盟區域內？

即便非位於歐盟的企業，也會受到 NIS2 的影響。如果您的組織在歐盟區域內營運，或與任何歐盟實體共同合作，您必須遵守相關法規，並留意任何違規可能帶來的後續處罰。