Directive (EU) 2022/2555，EUR-Lex
NIS2 指令，風險管理措施載於第 21 條。
延伸至供應商的網絡安全責任。
NIS2 指令（Directive (EU) 2022/2555）為能源、運輸、銀行、醫療及數碼基建等行業的基要及重要實體訂立網絡安全風險管理措施。成員國自 2024 年 10 月 18 日起實施。
第 21 條涵蓋供應鏈安全，須考慮每個直接供應商的特定弱點。管理層須批准有關措施，並可被追究責任。
概覽
- 法例
- Directive (EU) 2022/2555（NIS2），第 21 條
- 實施日期
- 2024 年 10 月 18 日，透過各國法律實施
- 適用對象
- 指令所列行業的基要及重要實體
- 供應商責任
- 供應鏈安全，包括與直接供應商及服務提供者的關係
資料及第三方風險
供應商評估需要甚麼。
供應商評估中可由公司資料解答的部分。
| 責任 | 要求內容 | Fill Easy 提供的資料 |
|---|---|---|
| 識別供應商 | 了解你與哪個法律實體訂約 | 來自公司本地註冊處的註冊摘錄及法定文件，涵蓋 60+ 個司法管轄區 |
| 了解供應商 | 其擁有權、管理層及控制地點 | 經每個註冊處逐層追溯股權，直至最頂層的自然人 |
| 供應商風險 | 評估每個直接供應商的特定風險 | 對公司及所識別人士進行反洗錢、制裁及政治人物篩查；信用報告及訴訟查冊 |
| 保持更新 | 在供應商有變時重新評估 | 持續監察及補救：以一個 Excel 檔案在來源重新核查整個組合 |
此為摘要，並非法律意見：以官方文本為準，你的合規團隊決定你的政策有何要求。
閱讀原文
官方文本。
ENISA
歐盟網絡安全局的 NIS2 指引。
關於NIS2 供應鏈安全的問題
找不到答案？ 向我們的團隊查詢
使用 Fill Easy 是否就等於符合NIS2 供應鏈安全？
不是。根據NIS2 供應鏈安全，盡職審查責任在於你的機構，而你的政策決定怎樣才算足夠。Fill Easy 提供這些政策所依賴的證據：來自政府或註冊處來源的記錄，每份均顯示擷取地點及時間。
Fill Easy 會否評估供應商的網絡安全？
不會。Fill Easy 核實供應商的身份及擁有人。安全問卷、審計及認證仍屬你的供應商評估範圍。