Directive (EU) 2022/2555，EUR-Lex
《NIS2 指令》，其第 21 條載有風險管理措施。
網路安全義務延伸至供應商。
《NIS2 指令》（Directive (EU) 2022/2555）為能源、運輸、銀行、醫療及數位基礎設施等產業的關鍵及重要實體訂定網路安全風險管理措施。成員國自 2024 年十月 18 日起透過國內法適用相關規定。
第 21 條涵蓋供應鏈安全，並要求考慮每家直接供應商的特定弱點。管理機關須批准相關措施，並可能承擔責任。
重點一覽
- 法規
- Directive (EU) 2022/2555（NIS2）第 21 條
- 適用起始日期
- 自 2024 年十月 18 日起，透過國內法適用
- 適用對象
- 指令所列產業的關鍵及重要實體
- 供應商義務
- 供應鏈安全，包括與直接供應商及服務提供者的關係
資料及第三方風險
評估供應商需要哪些資料。
以公司資料回應供應商評估中的身分與背景問題。
| 義務 | 要求 | Fill Easy 提供的資料 |
|---|---|---|
| 識別供應商 | 確認與貴公司簽約的法律實體 | 涵蓋 60+ 個司法管轄區、由公司註冊地登記冊取得的登記冊摘錄及法定文件 |
| 了解供應商 | 了解其擁有權、管理層及控制所在地 | 逐層查核各地登記冊的擁有權，追溯至最上層自然人 |
| 供應商風險 | 評估每家直接供應商的特定風險 | 對公司及查出的相關人士進行 AML、制裁及 PEP 篩查；另提供信用報告和訴訟紀錄查詢 |
| 保持資料更新 | 供應商情況變動時重新評估 | 監察與補救：透過一份 Excel 檔案，重新向原始資料來源核查整份名單 |
以上僅為摘要，並非法律意見；應以正式文本為準，具體政策要求由貴公司的合規團隊決定。
查閱來源
法規正式文本。
ENISA
歐盟網路安全局的 NIS2 指引。
NIS2 供應鏈安全常見問題
找不到答案？ 詢問我們的團隊
使用 Fill Easy 是否代表我們符合 NIS2 供應鏈安全要求？
不是。根據 NIS2 供應鏈安全規定，盡職調查責任仍由貴公司承擔；足夠的查核程度亦取決於貴公司的政策。Fill Easy 提供政策所需的證據：取自政府或登記冊來源的紀錄，並顯示擷取來源及時間。
Fill Easy 會評估供應商的網路安全嗎？
不會。Fill Easy 核實供應商身分及擁有權。安全問卷、稽核及認證仍屬貴公司的供應商評估工作。