nis2-navigator

name	nis2-navigator
description	NIS2 合规导航器——欧盟指令 2022/2555 下的范围分类、第 21 条差距分析（0-4 成熟度评分）和合规路线图，含德国 BSIG-neu 深度覆盖以及意大利、法国、荷兰、奥地利、西班牙概况。使用时机：（1）用户提及“NIS2”、“NIS-2”、“BSIG”、“BSIG-neu”、“NIS2UmsuCG”、“Cyberbeveiligingswet”、“Loi Résilience”、“NISG”、“decreto legislativo 138”，（2）用户询问其组织是否属于 NIS2 范围或需要网络安全合规评估，（3）用户提及关键/重要实体、附件一/二、BSI 注册、§ 30 BSIG、事件报告、管理层机构责任、供应链安全，（4）用户需要 NIS2 差距分析、就绪评估或合规路线图，（5）用户询问 NIS2 罚款、执法或证明义务（Nachweispflicht），（6）用户询问任何欧盟成员国的 NIS2。
metadata	{"author":"Oliver Schmidt-Prietz","license":"agpl-3.0","version":"2026-06-05"}

NIS2 合规导航器

引导用户完成完整的 NIS2 合规评估：范围确定、跨 10 项风险管理措施的第 21 条差距分析，以及按优先级排序的合规路线图。覆盖欧盟指令 2022/2555，含德国国内转化（BSIG-neu）深度覆盖以及意大利、法国、荷兰、奥地利和西班牙的高层概况。

会话初始化

1. 显示免责声明（会话开始时显示，不阻塞）

重要： 本技能基于欧盟指令 2022/2555 和国家转化法提供结构化的 NIS2 合规指引。它不是法律意见。最终合规决策应涉及贵组织的 CISO / 信息安全官以及精通网络安全监管的合格法律顾问。

2. 激活时网络检索

开始前检索当前监管动态——NIS2 转化在许多成员国仍在进行中，执法实践正在快速发展：

NIS2 enforcement updates [current year]
NIS2 implementing regulation EU Commission [current year]

需要引用具体指引或将用户导向官方资源时，加载 references/regulatory-sources.md 获取官方欧盟和 BSI 来源的完整目录。

3. 确定法域重点

“本次评估将聚焦于（a）欧盟层面 NIS2 指令义务，（b）特定成员国的国内法，还是（c）两者？”

• 仅欧盟层面 → 使用指令引用（第 21 条、第 23 条、附件一/二）
• 德国 → 加载 references/germany-nis2umsucg.md。使用 § 引用（§ 28、§ 30、§ 32 BSIG-neu）和 BSI 特定义务
• 意大利、法国、荷兰、奥地利或西班牙 → 加载 references/eu-jurisdiction-profiles.md。这些概况突出关键国别差异——仍需当地律师进行完整深入分析。通过网络检索核验转化状态，因为部分法律仍在立法程序中
• 两者（如欧盟 + 德国） → 以指令为主导，在国别规定相异处叠加国别细节
• 跨境集团 → 标记多个转化法同时适用。加载相关概况并建议每个法域咨询当地律师
• 任何其他成员国 → 欧盟层面评估完全适用。国别细节需另行研究

---

阶段 1：范围与分类（约 5 分钟）

确定组织是否属于 NIS2 范围，并分类为关键或重要实体。这是任何实体最常见的第一问题，正确分类是基础——它决定执法强度、罚款水平和报告义务。

对德国实体，提及 BSI 的免费受影响性审查（Betroffenheitsprüfung，betroffenheitspruefung-nis-2.bsi.de）作为补充第一步。注明它仅覆盖范围——我们的评估进一步深入合规成熟度和路线图。

按顺序一次一个地提问：

#	类别	问题
1	行业	“贵组织在哪些行业运营？”提供附件一/二类别作为参考。
2	服务	“您在该行业内提供哪些具体服务？”（附件精确映射所需）
3	规模	“贵组织有多少员工，年度营业额和资产负债表总额是多少？”
4	集团结构	“贵组织是否属于企业集团的一部分？若是，NIS2 相关活动在集团层面还是实体层面？”
5	特殊地位	“以下是否适用：DNS 提供商、TLD 注册机构、信托服务提供商、公共电子通信网络、成员国关键服务的唯一提供商？”

分类逻辑

完整的附件一/二行业映射和规模门槛见 references/sector-classification.md。

决策树：

1. 行业匹配 → 映射到附件一（高关键性）或附件二（其他关键）
2. 规模测试 → 中型：≥50 名员工 或（营业额 >€10M 且 资产负债表 >€10M）。大型：≥250 名员工 或（营业额 >€50M 且 资产负债表 >€43M）
3. 关键实体条件：附件一 + 大型，或合格信托服务提供商、TLD 注册机构、DNS 提供商、公共通信提供商、中央公共行政机构，或 KRITIS 运营者（德国）
4. 重要实体条件：附件一 + 中型，或附件二 + 中型/大型
5. 不论规模：检查参考文件中的特殊类别
6. 超出范围条件：低于中型门槛 且 无特殊地位
7. DORA 检查：DORA 下的金融机构被排除在 NIS2 第 21 条和第 23 条之外——转介至 DORA 合规（DORA 作为特别法，有其自身的同等要求）
8. CIR 检查：数字基础设施/提供商实体在第 21 条之外还面临 CIR 2024/2690 下的额外约束性要求——尽早标记

集团结构： 在 NIS2 相关服务运营的层面适用规模测试。运营整合时适用合并数字。集团内的独立实体：分别评估。

分类输出

范围确定

• 行业：[附件一/二行业和子行业]
• 规模分类：[小型 / 中型 / 大型]
• 实体类别：[关键 / 重要 / 超出范围]
• 依据：[指令条款 / 国内法引用]
• 特别标记：[DORA 排除 / CIR 适用 / 不论规模 / 无]

如为德国： BSI 注册 [需要/不需要]，状态 [已完成 / 逾期]

示例： 一家德国托管 IT 服务提供商，120 名员工，ICT 服务管理行业（附件一）营业额 €25M → 附件一、中型企业、关键实体（MSP 不论规模均为关键）。需要 BSI 注册（自 2026 年 3 月 6 日起逾期）。CIR 2024/2690 适用。该实体同时面临 BSI 主动监管和额外的 CIR 技术要求——清楚传达这一点，因为它与典型重要实体相比显著扩大合规范围。

若超出范围 → 告知用户，建议自愿采用（范围内客户的供应链压力日益普遍），并结束评估。否则进入阶段 2。

---

阶段 2：第 21 条差距分析（约 15 分钟）

走完第 21(2) 条(a)–(j)项 / § 30 BSIG-neu 的 10 项风险管理措施。目的是快速成熟度评分——足以识别关键差距并排序，而非完整审计。这使评估对首次接触 NIS2 的实体保持可及，同时仍产出可操作输出。

措施描述、评分标准和 ISO 27001 引用见 references/art21-measures.md。

评估方法

对每项措施，问一个针对性问题，然后在 0–4 量表上评分：

分数	等级	描述
0	不存在	无意识、无措施
1	临时	非正式、被动、依赖个人
2	已定义	已记录但应用不一致
3	已管理	一致实施、监控、审查
4	已优化	持续改进、量化、融入企业风险管理

ISO 27001 引用

对每项措施，简要引用相关 ISO 27001:2022 附录 A 控制。许多接触 NIS2 的组织已有 ISO 27001，因此此映射创造即时实用价值——“您已通过 A.5.1 和 A.5.2 控制满足第 21(2) 条(a)项”——这类输出可节省数小时顾问时间。

10 项措施

按顺序走完每项措施。对每项：

1. 简要解释 NIS2 要求什么（1–2 句）
2. 提出针对性评估问题
3. 根据用户回答评分——解释您的推理，使用户理解并可质疑评分
4. 分数 ≤ 2 时注明关键差距

详细措施、问题和评分标准见 references/art21-measures.md。

差距分析输出

完成全部 10 项措施评分后，呈现汇总表：

## NIS2 差距分析汇总

| # | 措施（第 21(2) 条） | 成熟度（0-4） | 状态 |
|---|---------------------|----------------|--------|
| a | 风险分析与信息安全政策 | [分数] | [🔴/🟡/🟢] |
| b | 事件处理 | [分数] | [🔴/🟡/🟢] |
| c | 业务连续性与危机管理 | [分数] | [🔴/🟡/🟢] |
| d | 供应链安全 | [分数] | [🔴/🟡/🟢] |
| e | 网络与信息系统采购/开发/维护 | [分数] | [🔴/🟡/🟢] |
| f | 有效性评估 | [分数] | [🔴/🟡/🟢] |
| g | 网络卫生与培训 | [分数] | [🔴/🟡/🟢] |
| h | 密码学与加密 | [分数] | [🔴/🟡/🟢] |
| i | 人力资源安全与访问控制 | [分数] | [🔴/🟡/🟢] |
| j | 多因素认证与安全通信 | [分数] | [🔴/🟡/🟢] |

**总分：[X] / 40**
**总体评级：[🔴 严重 / 🟡 需要改进 / 🟢 进展顺利]**

红绿灯：🔴 = 0–1，🟡 = 2，🟢 = 3–4。总体：🔴 ≤ 15，🟡 16–29，🟢 ≥ 30。

示例： 一家中型物流公司（重要实体）可能评分：（a）风险分析 2 🟡——政策存在但上次审查是 18 个月前；（d）供应链 1 🔴——仅临时检查，无合同条款；（j）MFA 3 🟢——对所有远程和特权访问强制执行。总体 19/40，🟡 需要改进。首要优先事项：供应链安全和事件处理。

---

阶段 3：合规路线图

基于差距分析生成按优先级排序的补救路线图。

对德国实体，与 BSI 的 6 阶段 #nis2know 路线图对齐，并引用 BSI-Standards 200-2/200-3 作为实施资源——这使路线图在呈现给德国管理层时更具权威性。

优先级框架

关键实体面临主动监管，因此其差距在每个成熟度水平都更紧迫：

	成熟度 0	成熟度 1	成熟度 2
关键实体	P1——立即	P1——立即	P2——短期
重要实体	P1——立即	P2——短期	P3——中期

成熟度 3–4 的措施 → 维护模式（不在路线图中）。

• P1——立即（0–3 个月）：根本性差距、急性风险
• P2——短期（3–6 个月）：显著差距、结构化补救
• P3——中期（6–12 个月）：提升至完全成熟

路线图输出

对每个差距：（1）措施，（2）当前状态，（3）目标状态，（4）2–3 项关键行动，（5）工作量（小/中/大/超大），（6）带时间线的优先级。

德国特定事项

法域包含德国时，加载 references/germany-nis2umsucg.md 并添加：BSI 注册状态、§ 38 管理层机构义务、证明义务（Nachweispflicht）期限（2028 年 12 月）、§ 32 事件报告就绪、KRITIS-Dachgesetz 交互（如适用）。

管理层简报（第 20 条 / § 38 BSIG）

在每份路线图中包含管理层机构章节。NIS2 第 20 条明确创设管理层机构参与要求，德国 § 38(2) BSIG 增加个人责任。此章节往往是评估中最有说服力的部分——它将抽象的合规义务转化为在场个人的切身事项：

管理层机构义务

• 批准风险管理措施（第 20(1) 条 / § 38(1) BSIG）
• 接受定期网络安全培训（第 20(2) 条 / § 38(3) BSIG）——不可委托
• 监督实施——执行可委托给 CISO，监督不可
• 德国： 不合规造成的损害承担个人责任（§ 38(2) BSIG）

---

输出：最终评估报告

使用 references/templates.md 中的模板合并全部三个阶段。

报告结构：

1. 执行摘要（范围裁决、总分、前 3 项优先事项）
2. 范围与分类详情
3. 差距分析评分表
4. 按优先级排序的合规路线图
5. 管理层机构义务
6. 法域特定要求（如适用）
7. 建议的后续步骤

---

关键护栏

会绊倒真实评估的非显而易见的陷阱：

1. 自我评估义务 ——无官方机构通知。实体必须自行确定其地位。许多实体未意识到自己在范围内
2. 供应链级联 ——范围外组织日益面临来自范围内客户的合同性 NIS2 要求
3. 双重事件报告 ——NIS2（24 小时/72 小时/1 个月向国家当局）和 GDPR（72 小时向数据保护机构）对涉及个人数据的事件并行运行。时间线、接收方和内容不同
4. 规模门槛陷阱 ——OR/AND 逻辑会捕获按员工数小但按收入大的公司
5. DORA 除外 ——DORA 下的金融机构被排除在 NIS2 措施和报告之外。转介，不要评估
6. CIR 2024/2690 ——数字基础设施实体面临第 21 条之外的额外约束性要求
7. 委员会修正案（2026 年 1 月） ——已提议，尚未生效。仅供战略意识提及

更多欧盟法规技能

本技能可独立使用。通过 README 中链接的交互式技能页面，或 OneZero Legal（https://onezero.legal），探索我的其他欧盟数字法规技能。