NIS2是什么？

NIS2旨在加强诸如能源、医疗保健和数字基础设施等关键行业企业的网络安全。该指令要求企业对其网络和信息系统的安全性负有管理责任，及时报告重大安全事件，并解决整个运营过程中的漏洞。同时该指令还强调供应链的安全性和问责制，确保企业采取积极措施管理各个层面的网络风险。对于在欧洲运营的中国企业而言，遵守NIS2对于维护网络安全和达到欧盟标准至关重要。

谁需要遵守？

从2024年10月起，NIS2将适用于欧盟范围内的众多企业。被归类为中型及以上（年收入超过1,000万欧元且员工人数超过50人）且属于基本（必要）或重要实体的企业必须遵守NIS2：

• 基本（必要）实体：这些企业属于能源、医疗保健、交通、供水、银行和数字基础设施等极其关键的行业。由于这些行业在社会中扮演着重要角色，因此这些企业必须遵守更严格的安全要求并受到更严格的监管。
• 重要实体：这些企业包括食品生产、废物管理、邮政服务和关键产品制造等行业。虽然这些企业同样重要，但与关键实体相比，合规要求略低。

此外，无论规模大小，企业符合以下条件也必须遵守规定：

• 提供公共电子通信网络、信托服务、域名注册或域名服务。
• 被欧盟成员国认定为关键公共管理机构。
• 被认定为欧盟标准下的关键实体。

值得注意的是，在欧盟境内提供服务的非欧盟公司如果符合规定标准，也需要遵守NIS2。

企业的新责任

NIS2为企业引入了一些新责任，扩展了先前的《网络和信息系统安全指令》（NIS）：

1. 风险管理：企业必须实施全面的风险管理措施，包括评估其网络和信息系统中的漏洞。这意味着企业必须定期识别潜在的网络威胁，并采取有效的安全措施应对风险。
2. 事故报告：企业必须在更严格的时间范围内报告重大网络安全事故——发现事故后24小时内报告预警，72小时内报告详细情况，并在事故报告后一个月内提交最终报告。快速报告旨在加快响应和协调速度，以减轻损失。
3. 供应链安全：NIS2对整个供应链的安全提出了新的要求。企业必须确保其第三方供应商和合作伙伴遵守相同的网络安全标准，积极管理其运营中的风险。
4. 治理和问责：NIS2要求企业在管理层指定负责监督网络安全工作的负责人。高级管理层必须确保遵守指令，建立更高水平的问责制。
5. 标准和认证体系的适用：NIS2鼓励企业采用欧洲和国际标准，并使用欧洲网络安全认证体系来加强其网络安全措施。

不合规的处罚

欧盟成员国将指定监管机构来监控合规情况。处罚可能包括：

•  罚款：基本（必要）实体最高罚款可达全球营业额的2%或1000万欧元，重要实体最高罚款可达全球营业额的1.4%或700万欧元：无论金额多少，这一巨额罚款都强调了稳健网络安全实践的重要性。
• 公开谴责：不合规的公司可能面临公开曝光，声誉损失，并可能失去客户和合作伙伴的信任。
• 暂停业务活动：在严重情况下，企业可能被要求停止某些业务，特别是关系到危害网络和信息安全的行为。

这些处罚展现了欧盟在网络安全问题上的坚决态度，要求企业必须将保护系统安全、抵御网络威胁作为优先事项。

中国海外企业如何准备NIS2合规：

在欧洲运营的中国企业应尽早准备，以确保在NIS2生效时能够满足相关要求。以下是一些基本的准备步骤：

1. 评估合规性：根据企业的规模和行业特点，判断您的企业是否需要遵守NIS2的规定。这包括评估员工人数和全球营业额。
2. 更新网络安全政策：使您现有的网络安全政策符合NIS2的要求。进行差距分析，找出当前做法可能不符合指令标准的领域。
3. 修订业务战略：确保您的业务战略涵盖网络安全措施和风险管理，这可能需要制定新的事故报告机制和供应链安全协议。
4. 与利益相关者合作：与供应商、合作伙伴和其他利益相关者沟通，确保他们了解新的要求，并准备共同遵守规定。
5. 实施培训计划：向员工和合作伙伴普及NIS2的要求和网络安全最佳实践，确保所有相关人员都清楚自己在合规性方面的责任。
6. 监控和报告：建立有效的监控系统，跟踪合规性进展，并定期发布报告。透明度有助于建立信任，并展示企业对网络安全的承诺。

结论

NIS2为在欧洲运营的中国企业带来了挑战和机遇。虽然合规要求企业付出巨大努力来加强网络安全性，但同时也为企业提供了在竞争激烈的市场中增强声誉和提高运营灵活性的机会，最终有助于在全球范围内营造安全、可信的数字环境。通过现在采取积极措施，中国企业不仅可以避免处罚，还可以将自己定位为网络安全领域的领导者，从而支持企业的长期发展和成功。

欧盟（EU）的监管框架正在迅速演变，新规对欧盟和非欧盟公司都将产生影响。其中一个关键主题是供应链尽职调查，其背后的驱动力是对全球商业实践中可持续性和问责制日益增长的需求。事实上，新规要求公司将尽职调查纳入其政策和风险管理系统中，确保公司既要削减自身的负面影响，也要降低业务伙伴的负面影响。

欧盟供应链法规

首先，欧盟第2023/1115号法规旨在创造无毁林产品。该法规要求企业收集信息、评估风险并采取措施降低风险。公司还必须报告其所做的努力，以确保透明度和问责制。

另外两项法规，即拟议的《企业可持续发展尽职调查指令》（CSDD）和《企业可持续发展报告指令 2022/2464》（CSRD），规定了更多义务。其中，CSDD 适用于欧盟大型公司和某些在欧盟营业额较高的非欧盟公司。该指令要求企业在考虑上游（与生产相关）和下游（与分销相关）活动的情况下，解决供应链产生的负面影响。

尽职调查义务包括识别、预防和减轻负面影响。这一过程包括与利益相关方接触并记录所开展的活动。

CSRD则对这些要求进行了扩展，要求提供详细的可持续性报告。除其他外，公司必须披露其尽职调查过程、运营影响以及为消除这些影响而采取的行动。这些信息有助于银行和投资者做出明智的决策，决定向何处分配资源以及在何种条件下提供贷款。

对企业和银行的影响

基于以上所述，公司应进行充分的供应链影响评估。这些评估有助于公司了解自身的可持续发展水平并识别风险，促进公司优化采购实践并建立更稳固的业务关系。通过与联合国《工商企业与人权指导原则》、经合组织《尽职调查指导方针》等国际标准以及欧洲标准、法规保持一致，企业可以避免“洗绿”，提高自身竞争优势。

实施供应链影响评估时应具体情况具体分析，考虑公司在供应链中的地位、供应链本身的复杂性以及相关活动的背景。此类评估应全面彻底，并以可靠的证据为基础，确保能清晰地反映公司的可持续性和风险状况。

让当地社区等利益相关方参与进来，对于收集相关信息和确保进行稳健的影响评估至关重要。利益相关方的参与也有助于实现可持续全球供应链和可持续发展实践透明度的总体目标。利益相关方可以提供有关当地情况和潜在风险的宝贵见解，帮助公司积极主动地解决问题。

另一方面，一般来说，银行也面临着贷款交易带来的环境、社会和治理风险。

因此，对银行来说，这些法规意味着要对客户的运营进行更严格的审查。

事实上，银行应评估公司所面临的与供应链管理相关的风险，以及这些风险如何转化为金融风险（如信用风险、声誉风险等）。

因此，根据公司披露的信息和客户的额外参与，银行可以选择避免任何投资或贷款，或继续进行交易，要求采取纠正措施或规定具体条款。

结论

欧盟不断发展的价值/供应链尽职调查监管框架既是挑战也是机遇。了解并遵守这些法规对企业有效管理风险和保持竞争力至关重要。通过促进尽职调查和可持续发展，企业可以降低风险，为更加透明和可持续的全球经济做出贡献。

通往可持续供应链的道路包括采用全面的尽职调查程序，与利益相关方合作，并不断改进实践，以提高应变能力和竞争力。

基于上述原因，这些法规将对欧盟公司（在一定程度上也包括非欧盟公司）产生重大影响。特别是，公司应实施新的政策和程序，以履行新的义务。

因此，企业必须了解新的义务，以便管理和减少相关风险（同时也要避免 "洗绿"）。

日常生活中，绝大多数人都会以某种形式与AI互动，但我们经常意识不到这些互动。比如，当我们要求手机播放我们最喜欢的歌曲、从Bilibili等视频网站收到推荐或使用人脸识别解锁手机时，我们便在与能够理解、预测人类偏好和行为的AI技术互动。这些系统无处不在——从为我们分类电子邮件的算法到已经出现在道路上的自动驾驶汽车。

此外，AI的应用不仅限于消费技术。它在更复杂、风险更高的环境中发挥着至关重要的作用，例如比医疗专业人员更快地诊断疾病、优化农业技术以生产更多食物、以及管理能源系统以减少消耗和成本。AI的发展潜力延伸到人类涉足的每个角落，创造着曾经是仅存在于科幻领域的事物——如实时语音翻译和高级机器人技术。

然而，尽管AI具有巨大的发展潜力，它也带来了一系列挑战和问题。这项技术在隐私、安全和伦理方面提出了许多挑战。例如，当AI处理大量个人数据以学习和做出决策时，我们如何确保它尊重我们的隐私？我们如何防止AI系统被用于有害目的？

欧盟的新AI法案是朝这个方向迈出的开创性步伐，旨在创建一个既能促进创新又能妥善解决AI伦理、法律和社会影响的治理框架。接下来，我们将深入探讨这项新规定的内容，以及它如何在上述事项之间取得平衡，以确保AI造福全社会。

框架

AI法案对AI生态系统内的各种利益相关者进行分类，每类群体都承担特定的责任：

1. 提供者：即开发AI系统或模型的实体（包括企业、公共机构、个人）。提供者将AI技术输入欧盟市场，他们必须确保其系统从开发到部署都符合监管要求。

2. 授权代表：对于欧盟以外的提供者，欧盟内的授权代表承担确保其遵守该法案的责任。授权代表在管理跨境AI影响中至关重要，因为他们将成为监管机构在欧盟的联系人。

3. 部署者：即在欧盟内操作AI系统的用户。部署者必须遵守法案设定的运营标准，确保AI的应用符合欧盟的规范和安全要求。

4. 进口商和分销商：这类利益相关者将负责AI系统进入欧盟市场及分销。进口商在验证其引入欧盟的AI系统符合既定规则后，才能让AI系统进入市场。

5. 制造商：将AI系统应用至自己品牌下的产品并投入市场的实体。制造商必须确保其生产的产品符合欧盟要求的安全和合规标准。

详细的风险分类

AI法案引入了一个基于风险的分类系统，根据各种AI系统的潜在影响优先确定监管重点和强度：

• 不可接受的风险：AI法案禁止可能对安全、生计和权利构成严重威胁的AI应用，如政府用于社会评分的系统或可能损害个人心理健康的操纵性应用。

• 高风险：包括对关键基础设施、教育工具或作为安全关键产品组成部分的AI系统。这些系统需通过严格的符合性评估，以确保其安全性、准确性和可靠性。

• 有限风险：与人类互动的AI应用（如聊天机器人），需要向用户公开其操作方式以保持透明。这将确保用户知道他们的互动可能是与机器而非人类进行。

• 最小风险：风险影响微不足道的应用，如AI驱动的视频游戏或垃圾邮件过滤器，受到最为有限的监管，以鼓励在安全范围内的创新和发展。

执行和合规

AI法案旨在建立相应处罚以确保通用数据保护条例（GDPR）的规定得到有效执行。不合规可能导致严重的财产处罚，处罚将根据违规的严重程度和违规公司的规模进行调整。

每个欧盟成员国必须指定一个或多个国家机构来监督AI法案的执行，维持严格的监督机制。国家机构还将处理不合规的情况，确保在欧盟使用的AI系统是安全的，并按照所设定的标准运行。

结论

AI法案体现了欧盟对人工智能快速发展所带来的挑战和机会的战略应对。通过实施这一全面的监管框架，欧盟不仅寻求管理与AI相关的复杂问题，还希望自身能够成为技术治理领域的领导者。AI法案旨在通过提供清晰的指导方针和稳定的政策环境来激发创新，对于促进技术进步和经济增长至关重要。

AI法案强调基于风险的方法，允许动态监管，以适应迅速发展的AI技术。通过专注于最关键的领域，如高风险和不可接受的风险类别，欧盟确保将资源集中在最需要保护公共福利、安全的领域，同时不会扼杀风险较小的领域内产生的创新。

通过制定AI法案，欧盟率先建立了一个可能影响全球AI监管规范和标准的示范。随着AI继续塑造全球各个行业，欧盟的主动、结构化方案为提供了一个蓝图，供有志于寻求在管理其固有风险的同时利用AI优势的地区参考。因此，AI立法代表着向实现平衡、可持续技术未来进发的战略举措。

在国防和国家安全领域，第21/2022号法令规定，对于有意收购从事具有战略意义活动的公司的权益的任何人而言，可选择与目标公司联合申报交易。如果无法做到这一点，申报公司必须向目标公司发送一份包含交易要素及申报要素的通知，以便目标公司能够参与法律程序。在通知发出后的45天内，总理决定是否批准交易、否决交易或施加进一步限制。但是，如果需要该公司提供进一步的信息，上述时间限制可以中止，但仅限一次，且必须在10天内提供公司信息。如果收购公司和目标公司在获得政府部门批准之前达成交易，或者未按照政府部门的要求进行交易，收购公司和目标公司可能会被处以相当于交易额两倍的行政罚款，但不低于资产负债表所呈现的上一个会计年度的营业额的1%。

在能源、运输和通信部门也实行了同样的革新。 第21/2022号法令还规定，收购的生效可以以收购公司和目标公司承诺保护国家的基本利益为条件。

此外，第21/2022号法令提出了与基于5G和云技术的宽带电子电信网络有关的特别权力的若干新规定。具体而言，在购买与这些活动的设计、实施、维护和管理有关的货物或服务，或对其实施或管理起作用的技术密集型组件之前，有关公司必须向总理申报年度计划，其中包括以下细节：（一）申报所涉及的部门，（二）采购方案，（三）相关供应商（包括潜在供应商），(四) 对有关活动的设计、实施、维护和管理所需的商品、服务和技术密集型部件的详细描述，以及 (五) 全面披露5G网络或基于云技术的网络的发展前景，以及与申报公司数字化系统的发展方式有关的任何进一步信息。该等申报应在实施计划之前每年提交一次，在不影响更新计划的可能性的情况下，在一年中每四个月向总理办公室申报一次。在申报提出后的30天内，年度计划由总理下令批准，但可能会施加一些规定或条件，或者被否决。如果有必要进行深入的技术调查，包括评估可能存在的危害网络、通过网络的数据或系统的完整性与安全性的漏洞因素，在30日期限内可以延长20日；在必要时，仅可以再一次延长20日。

任何不遵守申报要求或者不遵守行使特别权力的措施的规定的公司将会被处以最高达营业额3%的罚款，并且违反要求或者条件所签订的合同将被认定为无效。此外，政府还可以责令申报公司在一定的期限内自费恢复原状，每延迟一个月将被处以上述金额的十二分之一的罚款。

最后，第21/2022号法令对关于特别权力和预先申报的程序作了若干修改。具体而言，在与协调小组协商后，可通过部长会议主席法令确定措施，简化申报程序、期限和与可能行使特别权力的初步调查有关的程序，以及提交预先申报以便由协调小组进行审查的程序，而无需内阁作出决议。为了加强总理办公室在开展行使特别权力的筹备活动方面的协调活动，还在行政协调部设立了一个关于行使特别权力问题的战略评价和分析中心，该中心由十名在法律、经济和国际关系事务方面具有专长的成员组成。