KSC与NIS2影响及差距分析

影响分析确定哪些法规适用于贵公司，以及它们会改变公司的哪些工作；差距分析将这些要求与公司现有的情况进行比较。

自2026年4月3日起，《国家网络安全体系法》修正案生效，将欧盟NIS2指令，即欧盟关于网络安全的第2022/2555号指令，转化为波兰法律（法律状态截至2026年9月20日）。关键主体是指属于该法附件1所列行业、规模大于中型企业的公司。重要主体是指属于附件1所列行业、规模为中型企业的公司，或属于附件2所列行业、规模为中型及以上的公司。附件1所列行业包括交通运输、银行业、医疗卫生、供水与污水处理以及数字基础设施等。附件2所列行业包括部分子行业的制造业、食品、化学品、废弃物以及数字服务等。中型企业的标准：员工少于250人，且营业额不超过5000万欧元或资产负债表总额不超过4300万欧元，须合并计算关联企业和伙伴企业。小型企业（员工少于50人，营业额或资产负债表总额不超过1000万欧元）不在该法适用范围内，但法中规定的例外情形除外。团队成员具备法律背景；如果定性存在争议，由律师事务所出具法律意见。

在2026年4月3日已满足该法条件的企业，须在2026年10月3日前提交列入名录的申请。包括信息安全管理体系在内的法定义务，须在2027年4月3日前落实；之后才满足条件的企业，有六个月时间提交申请、十二个月时间落实义务。关键主体须在2028年4月3日前完成首次审计，此后至少每3年一次。主管机关最早可在2028年4月3日之后处以首批罚款。列入名录申请、政策、系统中的安全措施和供应商合同属于另外的服务范围；分析会说明需要其中哪些、何时需要。

然后检查公司现有的情况：政策、安全措施、供应商合同，以及负责访问权限、备份和故障报告的人员。要求取自指令和该法中的风险管理措施清单，包括：风险分析、事件处置、业务连续性、供应链（即IT供应商）、系统采购和开发中的安全、培训、加密、访问控制等。

每个差距都有三项说明：对照所指明的条款缺少什么；严重程度如何（期限及其后果：罚款、停工、管理人员的责任）；弥补需要多少工作量。工作量分三个等级描述，不按小时计：修改一份文件、调整运行中系统的设置，或者单独立项。顺序：先制定规则，再部署执行这些规则的安全措施。

1. 确定身份。我们将公司的业务、员工人数、营业额和关联关系数据与该法及其附件的条件进行核对。成果：注明法律状态日期的书面定性。
2. 与相关人员交谈并审阅文件。负责IT、合同、人事和财务的人员向我们展示访问权限、备份、故障报告和合同情况。成果：现状检查，标明哪些有证据。
3. 将要求与现状对照。每项措施都标注状态：有且有证据、有但无证据、缺失。成果：注明严重程度和顺序的差距清单。
4. 向管理层提交报告。我们商定哪些差距由我们的其他服务范围弥补，哪些由其他承包商弥补，哪些由您的团队弥补。成果：明确责任分工的计划。