NIS法案為關(guān)鍵基礎(chǔ)設(shè)施部門構(gòu)建了一套事件報告和基礎(chǔ)網(wǎng)絡(luò)安全的標準框架。在此基礎(chǔ)上，歐盟進一步擴大了該法案的適用范圍并納入了更多企業(yè)，以促進整個供應(yīng)鏈的全面合規(guī)性。lZpesmc

考慮到現(xiàn)代威脅的嚴重性，強化網(wǎng)絡(luò)安全對于保障系統(tǒng)穩(wěn)定運行和預防供應(yīng)鏈中斷至關(guān)重要。根據(jù)美國聯(lián)邦調(diào)查局下屬的互聯(lián)網(wǎng)犯罪投訴中心(IC3)發(fā)布的《2023年互聯(lián)網(wǎng)犯罪報告》，2023年美國因網(wǎng)絡(luò)欺詐導致的損失高達125億美元，該數(shù)據(jù)較2022年增長了22%。lZpesmc

根據(jù)CrowdStrike的《2024年全球威脅報告》，2023年科技行業(yè)成為了互動式網(wǎng)絡(luò)攻擊最為頻發(fā)的目標領(lǐng)域，緊隨其后的是電信行業(yè)。lZpesmc

隨著NIS2指令的正式執(zhí)行，電子產(chǎn)品制造商必須深入檢視其網(wǎng)絡(luò)安全協(xié)議，并實施全方位的防護措施。加強安全防范措施已成為當務(wù)之急，不遵守新規(guī)定可能會導致罰款，甚至可能遭受嚴重的經(jīng)濟損失。以下為供應(yīng)鏈專業(yè)人員需掌握的NIS2指令關(guān)鍵要點。lZpesmc

NIS2指令對供應(yīng)鏈的影響

NIS2指令在2023年頒布，2024年10月18日起正式實施。自2016年以來，數(shù)字化進程的迅猛增長推動歐盟更新網(wǎng)絡(luò)安全政策和法律體系。如今，更廣泛的行業(yè)和實體被要求提升防御能力和應(yīng)對突發(fā)事件的準備。lZpesmc

NIS2覆蓋了金融市場基礎(chǔ)設(shè)施、能源、交通和醫(yī)療保健等關(guān)鍵行業(yè)，因為這些領(lǐng)域頻繁依賴信息和通信技術(shù)(ICT)，所以它們必須遵循歐盟的最新規(guī)定。lZpesmc

此外，歐洲監(jiān)管機構(gòu)已將監(jiān)管范圍擴展至廢物管理、食品加工、郵政服務(wù)和其它特定行業(yè)。在事故發(fā)生時，成員國須向本國的應(yīng)急響應(yīng)團隊報告，以便獲取后續(xù)的指導和協(xié)助。lZpesmc

隨著NIS2的實施，供應(yīng)鏈專業(yè)人員需嚴格遵守相關(guān)規(guī)定，并與信息技術(shù)團隊加強合作。其中一項首要任務(wù)便是利用國家層面的審查來增強內(nèi)部風險評估的工作。lZpesmc

供應(yīng)鏈網(wǎng)絡(luò)安全管理的基礎(chǔ)在于內(nèi)部風險評估，因為企業(yè)必須對自身及其供應(yīng)商進行徹底審查。由于第三方可能引入安全風險，評估這些風險對于保障運營至關(guān)重要。此外，這些組織還需遵循NIS2指令，以確保實現(xiàn)最高標準的安全保護。lZpesmc

風險評估在國家層面乃至歐盟層面同樣適用，各成員國正通過多種途徑提升供應(yīng)鏈安全。例如，即使某些企業(yè)未明確列入原定范圍，歐盟國家仍可開展風險評估。另一重大轉(zhuǎn)變是，歐盟現(xiàn)能對特定供應(yīng)鏈進行審查，以評定其風險級別。lZpesmc

自2020年以來，鑒于外部威脅帶來的重大風險，供應(yīng)鏈網(wǎng)絡(luò)安全已成為關(guān)注的焦點。NIS2指令旨在提升組織對抗攻擊的防御能力。lZpesmc

供應(yīng)鏈調(diào)整適應(yīng)NIS2指令

除了執(zhí)行風險評估，供應(yīng)鏈專業(yè)人員還需采取額外措施以符合NIS2指令的要求。如今，制造商也被納入歐盟NIS2指令的范疇，這意味著電子產(chǎn)品制造商需采用更先進的編碼實踐，并定期執(zhí)行滲透測試。lZpesmc

供應(yīng)鏈專業(yè)人員應(yīng)利用信譽良好的第三方資源來評估產(chǎn)品的安全性和網(wǎng)絡(luò)防御能力。通過定期開展測試活動，電子公司能夠更精確地確定為實現(xiàn)NIS2指令合規(guī)所需采取的具體措施。lZpesmc

這些政策與2018年歐盟頒布的《通用數(shù)據(jù)保護條例》(GDPR)互為補充——GDPR確立了嚴格的數(shù)據(jù)保護措施，與歐盟新推出的NIS2規(guī)則保持一致。專家指出，有64%的公司至少處理1PB的數(shù)據(jù)，所以實施嚴格的數(shù)據(jù)存儲與管理措施至關(guān)重要。lZpesmc

電子產(chǎn)品制造商需定期更新其網(wǎng)絡(luò)安全措施，以確保采用最安全、最高效的方法。鑒于這些指令的復雜性和所涉及到的先進技術(shù)，IT部門必須對其他員工進行培訓，以確保合規(guī)。lZpesmc

雖然許多現(xiàn)行的網(wǎng)絡(luò)安全手段仍然有效，但制造商必須跟上時代的步伐，應(yīng)對不斷演變的外部威脅。人工智能(AI)、機器學習(ML)和區(qū)塊鏈技術(shù)已成為供應(yīng)鏈安全的關(guān)鍵要素，因此，深入探討這些技術(shù)對于所有戰(zhàn)略極為必要。lZpesmc

AI和ML對于制造商來說是至關(guān)重要的工具，因為它們能夠更快地識別威脅并提升檢測的精確度。借助大量數(shù)據(jù)，AI能夠分析并識別出供應(yīng)鏈中的異常模式，從而預警潛在威脅。電子產(chǎn)品制造商應(yīng)當利用這些先進技術(shù)來實現(xiàn)快速響應(yīng)，并確保遵循NIS2指令的要求。lZpesmc

為了實現(xiàn)更深層次的合規(guī)性，網(wǎng)絡(luò)安全措施必須貫穿于每個電子元件的制造過程。制造商應(yīng)從產(chǎn)品設(shè)計之初到最終部署的整個產(chǎn)品開發(fā)周期內(nèi)，實施執(zhí)行安全開發(fā)生命周期(SDLC)策略。lZpesmc

SDLC策略融合了零信任架構(gòu)和持續(xù)部署(CD)等業(yè)界最佳實踐，其目的是確保只有經(jīng)過授權(quán)的用戶能夠訪問系統(tǒng)，從而堅守嚴格的安全準則。lZpesmc

如何確保符合NIS2指令？

在歐盟運營的企業(yè)必須遵循監(jiān)管機構(gòu)的規(guī)定，這包括通用數(shù)據(jù)保護條例(GDPR)和新的網(wǎng)絡(luò)安全指令(NIS)。自2024年起，NIS2已成為具有強制性的法律，電子公司必須遵守更為嚴苛的指導原則。盡管制造商之前并未被納入原始規(guī)定的范疇，但現(xiàn)在它們已被納入擴大后的監(jiān)管范圍之內(nèi)。lZpesmc

隨著NIS2指令的推行，電子產(chǎn)品制造商需全面提升內(nèi)部風險評估的全面性，以保障供應(yīng)鏈安全。歐盟已拓寬了對特定行業(yè)進行風險評估的權(quán)限，企業(yè)因此需做好充分準備，以防范網(wǎng)絡(luò)攻擊并加強系統(tǒng)防護能力。IT部門需更新其操作流程，采納先進且高效的技術(shù)策略，例如人工智能和機器學習。lZpesmc

本文翻譯自國際電子商情姊妹平臺，原文標題：What the NIS2 Directive Means for the Supply ChainlZpesmc