影响研究：改革后的网络与信息安全指令框架下的CSIRT

新闻稿 | 2022年10月12日 | 19:50

2022年6月，关于《网络与信息安全指令》（NIS）改革的政治协议已达成。此改革由技术发展、社会日益数字化、对信息和安全网络的依赖度增加以及新旧威胁共同驱动。与NIS1相比，新的NIS2指令扩大了计算机安全事件响应团队（CSIRT）的任务和权限范围，包括任务类型的拓宽。为此，荷兰国家网络安全中心（NCSC-NL）委托蒂尔堡大学进行了一项关于其自身组织及活动的影响研究。

目标

本研究旨在梳理CSIRT在要求和任务上的变化，以及在满足这些要求和执行任务时的“良好实践”及内部组织方式。研究人员考察了六个欧盟成员国的CSIRT，包括荷兰的NCSC、奥地利的CERT.at、法国的CERT-FR、德国的CERT-BUND、爱沙尼亚的CERT-EE以及丹麦的网络安全中心。

研究成果

影响研究的最重要结果包括：

• CSIRT任务的执行方式及良好实践因国家而异。这些良好实践在附带的报告中有详细阐述。
• 对大多数CSIRT而言，新NIS2指令带来的主要挑战在于可扩展性、确保新纳入范围的部门和组织能够获得CSIRT服务，以及国家系统内多项任务的组织安排。
• 各国差异体现在：国内CSIRT任务组织是集中式还是分散式；采用基于风险还是基于部门的方法来识别和应对威胁；信息交换、知识共享以及主动扫描脆弱网络和组织的工具自动化形式不同。
• 获取并保持必要的容量和资源以应对NIS2指令范围扩大，是多数CSIRT面临的一大挑战，尤其是在人员招聘与保留以及资金方面。
• 建立和构建一个可信的CSIRT和组织生态系统，有助于国家CSIRT扩展规模，确保NIS2指令范围内的所有部门和组织都能利用CSIRT服务。

后续步骤

NIS2指令将在欧洲议会和欧盟国家元首理事会投票后于今年秋季正式确定。成员国随后有21个月时间将指令转化为新的或现有的国家立法。荷兰将修订《网络与信息系统安全法》（Wbni）。司法与安全部将主导此项工作，NCSC-NL将参与其中。在此期间，将决定如何在我国国家立法中解释该指令，本研究的结果将作为输入。NCSC-NL将在此过程中向其当前及潜在的未来成员传达相关事宜。

出版物

• NIS2影响研究
• 出版物 | 2022年10月12日