2026年1月20日，欧盟委员会正式发布网络安全法修订草案（下称“网络安全法2.0”），作为欧盟新网络安全一揽子计划的核心支柱，这份草案直接重构了ICT供应链安全规则，覆盖18个关键行业，对跨国企业合规、全球供应链布局都将产生深远影响。今天就为大家拆解这份草案的核心更新，理清企业需要重点关注的合规要点与应对方向。
一、供应链“去风险”从自愿变强制
这是本次草案最重磅的变化——将2020年5G安全“工具箱”的建议性措施，升级为具有法律约束力的强制要求，适用范围从单一5G领域，扩展至18个关键行业，覆盖基础设施与核心科技两大板块。
18个关键行业完整清单
基础设施领域：移动网络（5G/6G）、固定网络（光纤/海底电缆）、电力供应与储能系统、供水系统、联网和自动驾驶车辆、无人机与反无人机系统、铁路信号系统、工业控制系统、卫星通信系统；
核心科技领域：云服务、半导体制造与设计、医疗设备、监控设备、航天服务、边境安全系统、AI模型、关键软件组件、数据中心基础设施。
淘汰时间表明确，分行业推进
草案给出了明确的过渡期要求：移动运营商需在高风险供应商名单公布后36个月内，完成关键组件淘汰；固定网络、卫星网络的具体期限，将由欧盟委员会后续单独细化。
需注意，所有限制措施并非随意实施，必须由欧盟委员会或至少三个成员国发起正式风险评估，经欧盟理事会批准后才可生效。
二、网络安全认证框架全面优化
为降低企业合规成本、提升效率，草案对欧盟网络安全认证框架做了三大优化，兼顾严格性与灵活性。
•流程提速：部分认证方案开发周期从24个月缩短至12个月，减少企业等待时间；
•范围扩容：从单一ICT产品，延伸至企业整体风险管理体系、托管安全服务（如事件响应、渗透测试），同时纳入AI模型、工业控制系统等新兴领域；
•激励自愿认证：允许企业将合规框架作为“竞争资产”自愿提交认证，凭借合规优势实现市场差异化。
此外，草案强化了欧盟层面的统一认证标准，消除成员国间的认证壁垒，大幅降低跨国企业的合规复杂度。
三、ENISA权力再升级
欧盟网络安全局（ENISA）作为核心监管机构，此次获得了全方位的权力强化，成为欧盟网络安全治理的“中央枢纽”。
核心权力升级包括：
1.拥有“有约束力意见”发布权，可直接要求成员国采取特定安全措施；
2.负责高风险供应商名单的技术评估与动态更新，可强制企业提供安全事件数据、供应链信息；
3.新增独立安全审计权，可对高风险产品开展审计，费用由相关企业承担；
四、NIS2指令更清晰，合规负担减轻
草案同步对NIS2指令（网络与信息系统安全指令）进行针对性修订，重点解决企业合规中的模糊地带与成本问题。
具体优化包括：为2.87万家企业（含6200家小微企业）简化合规流程，新增“中小型企业”分类并适用宽松要求；统一数据泄露报告格式与时限（严重事件72小时内上报）；明确责任主体，避免企业间推诿扯皮；建立欧盟单一事件报告入口，便利跨国企业申报。
五、源头防控：强化“安全设计”全生命周期要求
草案进一步落地“安全设计（Security by Design）”原则，与《网络弹性法案》（CRA）的安全要求保持一致，避免企业重复合规。
核心要求覆盖产品全生命周期：设计阶段必须开展安全风险评估并植入安全要素；强制实施固件签名与安全启动机制，防范恶意代码植入；按产品类型承诺2-5年的安全更新支持，同时建立7×24小时漏洞响应机制，严重漏洞需14天内修复并通知用户。
六、专项治理：勒索软件防御体系升级
针对日益猖獗的勒索软件攻击，草案强化了专项防御机制：建立欧盟统一的勒索软件攻击数据收集框架，减少企业报告负担；强化成员国间信息共享与联合响应；为受攻击企业提供技术援助与恢复指导，降低业务中断损失。
实施路径与行业争议
目前草案仍需经欧盟理事会与欧洲议会三方谈判达成一致后正式生效，生效后成员国需在12个月内转化为国内法。认证框架优化将在生效后6个月实施，供应链限制措施则需待首个高风险供应商名单（预计2027年发布）公布后分阶段启动。
草案发布后也引发诸多争议：华为等企业认为，以地缘因素判定高风险供应商违背公平原则与WTO规则，可能推高欧盟基础设施建设成本；部分行业协会担忧，供应链限制可能导致市场供应短缺，加剧全球供应链重组压力。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前