EN 18037 即《EN 18037:2025 行业网络安全评估指南》，是由欧洲标准化委员会（CEN）和欧洲电工标准化委员会（CENELEC）联合发布的欧洲标准，于 2025 年 4 月 3 日正式发布，旨在填补行业网络安全评估统一方法的空白，提升多利益相关方系统的网络安全水平。
一、制定背景
在数字化程度不断加深的背景下，确保复杂多利益相关方系统具备统一且完善的网络安全措施至关重要。然而此前，针对行业服务及其支持系统的网络安全管理，一直缺乏全面、一致的方法，EN 18037 正是为满足这一需求而制定 。
二、适用范围
聚焦于多行业的 ICT 系统，包括但不限于移动网络、数字身份、电子健康、公共交通和支付系统等领域。这些系统通常涉及多个利益相关方组织，各自承担特定角色以提供行业专属服务 。
三、核心评估流程及内容
业务流程情境化：从分析行业 ICT 系统所支撑的业务流程以及各利益相关方的业务目标入手，明确安全实施过程中不可或缺的关键资产与辅助资产。
资产和系统映射：对利益相关方控制的、与保护主要资产相关的 ICT 系统、产品及流程进行梳理，深入剖析行业系统架构，精准确定其预期用途。
网络威胁情报：借助网络威胁情报（CTI），获取攻击者类型、动机及能力等信息，从而优化分析资源配置，为定制化网络安全与保障要求提供有力支持。
风险评估：依据网络安全事件对业务目标的影响程度以及发生的可能性展开评估，其中可能性分析基于 CTI 判定的攻击者动机与能力。
参考级别：构建内部风险、安全、保证和攻击潜力的参考等级体系，该体系与 ISO/IEC 27005 的风险数据、ISO/IEC 15408 系列框架相结合，保障网络安全风险定义的一致性。
四、行业与社会效益
基于风险的决策：助力识别行业 ICT 架构各层级系统、服务及流程中的潜在风险，使组织能够依据自身风险承受能力合理优化投资配置，提高市场对认证要求的接受程度。
跨体系一致性：通过协调安全与保障等级的实施，实现认证结果在不同体系间的互认，提升供应商的运营效率，增强客户信任。
统一安全控制：建立通用的安全等级概念，推动可复用安全控制措施的开发。
对于各行业而言，EN 18037:2025 的发布带来了诸多积极影响：
1. 从合规角度看，企业能够依据这一统一标准，更清晰地了解自身在网络安全方面的责任与义务，确保满足法规要求，避免因不合规而面临的处罚风险。
2. 从发展角度看，它有助于企业识别自身网络安全的薄弱环节，合理配置资源进行优化和改进，提升企业自身的竞争力。例如在金融行业，银行可以借助该标准评估自身支付系统的安全性，及时发现潜在风险并加以修复，从而提升客户对银行的信任度，吸引更多客户。
3. 在跨组织协作方面，统一的评估标准使得不同企业之间在网络安全方面的沟通与合作更加顺畅，降低了协作成本，促进了行业生态的健康发展。
EN 18037:2025《行业网络安全评估指南》的发布，无疑是欧盟在网络安全领域的一项重大举措。它为各行业提供了一套科学、系统且实用的网络安全评估方法，对于保障行业的网络安全、推动数字经济的健康发展具有不可估量的价值。各行业企业应高度重视这一标准，积极将其应用到实际的网络安全管理工作中，共同筑牢网络安全防线，迎接数字化时代的新挑战与新机遇。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前