您的 OT 网络安全策略是否包括例行的软件和硬件更新？如果没有，您可能面临 EUR10000000 或全球年营业额 2 % 的罚款1。
为什么？很简单。到 2024 年 10 月，所有欧盟成员国都必须将欧盟修订后的网络和信息安全指令（NIS2 指令）纳入法律体系。新指令规定，对于违反其规则的组织，将处以 EUR10000000 或全球年营业额 2 % 的罚款。该指令中的一条规则明确规定，受该指令约束的组织必须制定网络安全政策，其中包括：
“……网络卫生政策，包括一套通用的基线实践，包括软件和硬件更新……”
更新后的指令涵盖的组织比以往任何时候都多。这包括全新的行业，如电信、化工、废水处理和食品——所有这些都被认为是欧盟安全和经济生活中“必要”或“重要”的组成部分。NIS2 指令第 7 条进一步强调了比以往任何时候都多的组织将受到新指令影响的事实：
“国家网络安全战略应包括加强中小企业的网络弹性和网络卫生基线，特别是那些被排除在本指令范围之外的企业……”
结论？几乎所有在欧盟运营 OT 的组织现在都需要开始考虑如何为 NIS2 指令做好准备，否则将面临违规的后果。
为什么软件更新在 NIS2 指令下构成风险？
无论是制造商还是基础设施提供商，OT 组织现场通常有数百甚至数千台设备。麦肯锡最近的一份报告估计，一些能源设施的联网设备多达 30000 台2。
这些设备中许多还可能包含智能互联组件，包括变频器、工业交换机、可编程控制器、工业 PC 等。所有这些组件也可能有自己的软件和硬件。
即使是规模较小的安装，包括相对较小的生产环境，也可能有数百台未映射和未管理的 OT 设备。如果其中任何一台设备运行过时的软件，导致数据泄露、运营中断或其他重大问题，这将是对 NIS2 指令的潜在违规，并可能导致后续罚款。
