2026年NIS2与勒索软件：格鲁吉亚企业应如何准备

勒索软件攻击不再仅仅是一个IT问题。2026年1月20日，欧盟委员会提出了一项网络安全一揽子计划，其中包含NIS2的具体变更以及加强勒索软件报告的措施。为欧盟客户提供服务、参与关键供应链或处理个人数据的格鲁吉亚企业可能同时面临合同、数据保护和网络安全义务。

NIS2为何对格鲁吉亚企业很重要

NIS2是一项欧盟指令，并非所有格鲁吉亚企业都会自动纳入其范围。然而，欧盟客户可能要求事件通知、风险管理、多因素认证、业务连续性和分包商控制。法律压力通常通过合同而非直接的监管义务施加。

委员会2026年的一揽子计划显示了预期的发展：隐瞒网络事件的成本越来越高，供应链安全需要自身的控制。合作伙伴应提前了解谁向谁报告、何时报告以及提供何种证据。

24小时响应计划

• 在不破坏证据的情况下遏制传播；不要仓促将系统恢复到出厂设置。
• 指定一名事件负责人、一个技术团队、一名管理层联系人和一名法律或数据保护负责人。
• 评估个人数据、商业秘密、客户账户或第三方系统是否受到影响。
• 保留日志、备份、电子邮件、勒索信和事件时间线。
• 根据适用制度的时限和程序通知客户和当局。

如果事件发生在格鲁吉亚

如果勒索软件影响到个人数据的保密性、完整性或可用性，则可能适用格鲁吉亚《个人数据保护法》。企业必须评估事件，记录决定，履行向受影响方通知和告知的相关义务，并且不应仅仅因为调查仍在进行而拖延。

未经授权的访问、数据篡改或销毁以及勒索也可能触发格鲁吉亚《刑法典》中关于网络犯罪的规定。合同将单独规定对客户的沟通、损害赔偿和恢复服务的义务。

合同应包含什么

• 事件定义和24小时联系渠道。
• 初始通知和更新的时限。
• 取证访问、记录保存和证据保护。
• 备份、业务连续性和恢复时间目标。
• 分包商责任和国际数据传输规则。
• 责任、赔偿和与监管机构的合作。

常见问题

• NIS2是否直接适用于格鲁吉亚企业？并非总是如此；需要评估行业、与欧盟的联系以及相应的国内转化情况。
• 企业可以支付赎金吗？只有在综合审查法律、制裁、保险和调查风险后才能决定。
• 律师何时应介入？从最初的几个小时起，因为遏制、数据保护、合同通知和可能的调查都是相互关联的。

主要来源：欧盟委员会，2026年网络安全一揽子计划：https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_26_105/IP_26_105_EN.pdf ；NIS2指令：https://eur-lex.europa.eu/eli/dir/2022/2555/oj ；格鲁吉亚《个人数据保护法》：https://www.matsne.gov.ge/en/document/view/5827307 ；格鲁吉亚《刑法典》：https://www.matsne.gov.ge/en/document/view/16426