你可以把自家 IT 保护得堪称典范，却仍然停摆数日——因为出问题的并不是自家 IT。一旦共用的 IT 服务商、某个数据中心或某家软件供应商被攻击，所有依赖它的人都会受牵连。对许多政府机构和企业而言，相比直接攻击，这恰恰是更可能发生的停摆路径：自己的边界守住了，但其背后的服务却没了。
这已不再是一个边缘话题，而是受到监管的事项。NIS-2（欧盟网络与信息系统安全指令）与 DORA（数字运营韧性法案）把模糊的“供应链风险”变成了具体的义务。
为什么绕道而行如此有吸引力
攻击者是按经济账来盘算的。一家服务着 50 个市镇或律所的服务商，就是一根杠杆：一次入侵，众多受害者。正是那让共用运营变得可负担的集中度，成了被攻击的目标。而经由一个受信任的供应方切入——一次被篡改的更新、一个被入侵的远程运维通道——能绕过许多防御措施，因为它来自内部，来自一个人们所信任的源头。
NIS-2 与 DORA 究竟提出哪些具体要求
两套法规都明确地把责任向整条链条延伸：
- 评估供应商。 受监管的企业必须了解并评估其 IT 服务商的风险——不是一次性的，而是持续进行的。
- 强化合同。 DORA 要求金融企业与 ICT 服务商签订具体的合同条款：安全水平、审计权、报告义务、有序的退出方案。NIS-2 则更广泛地要求同等程度的审慎。
- 提供证明。 “我们信任我们的服务商”是不够的。所要求的是可查证的说明：它如何保障安全，如何上报，在紧急情况下反应有多快？
令人不适的另一面是：谁自己身为服务商，就必须能够提供这些证明——并且今后将据此被挑选。
这在实践中意味着什么
审查从向每一家关键服务商提出一些令人不适的问题开始：我们的数据存放在哪里？谁拥有远程访问权限，又是如何加以保护的？在事故发生时我们会被如何通知，在什么期限内？是否存在经过测试的恢复——而不仅仅是一份备份？还有：如果我们想更换服务商，会发生什么？得不到这些答案的人，并没有理解自身的风险，而只是把风险外包了出去。
我们如何提供帮助
作为一家业主自营的系统集成商，我们身处这条链条的两端。对于我们的客户，我们协助评估并加固其服务商，并提供 NIS-2 与 DORA 所要求的证明——持续的证明维护、上报流程、应急预案。而作为服务商，我们自己也公开同样的证明：有文档记录的运营、明确定义的上报路径、经过测试的恢复、一个随时可移交的环境。这一切，都在我们的 Compliance-Begleitung（合规陪伴） 与 Managed Services 框架内，按可预期的每月包干费提供。对供应链的信任固然是好事——但可查证的信任，才是立法者如今所要求的。