您的OT資安策略是否包含例行的軟體和硬體更新？如果沒有，您可能面臨EUR10000000或全球年營業額2%罰款的風險1。
為什麼？很簡單。到2024年10月，所有歐盟成員國都必須將歐盟修訂版網路與資訊系統安全指令（NIS2）納入法律。新指令明確規定，違反其規則的組織將面臨EUR10000000或全球年營業額2%罰款。其中一項規則明確指出，受該指令約束的組織必須制定資安政策，內容包括：
「……包含一套共同基準實務的網路衛生政策，包括軟體和硬體更新……」
比以往更多的組織受到更新指令的規範。這包括全新產業，如電信、化學、廢水處理和食品——這些都被視為對歐盟安全和經濟生活「必要」或「重要」的產業。NIS2第7條進一步強調，將有更多組織受到新指令的影響：
「國家資安策略應包括強化中小企業的網路韌性與網路衛生基準，特別是那些被排除在本指令範圍之外的企業……」
結論？幾乎每個在歐盟運營操作技術的組織現在都需要開始思考如何因應NIS2，否則將面臨違規的後果。
為什麼軟體更新在NIS2下是一項風險？
操作技術（OT）組織，無論是製造商還是基礎設施提供者，現場通常有數百甚至數千台設備。麥肯錫最近的一份報告估計，部分能源設施擁有多達30000台連網設備2。
這些設備中，許多也可能包含智慧連網元件，包括變頻器、工業交換器、可程式控制器、工業PC等。所有這些元件也可能有其專屬的軟體和硬體。
即使是規模較小的設施，包括生產環境相對較小的，也可能有數百台OT設備未經映射與管理。如果這些設備中哪怕只有一台運行過時軟體，導致資料外洩、營運中斷或其他重大問題，這就可能構成NIS2違規，並面臨後續罰款。
