NIS2, organisasi dan pembekal perisian: apa yang perlu dilakukan oleh kedua-dua pihak

01Kedudukan NIS2 pada Oktober 2026

Arahan NIS2 (membuka laman web luar), iaitu Arahan (EU) 2022/2555, diterbitkan dalam Jurnal Rasmi pada 27 Disember 2022 dan berkuat kuasa pada 16 Januari 2023. Negara Anggota perlu menerima pakai dan menerbitkan langkah negara mereka menjelang 17 Oktober 2024 dan menggunakannya mulai 18 Oktober 2024, iaitu hari Arahan NIS yang pertama dimansuhkan.

Oleh sebab NIS2 ialah arahan, yang mengikat sesebuah organisasi ialah undang-undang negara yang mentransposisikannya. Transposisi tidak seragam: sesetengah Negara Anggota mula menggunakan undang-undang mereka tepat pada masanya, yang lain hanya pada 2025 atau 2026, dan Suruhanjaya Eropah telah memulakan prosiding pelanggaran terhadap Negara Anggota yang terlepas tarikh akhir. Oleh itu, kewajipan pendaftaran, portal pelaporan dan penyelia berbeza mengikut negara.

02Entiti asasi dan entiti penting

NIS2 terpakai kepada entiti awam dan swasta dalam sektor Lampiran I (kritikal tinggi: tenaga, pengangkutan, perbankan, infrastruktur pasaran kewangan, kesihatan, air minuman, air sisa, infrastruktur digital, pengurusan perkhidmatan ICT, pentadbiran awam dan angkasa lepas) dan Lampiran II (sektor kritikal lain: perkhidmatan pos dan kurier, pengurusan sisa, bahan kimia, makanan, pembuatan, penyedia digital dan penyelidikan). Sebagai peraturan am, ia meliputi organisasi bersaiz sederhana dan besar. Sesetengah entiti termasuk dalam skop tanpa mengira saiz, seperti penyedia perkhidmatan amanah, penyedia perkhidmatan DNS dan entiti kerajaan pusat.

Perkara 3 kemudian membahagikan organisasi ini kepada dua kategori:

• Entiti asasi (essential entities): terutamanya organisasi besar dalam sektor Lampiran I, serta entiti yang asasi tanpa mengira saiz, seperti penyedia perkhidmatan amanah yang layak, pendaftar domain peringkat tertinggi, penyedia perkhidmatan DNS dan entiti kerajaan pusat. Entiti ini diselia secara proaktif, yang boleh merangkumi audit dan pemeriksaan di lokasi.
• Entiti penting (important entities): organisasi lain dalam skop Lampiran I dan II. Penyeliaan dibuat secara ex post: pihak berkuasa bertindak apabila ada petunjuk bahawa entiti itu tidak mematuhi peraturan.

Kedua-dua kategori mempunyai kewajipan teras yang sama: langkah pengurusan risiko (Perkara 21), pelaporan insiden (Perkara 23) dan akauntabiliti pengurusan (Perkara 20). Perbezaannya terletak pada penyeliaan dan denda. Bagi pelanggaran Perkara 21 atau 23, undang-undang negara mesti membenarkan denda maksimum sekurang-kurangnya EUR 10 juta atau 2 peratus perolehan tahunan sedunia bagi entiti asasi, dan sekurang-kurangnya EUR 7 juta atau 1.4 peratus bagi entiti penting, mengikut mana yang lebih tinggi. Negara Anggota memutuskan sama ada, dan sejauh mana, denda terpakai kepada entiti pentadbiran awam.

Adakah pembekal perisian anda sendiri termasuk dalam skop?

Menulis perisian bukan, dengan sendirinya, sektor NIS2. Namun pembekal masih boleh termasuk dalam skop secara langsung. Lampiran I meliputi penyedia perkhidmatan terurus, dan NIS2 mentakrifkannya secara luas: entiti yang memasang, mengurus, mengendalikan atau menyelenggara produk, rangkaian, infrastruktur atau aplikasi ICT bagi pelanggan, di lokasi atau dari jauh. Pembekal bersaiz sederhana atau lebih besar yang mengendalikan atau menyelenggara aplikasi bagi pelanggannya mungkin tertakluk kepada NIS2 dengan sendirinya, begitu juga penyedia pengkomputeran awan dan pusat data. Bagi penyedia ini, Peraturan Pelaksanaan (EU) 2024/2690 (membuka laman web luar) memperincikan keperluan teknikal.

Walau bagaimanapun, kebanyakan pembekal perisian berdepan dengan NIS2 melalui pelanggan mereka, yang menukar kewajipan rantaian bekalan mereka sendiri menjadi klausa kontrak, soal selidik dan audit. Produk perisian juga diliputi oleh Akta Daya Tahan Siber (membuka laman web luar), Peraturan (EU) 2024/2847: kewajipan pelaporannya bagi kerentanan yang dieksploitasi secara aktif dan insiden teruk terpakai mulai 11 September 2026, dan kewajipan lain mulai 11 Disember 2027.

03Pembekal di Malaysia dan Akta Keselamatan Siber 2024

NIS2 bukan undang-undang Malaysia, tetapi ia sampai kepada syarikat di Malaysia dalam dua cara. Pertama, melalui pelanggan di EU: entiti dalam skop memindahkan kewajipan rantaian bekalan mereka kepada pembekal melalui kontrak, soal selidik dan audit, walau di mana pun pembekal itu berada. Kedua, secara langsung bagi penyedia digital tertentu: penyedia yang tidak ditubuhkan di EU tetapi menawarkan perkhidmatan di EU, antaranya penyedia pengkomputeran awan, pusat data, rangkaian penghantaran kandungan, perkhidmatan terurus dan perkhidmatan keselamatan terurus, perlu melantik wakil di sebuah Negara Anggota (Perkara 26).

Bagi kewajipan anda di Malaysia sendiri, rujukannya ialah Akta Keselamatan Siber 2024 (Akta 854), yang berkuat kuasa sejak 26 Ogos 2024 dan ditadbir oleh Agensi Keselamatan Siber Negara (NACSA). Akta ini mengenakan kewajipan kepada entiti Infrastruktur Maklumat Kritikal Negara (NCII), antaranya pemberitahuan insiden keselamatan siber dalam masa enam jam selepas entiti menyedarinya, dan butiran penuh dalam masa 14 hari selepas pemberitahuan itu (P.U.(A) 220/2024). Pembekal kepada entiti NCII biasanya diminta menyediakan bukti, terma kontrak dan kerjasama semasa insiden, seperti pembekal kepada entiti NIS2. Jika insiden melibatkan data peribadi, sejak 1 Jun 2025 PDPA juga mewajibkan pengawal data memaklumkan Pesuruhjaya Perlindungan Data Peribadi; menurut pekeliling Pesuruhjaya, dalam masa 72 jam, dan subjek data dalam masa 7 hari selepas itu jika kemudaratan yang ketara mungkin berlaku.

04Sepuluh langkah minimum Perkara 21

Perkara 21 menghendaki langkah teknikal, operasi dan organisasi yang sesuai dan berkadar, berdasarkan pendekatan semua bahaya. Langkah itu mesti mencerminkan teknologi terkini serta piawaian Eropah dan antarabangsa yang relevan, dan berkadar dengan pendedahan entiti kepada risiko, saiznya dan kemungkinan keterukan insiden. Sekurang-kurangnya, langkah itu meliputi:

1. 01dasar tentang analisis risiko dan keselamatan sistem maklumat;
2. 02pengendalian insiden;
3. 03kesinambungan perniagaan, seperti pengurusan sandaran dan pemulihan bencana, serta pengurusan krisis;
4. 04keselamatan rantaian bekalan, termasuk aspek keselamatan hubungan dengan pembekal langsung dan penyedia perkhidmatan;
5. 05keselamatan dalam perolehan, pembangunan dan penyelenggaraan rangkaian dan sistem maklumat, termasuk pengendalian dan pendedahan kerentanan;
6. 06dasar dan prosedur untuk menilai keberkesanan langkah ini;
7. 07amalan asas kebersihan siber dan latihan keselamatan siber;
8. 08dasar dan prosedur tentang kriptografi dan, jika sesuai, penyulitan;
9. 09keselamatan sumber manusia, dasar kawalan akses dan pengurusan aset;
10. 10pengesahan pelbagai faktor atau pengesahan berterusan, serta komunikasi suara, video, teks dan kecemasan yang selamat, jika sesuai.

Langkah keempat dan kelima dalam senarai ini ialah tempat pembekal terlibat. Perkara 21(3) meminta entiti mengambil kira kerentanan khusus setiap pembekal langsung, kualiti keseluruhan produk dan amalan keselamatan siber pembekal itu, serta prosedur pembangunan selamatnya. Pelanggan anda dijangka melihat cara anda membina perisian, bukan sekadar apa yang anda serahkan.

05Pihak pengurusan meluluskan, mengawasi dan bertanggungjawab

Di bawah Perkara 20, badan pengurusan entiti asasi dan entiti penting mesti meluluskan langkah pengurusan risiko keselamatan siber, mengawasi pelaksanaannya dan boleh dipertanggungjawabkan atas pelanggaran. Ahlinya mesti mengikuti latihan, dan entiti digalakkan melatih pekerja mereka secara berkala juga. Bagi badan awam, peraturan negara tentang liabiliti institusi dan pegawai awam terus terpakai.

Ini mengubah perbincangan dengan pembekal. Lembaga yang perlu meluluskan langkah itu mahukan bukti yang boleh diikuti: pembekal mana yang menyokong perkhidmatan mana, risiko mana yang masih ada, dan apa yang benar-benar telah diuji.

06Pelaporan insiden: 24 jam, 72 jam, satu bulan

Perkara 23 menghendaki entiti melaporkan insiden yang ketara kepada CSIRT atau pihak berkuasa kompeten mereka. Insiden dianggap ketara jika ia telah menyebabkan, atau boleh menyebabkan, gangguan operasi yang teruk atau kerugian kewangan bagi entiti, atau kerosakan material atau bukan material yang besar kepada pihak lain. Pelaporan dibuat secara berperingkat:

Jika sesuai, entiti juga mesti memaklumkan penerima perkhidmatan mereka tanpa kelewatan yang tidak wajar tentang insiden ketara yang mungkin menjejaskan perkhidmatan itu. Undang-undang negara menambah borang dan portal mereka sendiri.

Jam mula berdetik apabila entiti menyedari insiden. Jika insiden bermula dalam sistem pembekal, pelanggan hanya dapat memenuhi tarikh akhir 24 jam apabila pembekal mengesannya, mengenal pastinya dan menyampaikannya dalam masa beberapa jam. Oleh itu, pengesanan, log dan saluran pemberitahuan yang dipersetujui ialah terma kontrak, bukan sekadar butiran kejuruteraan.

07Apa yang akan diminta oleh pelanggan NIS2 daripada pembekal perisiannya

Dalam amalan, Perkara 21 bertukar menjadi langkah teknikal dan bukti yang patut dapat ditunjukkan oleh pembekal tanpa memulakan projek baharu. Yang paling kerap diminta:

• Kitaran hayat pembangunan yang selamat. Pemodelan ancaman bagi perubahan yang ketara, semakan rakan sejawat, ujian keselamatan automatik dan imbasan kebergantungan dalam saluran penyampaian, binaan yang ditandatangani dan senarai bahan perisian (SBOM) bagi setiap keluaran.
• Pengendalian dan pendedahan kerentanan. Cara yang diterbitkan untuk melaporkan kerentanan, masa tindak balas yang dipersetujui mengikut keterukan, dan notis kepada pelanggan apabila kerentanan menjejaskan persekitarannya.
• Kawalan akses bagi kakitangan pembekal. Akaun bernama, pengesahan pelbagai faktor, keistimewaan paling minimum, akses tinggi yang terhad masa dan log setiap tindakan pentadbiran dalam persekitaran pelanggan.
• Log dan bukti insiden. Peristiwa berkaitan keselamatan direkodkan dengan cap masa yang boleh dipercayai, disimpan bagi tempoh yang dipersetujui dan boleh dieksport, supaya pelanggan dapat menjawab soalan amaran awal dan laporan akhir.
• Kerjasama semasa insiden. Kenalan dan saluran yang dinamakan, masa pemberitahuan yang jauh lebih singkat daripada 24 jam pelanggan, dan sokongan dalam analisis punca utama.
• Kesinambungan dan pemulihan. Sandaran yang dibuktikan dengan memulihkannya, objektif pemulihan yang selaras dengan objektif pelanggan, dan prosedur yang telah dilatih.
• Dokumentasi rantaian bekalan. Senarai terkini subkontraktor dan lokasi pengehosan, serta komponen dan perkhidmatan pihak ketiga utama yang menjadi kebergantungan penyelesaian itu.
• Pelan keluar. Eksport data dalam format yang boleh digunakan, dokumentasi dan sokongan penyerahan, supaya pelanggan boleh menukar pembekal tanpa kehilangan kawalan ke atas perkhidmatan.

Semua ini bukan perkara baharu bagi pasukan kejuruteraan yang matang. Yang diubah oleh NIS2 ialah pelanggan mesti dapat membuktikannya. Halaman kepercayaan dan pematuhan kami menghuraikan cara kami bekerja sebagai pembekal, termasuk sistem pengurusan keselamatan maklumat kami yang diperakui ISO/IEC 27001.

08Senarai semak bagi kontrak dan perolehan

1. 01Petakan pembekal kepada perkhidmatan. Rekodkan pembekal yang menyokong perkhidmatan dalam skop, dan pembekal yang mempunyai akses kepada sistem atau data anda.
2. 02Klasifikasikan mengikut kekritikalan. Kenakan keperluan paling ketat kepada pembekal yang mengendalikan atau boleh mengubah sistem kritikal.
3. 03Tuliskan langkah ke dalam kontrak. Keperluan keselamatan, masa dan saluran pemberitahuan insiden, pengendalian kerentanan, log dan tempoh penyimpanan, hak audit atau bukti, peraturan subkontrak dan lokasi.
4. 04Minta bukti, bukan pengakuan. Sijil bersama skopnya, keputusan ujian, SBOM, tarikh ujian pemulihan terakhir.
5. 05Persetujui pelan keluar dari awal. Pemulangan data, sokongan peralihan dan tempoh pembekal terus mengendalikan perkhidmatan.
6. 06Berlatih bersama. Jalankan latihan insiden dengan pembekal kritikal anda, termasuk amaran awal 24 jam.
7. 07Semak secara berkala. Pembekal, perkhidmatan dan ancaman berubah; daftar pembekal yang dikemas kini setahun sekali sudah lapuk bagi sebahagian besar tahun itu.

09Undang-undang negara menentukan butirannya

Pendaftaran, portal pelaporan, borang, pihak berkuasa kompeten dan sebarang keperluan tambahan semuanya datang daripada undang-undang negara. Sesetengah Negara Anggota mengaitkan langkah Perkara 21 dengan rangka kerja atau pensijilan negara. Sebagai peraturan am, entiti tertakluk kepada Negara Anggota tempat ia ditubuhkan. Perkara 26 membuat pengecualian: penyedia komunikasi elektronik awam tertakluk kepada setiap negara tempat mereka menyediakan perkhidmatan, penyedia awan, pusat data dan perkhidmatan terurus serta beberapa penyedia digital lain tertakluk kepada negara tempat pertubuhan utama mereka, dan entiti pentadbiran awam tertakluk kepada negara yang menubuhkannya.

10Perkara yang perlu diperhatikan dalam beberapa bulan akan datang

• Transposisi di setiap Negara Anggota tempat anda atau pelanggan anda beroperasi: tarikh akhir pendaftaran, dekri pelaksanaan dan panduan pihak berkuasa.
• Cadangan Omnibus Digital (membuka laman web luar) Suruhanjaya Eropah bertarikh 19 November 2025, COM(2025) 837, yang akan menyalurkan laporan insiden di bawah NIS2, GDPR, DORA dan undang-undang lain melalui satu titik masuk tunggal yang dikendalikan oleh ENISA. Pada Oktober 2026, cadangan itu masih di hadapan Parlimen Eropah (membuka laman web luar)); sehingga ia diterima pakai dan terpakai, saluran dan tarikh akhir semasa kekal.
• Penilaian risiko EU yang diselaraskan bagi rantaian bekalan ICT kritikal di bawah Perkara 22, yang mesti diambil kira oleh entiti apabila memilih langkah bagi pembekal.
• Garis masa Akta Daya Tahan Siber bagi produk perisian, dengan pemakaian penuh mulai 11 Disember 2027.

Bagi entiti kewangan, Akta Daya Tahan Operasi Digital menggantikan peraturan NIS2 tentang pengurusan risiko ICT, pelaporan insiden dan penyeliaan; lihat artikel kami tentang DORA dan penyedia perkhidmatan ICT pihak ketiga. Suruhanjaya Eropah menyediakan gambaran keseluruhan NIS2 dan akta pelaksanaannya di halaman dasar NIS2 (membuka laman web luar).