NIS2 กับองค์กรและผู้ให้บริการซอฟต์แวร์: สิ่งที่ทั้งสองฝ่ายต้องทำ

01สถานะของ NIS2 ณ ปลายปี 2569

คำสั่ง NIS2 (เปิดเว็บไซต์ภายนอก) หรือคำสั่ง (EU) 2022/2555 ประกาศในราชกิจจานุเบกษาของสหภาพยุโรปเมื่อ 27 ธันวาคม 2565 และมีผลใช้บังคับเมื่อ 16 มกราคม 2566 ประเทศสมาชิกต้องออกและประกาศมาตรการภายในประเทศภายใน 17 ตุลาคม 2567 และใช้บังคับตั้งแต่ 18 ตุลาคม 2567 ซึ่งเป็นวันที่ยกเลิกคำสั่ง NIS ฉบับแรก

NIS2 เป็นคำสั่ง (directive) สิ่งที่ผูกพันองค์กรจึงเป็นกฎหมายภายในที่อนุวัติการคำสั่งนี้ การอนุวัติการไม่สม่ำเสมอ บางประเทศสมาชิกใช้บังคับกฎหมายตรงเวลา บางประเทศเพิ่งใช้บังคับในปี 2568 หรือ 2569 และคณะกรรมาธิการยุโรปได้เริ่มกระบวนการเอาผิดกับประเทศสมาชิกที่ไม่ทันกำหนด หน้าที่ลงทะเบียน ช่องทางรายงาน และหน่วยงานกำกับจึงต่างกันในแต่ละประเทศ

02หน่วยงานสำคัญยิ่งและหน่วยงานสำคัญ

NIS2 ใช้กับหน่วยงานภาครัฐและเอกชนในภาคส่วนตามภาคผนวก I (ภาคส่วนที่มีความสำคัญสูง ได้แก่ พลังงาน คมนาคม ธนาคาร โครงสร้างพื้นฐานตลาดการเงิน สาธารณสุข น้ำดื่ม น้ำเสีย โครงสร้างพื้นฐานดิจิทัล การบริหารบริการ ICT การบริหารราชการ และอวกาศ) และภาคผนวก II (ภาคส่วนสำคัญอื่น ได้แก่ ไปรษณีย์และขนส่งพัสดุ การจัดการของเสีย เคมีภัณฑ์ อาหาร การผลิต ผู้ให้บริการดิจิทัล และการวิจัย) โดยหลักใช้กับองค์กรขนาดกลางและขนาดใหญ่ บางประเภทอยู่ในขอบเขตโดยไม่คำนึงถึงขนาด เช่น ผู้ให้บริการความน่าเชื่อถือ ผู้ให้บริการ DNS และหน่วยงานบริหารราชการส่วนกลาง

มาตรา 3 แบ่งองค์กรเหล่านี้เป็น 2 กลุ่ม

• หน่วยงานสำคัญยิ่ง (essential entities): ส่วนใหญ่เป็นองค์กรขนาดใหญ่ในภาคส่วนตามภาคผนวก I รวมถึงหน่วยงานที่สำคัญยิ่งโดยไม่คำนึงถึงขนาด เช่น ผู้ให้บริการความน่าเชื่อถือที่ได้รับการรับรอง ผู้จดทะเบียนโดเมนระดับบนสุด ผู้ให้บริการ DNS และหน่วยงานบริหารราชการส่วนกลาง หน่วยงานกลุ่มนี้อยู่ภายใต้การกำกับเชิงรุก ซึ่งอาจรวมถึงการตรวจสอบและการตรวจ ณ สถานที่
• หน่วยงานสำคัญ (important entities): องค์กรอื่นที่อยู่ในขอบเขตของภาคผนวก I และ II การกำกับเป็นแบบหลังเหตุ คือหน่วยงานกำกับจะดำเนินการเมื่อมีข้อบ่งชี้ว่าองค์กรไม่ปฏิบัติตาม

ทั้งสองกลุ่มมีหน้าที่หลักเหมือนกัน ได้แก่ มาตรการบริหารความเสี่ยง (มาตรา 21) การรายงานเหตุการณ์ (มาตรา 23) และความรับผิดชอบของผู้บริหาร (มาตรา 20) ความต่างอยู่ที่การกำกับและค่าปรับ สำหรับการฝ่าฝืนมาตรา 21 หรือ 23 กฎหมายภายในต้องให้ปรับได้สูงสุดอย่างน้อย 10 ล้านยูโร หรือร้อยละ 2 ของรายได้ต่อปีทั่วโลก สำหรับหน่วยงานสำคัญยิ่ง และอย่างน้อย 7 ล้านยูโร หรือร้อยละ 1.4 สำหรับหน่วยงานสำคัญ แล้วแต่จำนวนใดสูงกว่า ประเทศสมาชิกตัดสินใจเองว่าจะใช้ค่าปรับกับหน่วยงานบริหารราชการหรือไม่ และในระดับใด

ผู้ให้บริการซอฟต์แวร์อยู่ในขอบเขตเองหรือไม่

การเขียนซอฟต์แวร์ไม่ใช่ภาคส่วนตาม NIS2 โดยตัวเอง แต่ผู้ให้บริการก็อาจอยู่ในขอบเขตโดยตรงได้ ภาคผนวก I ครอบคลุมผู้ให้บริการจัดการ (managed service providers) และ NIS2 นิยามไว้กว้าง คือผู้ที่ติดตั้ง บริหาร ดำเนินงาน หรือบำรุงรักษาผลิตภัณฑ์ ICT เครือข่าย โครงสร้างพื้นฐาน หรือแอปพลิเคชันให้ลูกค้า ทั้งที่สถานที่ของลูกค้าและจากระยะไกล ผู้ให้บริการขนาดกลางขึ้นไปที่ดูแลหรือบำรุงรักษาแอปพลิเคชันให้ลูกค้าจึงอาจอยู่ภายใต้ NIS2 ด้วยตนเอง เช่นเดียวกับผู้ให้บริการคลาวด์และศูนย์ข้อมูล สำหรับผู้ให้บริการเหล่านี้ระเบียบการบังคับใช้ (EU) 2024/2690 (เปิดเว็บไซต์ภายนอก)กำหนดข้อกำหนดทางเทคนิคไว้โดยละเอียด

อย่างไรก็ดี ผู้ให้บริการซอฟต์แวร์ส่วนใหญ่พบ NIS2 ผ่านลูกค้า ซึ่งแปลงหน้าที่ด้านห่วงโซ่อุปทานของตนเป็นข้อสัญญา แบบสอบถาม และการตรวจสอบ ผลิตภัณฑ์ซอฟต์แวร์ยังอยู่ภายใต้Cyber Resilience Act (เปิดเว็บไซต์ภายนอก) หรือระเบียบ (EU) 2024/2847 ด้วย หน้าที่รายงานช่องโหว่ที่ถูกใช้โจมตีจริงและเหตุการณ์ร้ายแรงใช้บังคับตั้งแต่ 11 กันยายน 2569 และหน้าที่อื่นใช้บังคับตั้งแต่ 11 ธันวาคม 2570

ผู้ให้บริการในประเทศไทยที่ให้บริการลูกค้าในยุโรป

NIS2 ไปถึงผู้ให้บริการในประเทศไทยได้ 2 ทาง ทางแรก ผู้ให้บริการดิจิทัลบางประเภทที่ไม่ได้ตั้งอยู่ในสหภาพยุโรปแต่ให้บริการในสหภาพยุโรป เช่น ผู้ให้บริการคลาวด์ ศูนย์ข้อมูล เครือข่ายส่งเนื้อหา (CDN) บริการจัดการและบริการจัดการด้านความปลอดภัย ตลาดออนไลน์ เครื่องมือค้นหา เครือข่ายสังคม และบริการ DNS กับโดเมน ต้องแต่งตั้งผู้แทนในประเทศสมาชิกที่ตนให้บริการ (มาตรา 26(3)) ทางที่สอง ซึ่งพบบ่อยกว่า คือผ่านสัญญากับลูกค้าในยุโรปที่อยู่ในขอบเขต รายการในหัวข้อถัดไปคือสิ่งที่ลูกค้าเหล่านั้นจะถาม

ในประเทศไทย กรอบที่ใกล้เคียงที่สุดคือ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ซึ่งประกาศในราชกิจจานุเบกษาเมื่อ 27 พฤษภาคม 2562 โดยมีสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เป็นหน่วยงานรับผิดชอบ และมี ThaiCERT ดำเนินงานภายใต้สำนักงานนี้ พ.ร.บ.ฉบับนี้กำหนดหน้าที่ของหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ซึ่งกำหนดผ่านหน่วยงานควบคุมหรือกำกับดูแลของแต่ละภาคส่วน (มาตรา 49) และประกาศเมื่อเดือนกุมภาพันธ์ 2567 กำหนดหน้าที่ของหน่วยงานเหล่านี้ เช่น การเฝ้าระวัง การทดสอบความพร้อม และการประสานงานกับ CERT ของภาคส่วนและ ThaiCERT ผู้ให้บริการไทยที่ดูแลระบบให้ทั้งหน่วยงาน CII ในประเทศและลูกค้าในยุโรป จึงใช้หลักฐานชุดเดียวกันตอบทั้งสองฝ่ายได้ในหลายเรื่อง แม้เกณฑ์และกำหนดเวลาจะต่างกัน

03มาตรการขั้นต่ำ 10 ข้อตามมาตรา 21

มาตรา 21 กำหนดให้มีมาตรการทางเทคนิค การปฏิบัติงาน และการบริหารจัดการที่เหมาะสมและได้สัดส่วน โดยคำนึงถึงภัยทุกรูปแบบ มาตรการต้องสะท้อนเทคโนโลยีที่ทันสมัยและมาตรฐานยุโรปกับมาตรฐานสากลที่เกี่ยวข้อง และได้สัดส่วนกับความเสี่ยงที่องค์กรเผชิญ ขนาดขององค์กร และความรุนแรงที่น่าจะเกิดจากเหตุการณ์ อย่างน้อยต้องครอบคลุม

1. 01นโยบายการวิเคราะห์ความเสี่ยงและความมั่นคงปลอดภัยของระบบสารสนเทศ
2. 02การจัดการเหตุการณ์
3. 03ความต่อเนื่องทางธุรกิจ เช่น การจัดการข้อมูลสำรองและการกู้คืนระบบจากภัยพิบัติ และการจัดการภาวะวิกฤต
4. 04ความมั่นคงปลอดภัยของห่วงโซ่อุปทาน รวมถึงด้านความมั่นคงปลอดภัยในความสัมพันธ์กับผู้ขายและผู้ให้บริการโดยตรง
5. 05ความมั่นคงปลอดภัยในการจัดหา พัฒนา และบำรุงรักษาระบบเครือข่ายและสารสนเทศ รวมถึงการจัดการและการเปิดเผยช่องโหว่
6. 06นโยบายและขั้นตอนในการประเมินว่ามาตรการเหล่านี้ได้ผลหรือไม่
7. 07สุขอนามัยไซเบอร์ขั้นพื้นฐานและการฝึกอบรมด้านความมั่นคงปลอดภัยไซเบอร์
8. 08นโยบายและขั้นตอนด้านวิทยาการเข้ารหัสลับ และการเข้ารหัสข้อมูลในกรณีที่เหมาะสม
9. 09ความมั่นคงปลอดภัยด้านบุคลากร นโยบายควบคุมการเข้าถึง และการบริหารทรัพย์สินสารสนเทศ
10. 10การยืนยันตัวตนแบบหลายปัจจัยหรือแบบต่อเนื่อง และการสื่อสารด้วยเสียง วิดีโอ ข้อความ และการสื่อสารฉุกเฉินที่ปลอดภัย ในกรณีที่เหมาะสม

ข้อ 4 และข้อ 5 คือจุดที่เกี่ยวกับผู้ให้บริการ มาตรา 21(3) ให้องค์กรคำนึงถึงช่องโหว่เฉพาะของผู้ขายโดยตรงแต่ละราย คุณภาพโดยรวมของผลิตภัณฑ์และแนวปฏิบัติด้านความมั่นคงปลอดภัยไซเบอร์ของผู้ขาย และขั้นตอนการพัฒนาอย่างปลอดภัย ลูกค้าจึงถูกคาดหวังให้ดูว่าผู้ให้บริการสร้างซอฟต์แวร์อย่างไร ไม่ใช่ดูเพียงสิ่งที่ส่งมอบ

04ผู้บริหารอนุมัติ กำกับ และรับผิดชอบ

ตามมาตรา 20 องค์กรบริหารของหน่วยงานสำคัญยิ่งและหน่วยงานสำคัญต้องอนุมัติมาตรการบริหารความเสี่ยงด้านความมั่นคงปลอดภัยไซเบอร์ กำกับการนำไปปฏิบัติ และอาจต้องรับผิดเมื่อมีการฝ่าฝืน กรรมการต้องเข้ารับการฝึกอบรม และองค์กรได้รับการส่งเสริมให้อบรมพนักงานอย่างสม่ำเสมอเช่นกัน สำหรับหน่วยงานภาครัฐ กฎหมายภายในเรื่องความรับผิดของหน่วยงานและเจ้าหน้าที่ของรัฐยังคงใช้บังคับ

เรื่องนี้เปลี่ยนการคุยกับผู้ให้บริการ คณะกรรมการที่ต้องอนุมัติมาตรการต้องการหลักฐานที่ตามได้ เช่น ผู้ให้บริการรายใดรองรับบริการใด ความเสี่ยงใดยังเหลืออยู่ และสิ่งใดผ่านการทดสอบจริงแล้ว

05การรายงานเหตุการณ์: 24 ชั่วโมง 72 ชั่วโมง และ 1 เดือน

มาตรา 23 กำหนดให้องค์กรรายงานเหตุการณ์สำคัญต่อ CSIRT หรือหน่วยงานที่มีอำนาจ เหตุการณ์ถือว่าสำคัญหากก่อหรืออาจก่อการหยุดชะงักในการดำเนินงานอย่างรุนแรงหรือความสูญเสียทางการเงินแก่องค์กร หรือความเสียหายทั้งที่เป็นตัวเงินและไม่เป็นตัวเงินอย่างมากแก่ผู้อื่น การรายงานแบ่งเป็นขั้น

ในกรณีที่เหมาะสม องค์กรต้องแจ้งผู้รับบริการของตนโดยไม่ชักช้าเกี่ยวกับเหตุการณ์สำคัญที่น่าจะกระทบบริการเหล่านั้นด้วย กฎหมายภายในแต่ละประเทศยังเพิ่มแบบฟอร์มและช่องทางรายงานของตนเอง

เวลาเริ่มนับเมื่อองค์กรทราบเหตุ ถ้าเหตุเริ่มในระบบของผู้ให้บริการ ลูกค้าจะทันกำหนด 24 ชั่วโมงได้ก็ต่อเมื่อผู้ให้บริการตรวจพบ ระบุได้ และส่งต่อภายในไม่กี่ชั่วโมง การตรวจจับ การบันทึกข้อมูล และช่องทางแจ้งเหตุที่ตกลงกันไว้จึงเป็นเงื่อนไขในสัญญา ไม่ใช่เพียงรายละเอียดทางวิศวกรรม

06สิ่งที่ลูกค้าภายใต้ NIS2 จะขอจากผู้ให้บริการซอฟต์แวร์

ในทางปฏิบัติ มาตรา 21 กลายเป็นมาตรการทางเทคนิคและหลักฐานที่ผู้ให้บริการควรแสดงได้โดยไม่ต้องตั้งโครงการใหม่ รายการที่พบบ่อยที่สุด ได้แก่

• วงจรการพัฒนาที่ปลอดภัย การวิเคราะห์ภัยคุกคามสำหรับการเปลี่ยนแปลงสำคัญ การตรวจโค้ดโดยเพื่อนร่วมทีม การทดสอบความปลอดภัยอัตโนมัติและการสแกนไลบรารีที่ใช้ในไปป์ไลน์ บิลด์ที่ลงลายมือชื่อ และรายการส่วนประกอบซอฟต์แวร์ (SBOM) ทุกรุ่นที่ออก
• การจัดการและการเปิดเผยช่องโหว่ ช่องทางรายงานช่องโหว่ที่เปิดเผยต่อสาธารณะ เวลาตอบสนองที่ตกลงตามระดับความรุนแรง และการแจ้งลูกค้าเมื่อช่องโหว่กระทบสภาพแวดล้อมของลูกค้า
• การควบคุมการเข้าถึงของบุคลากรผู้ให้บริการ บัญชีที่ระบุตัวบุคคล การยืนยันตัวตนแบบหลายปัจจัย สิทธิ์น้อยที่สุด สิทธิ์ระดับสูงที่จำกัดเวลา และบันทึกทุกการดำเนินการด้านการดูแลระบบในสภาพแวดล้อมของลูกค้า
• การบันทึกข้อมูลและหลักฐานเหตุการณ์ บันทึกเหตุการณ์ด้านความปลอดภัยพร้อมเวลาที่เชื่อถือได้ เก็บตามระยะเวลาที่ตกลง และส่งออกได้ เพื่อให้ลูกค้าตอบคำถามของการแจ้งเตือนเบื้องต้นและรายงานฉบับสุดท้ายได้
• ความร่วมมือเมื่อเกิดเหตุการณ์ ผู้ติดต่อและช่องทางที่กำหนดไว้ เวลาแจ้งเหตุที่สั้นกว่า 24 ชั่วโมงของลูกค้าอย่างชัดเจน และการช่วยวิเคราะห์ต้นเหตุ
• ความต่อเนื่องและการกู้คืน ข้อมูลสำรองที่พิสูจน์แล้วด้วยการกู้คืนจริง เป้าหมายการกู้คืนที่สอดคล้องกับของลูกค้า และขั้นตอนที่ซักซ้อมแล้ว
• เอกสารห่วงโซ่อุปทาน รายชื่อผู้รับจ้างช่วงและสถานที่โฮสต์ที่เป็นปัจจุบัน และส่วนประกอบกับบริการหลักจากบุคคลที่สามที่โซลูชันพึ่งพา
• แผนการออกจากบริการ การส่งออกข้อมูลในรูปแบบที่ใช้งานได้ เอกสาร และการช่วยส่งมอบงาน เพื่อให้ลูกค้าเปลี่ยนผู้ให้บริการได้โดยไม่เสียการควบคุมบริการ

ทั้งหมดนี้ไม่ใช่เรื่องใหม่สำหรับทีมวิศวกรรมที่มีความพร้อม สิ่งที่ NIS2 เปลี่ยนคือลูกค้าต้องแสดงให้เห็นได้ หน้าความเชื่อมั่นและการปฏิบัติตามกฎหมายอธิบายวิธีที่เราทำงานในฐานะผู้ให้บริการ รวมถึงระบบบริหารความมั่นคงปลอดภัยสารสนเทศของเราที่ได้รับการรับรอง ISO/IEC 27001

07รายการตรวจสอบสำหรับสัญญาและการจัดซื้อ

1. 01จับคู่ผู้ให้บริการกับบริการ บันทึกว่าผู้ให้บริการรายใดรองรับบริการใดที่อยู่ในขอบเขต และรายใดเข้าถึงระบบหรือข้อมูลขององค์กรได้
2. 02จัดระดับตามความสำคัญ ใช้ข้อกำหนดที่เข้มที่สุดกับผู้ให้บริการที่ดูแลหรือเปลี่ยนแปลงระบบสำคัญได้
3. 03เขียนมาตรการลงในสัญญา ข้อกำหนดด้านความปลอดภัย เวลาและช่องทางแจ้งเหตุ การจัดการช่องโหว่ การบันทึกและระยะเวลาเก็บ สิทธิ์ตรวจสอบหรือขอหลักฐาน กฎการจ้างช่วง และสถานที่ให้บริการ
4. 04ขอหลักฐาน ไม่ใช่คำรับรอง ใบรับรองพร้อมขอบเขต ผลการทดสอบ SBOM และวันที่ทดสอบกู้คืนครั้งล่าสุด
5. 05ตกลงเรื่องการออกจากบริการตั้งแต่ต้น การคืนข้อมูล การช่วยเปลี่ยนผ่าน และช่วงเวลาที่ผู้ให้บริการยังให้บริการต่อ
6. 06ซักซ้อมร่วมกัน ฝึกรับมือเหตุการณ์กับผู้ให้บริการสำคัญ รวมถึงการแจ้งเตือนเบื้องต้นภายใน 24 ชั่วโมง
7. 07ทบทวนอย่างสม่ำเสมอ ผู้ให้บริการ บริการ และภัยคุกคามเปลี่ยนอยู่เสมอ ทะเบียนผู้ให้บริการที่ปรับปรุงปีละครั้งจะล้าสมัยเกือบทั้งปี

08กฎหมายภายในเป็นผู้กำหนดรายละเอียด

การลงทะเบียน ช่องทางรายงาน แบบฟอร์ม หน่วยงานที่มีอำนาจ และข้อกำหนดเพิ่มเติม ล้วนมาจากกฎหมายภายใน บางประเทศสมาชิกเชื่อมมาตรการตามมาตรา 21 กับกรอบหรือการรับรองของประเทศ โดยหลัก องค์กรอยู่ภายใต้ประเทศสมาชิกที่ตนตั้งอยู่ มาตรา 26 มีข้อยกเว้น ผู้ให้บริการสื่อสารอิเล็กทรอนิกส์สาธารณะอยู่ภายใต้ทุกประเทศที่ให้บริการ ผู้ให้บริการคลาวด์ ศูนย์ข้อมูล บริการจัดการ และผู้ให้บริการดิจิทัลอื่นอีกหลายประเภทอยู่ภายใต้ประเทศที่เป็นสถานประกอบการหลัก และหน่วยงานบริหารราชการอยู่ภายใต้รัฐที่จัดตั้งหน่วยงานนั้น

09สิ่งที่ควรติดตามในช่วงหลายเดือนข้างหน้า

• การอนุวัติการในประเทศสมาชิกที่ลูกค้าของคุณตั้งอยู่ ได้แก่ กำหนดการลงทะเบียน กฎหมายลำดับรอง และแนวทางของหน่วยงานที่มีอำนาจ
• ข้อเสนอ Digital Omnibus (เปิดเว็บไซต์ภายนอก) ของคณะกรรมาธิการยุโรปลงวันที่ 19 พฤศจิกายน 2568 เลขที่ COM(2025) 837 ซึ่งจะให้การรายงานเหตุการณ์ตาม NIS2, GDPR, DORA และกฎหมายอื่นผ่านช่องทางเดียวที่ ENISA ดูแล ณ เดือนตุลาคม 2569 ข้อเสนอนี้ยังอยู่ระหว่างการพิจารณาของรัฐสภายุโรป (เปิดเว็บไซต์ภายนอก)) จนกว่าจะได้รับการรับรองและใช้บังคับ ช่องทางและกำหนดเวลาปัจจุบันยังคงเดิม
• การประเมินความเสี่ยงร่วมระดับสหภาพยุโรปของห่วงโซ่อุปทาน ICT ที่สำคัญตามมาตรา 22 ซึ่งองค์กรต้องนำมาประกอบการเลือกมาตรการด้านผู้ให้บริการ
• ลำดับเวลาของ Cyber Resilience Act สำหรับผลิตภัณฑ์ซอฟต์แวร์ ซึ่งใช้บังคับเต็มรูปแบบตั้งแต่ 11 ธันวาคม 2570

สำหรับสถาบันการเงิน Digital Operational Resilience Act ใช้แทนกฎของ NIS2 ในเรื่องการบริหารความเสี่ยง ICT การรายงานเหตุการณ์ และการกำกับ อ่านเพิ่มเติมในบทความDORA กับผู้ให้บริการ ICT บุคคลที่สาม คณะกรรมาธิการยุโรปสรุปภาพรวมของ NIS2 และกฎหมายลำดับรองไว้ในหน้านโยบาย NIS2 (เปิดเว็บไซต์ภายนอก)