文章总结： 英国《网络安全与韧性法案》是对现行NIS条例的重大升级，将托管服务提供商和数据中心纳入监管，创设关键供应商指定权，赋予政府直接干预权力，并从事后补救转向事前预警的事件报告机制。最引人注目的是处罚上限大幅提高至全球营收的4%，对在英运营的外资企业形成强力威慑。无论企业总部位于何处，只要在英国提供服务，都将面临更严格的安全义务和更高的合规成本，企业需提前做好网络安全建设以应对新规。
综合评分： 86
文章分类： 政策法规,网络安全,供应链安全,数据安全,安全建设

最高4%全球营收罚款：英国《网络安全与韧性法案》如何”无差别”监管在英外企

原创

solarsec

solar应急响应团队

2025年11月17日 12:04
山东

导读

2025年11月12日，英国政府向议会提交了《网络安全与韧性法案》（Cyber Security and Resilience Bill）草案，标志着其国家关键信息基础设施（CNI）保护框架将迎来一次重大变革。

该法案是对现行《网络与信息系统条例》（NIS Regulations 2018）的重大修订与升级。英国政府明确指出，自2018年以来，网络威胁形势已发生根本性变化。2020年的评估报告显示，原有的NIS条例在实施中存在不足，已不足以应对日益增长的国家级行为者威胁和复杂的供应链攻击。

此举旨在从根本上提升英国关键服务的安全与韧性，确保国家安全。我们通过对法案系列情况说明书的深度研读，为您解析此次立法中的几项核心变革。

一、大幅扩展监管范围：MSP与数据中心被纳入

此次法案最显著的变化之一，就是将更多数字供应链中的关键服务提供商纳入强制监管。

纳管托管服务提供商 (MSP)法案将中型和大型”相关托管服务提供商“（Relevant Managed Service Providers）纳入监管范围。政府认识到，MSP（如IT外包、安全服务提供商）已成为攻击者（包括外国势力）的”高价值目标“，因为攻击者可利用MSP作为跳板，对多个下游客户发起一对多的供应链攻击。法案中的案例研究明确提到了英国国防部工资单服务商遭黑客攻击的事件，以此证明MSP失陷可能带来的连锁反应。未来，英国信息专员办公室（ICO）将作为MSP的主管机构。
纳管数据中心法案将数据中心运营商明确列为一类新的”基本服务“。文件指出，数据中心承载着英国经济和社会的关键数字基础设施，但此前却缺乏针对其安全和韧性的特定监管框架。新法案将填补这一空白，由英国通信管理局（Ofcom）和科学、创新与技术部（DSIT）共同监管。

二、强化供应链安全：创设”关键供应商”指定权

为解决供应链上游的集中性风险，法案赋予了监管机构一项全新的权力：指定”关键供应商” 。

监管机构现在有权评估为”基本服务运营商“（OES）提供服务的供应商，如果发现某个供应商（无论其是否属于MSP或数据中心）对于英国关键服务的运行至关重要，且其一旦出问题将导致重大连锁反应，监管机构就可以将其指定为关键供应商。

被指定的供应商将承担与OES同等的法定网络安全义务。法案特别引用了2024年发生的Synnovis（病理服务商）遭网络攻击事件，该事件导致伦敦多家医院的运营陷入混乱，以此证明了上游关键供应商对国家基本服务构成的巨大风险。

法案为”关键供应商”指定权提供的核心依据

三、应对能源转型风险：覆盖大型负荷控制商

为保障国家能源安全，特别是向”净零“排放目标过渡期间的电网稳定，法案将”大型负荷控制商“（Large Load Controllers）也纳入了监管。

这些机构通过控制电池储能系统等设备，在电网中扮演着日益重要的角色。法案认为，随着电网日益数字化，这些控制系统也面临着网络攻击的威胁。因此，能够协调控制100兆瓦（MW）或以上电力的负荷控制商，将被视为基本服务，承担相应的安全义务。

四、赋予政府直接干预权力

为应对迫在眉睫的国家安全威胁，法案授予了国务大臣（Secretary of State）两项新的直接干预权力：

直接指挥受监管实体：在面临国家安全风险的特定情况下，国务大臣有权绕过监管机构，直接向受监管的实体（包括OES、MSP等）发出具有法律约束力的指令，要求其采取特定行动或停止某些操作。文件在阐述此项权力的必要性时，明确提到了来自中国等国家行为者对英国关键基础设施（包括水利和交通）的威胁。
直接指挥监管机构：国务大臣同样被授予权力，可就国家安全相关事宜，向Ofcom、ICO等监管机构发出直接指令，要求其履行职责。

五、升级事件报告机制：从事后补救转向事前预警

这是法案在操作层面的最重大变化之一。现行的NIS条例仅要求在事件已”对服务连续性产生重大影响“后才报告。

新法案彻底改变了这一规则，引入了潜在事件报告义务。

扩大报告门槛：法案要求，任何”有可能对服务产生重大影响”的网络事件，即使破坏尚未发生，也必须上报。例如，在系统中发现勒索软件，即使其尚未激活导致服务中断，也必须报告。
收紧报告时限：法案引入了两阶段报告制度。受监管实体必须在意识到事件发生后的24小时内提交初步通知，并在72小时内提交包含更多细节的更新报告。

此举旨在让监管机构和国家网络安全中心（NCSC）能更早地介入，在威胁演变为重大破坏前提供支持，并及时向其他可能受影响的实体发出预警。

六、大幅提高处罚上限：建立强力威慑

为确保监管的严肃性，法案大幅提高了不合规的处罚力度，使其与欧盟通用数据保护条例GDPR等同等级别的数据保护法规看齐。目前，欧盟GDPR对于严重违规的处罚标准即为“最高2000万欧元或全球总营业额的4%（以较高者为准）”。

法案将处罚结构简化为两个层级：

标准违规：针对信息上报、注册等违规行为，最高罚款提升至850万英镑 。
严重违规：针对未能履行安全义务或事件报告义务等严重违规，最高罚款提升至1700万英镑，或全球总营业额的4%（以较高者为准）。

（重点分析） 值得注意的是，罚款基准是全球（Global）营业额，而非”英国“营业额。这一条款明确表明，法案对在英运营的跨国公司（包括中资在内的外资企业）具有同等的、甚至更强的威慑力。

无论母公司位于何处，只要其在英国的服务实体不合规，其整个集团的全球收入都将成为计算罚款的基准。这彻底排除了大型跨国公司利用英国分公司小体量来规避巨额处罚的可能性。

官方对于最高罚款指示

七、确保监管的敏捷性与有效性

为确保法案能跟上技术和威胁的演变速度，法案还包含了一系列“框架性”授权：

“面向未来”的授权 (Future-proofing)：法案赋予政府权力，未来可以通过“二级立法“（secondary legislation）的形式，快速更新监管范围（如增加新的行业领域）或修改安全义务，而无需每次都通过漫长的议会完整立法程序。
强化信息共享：建立更清晰的法律门户，允许监管机构之间、以及监管机构与政府通信总部（GCHQ）等情报部门之间，更顺畅地共享威胁信息。
（重点分析）明确的法律管辖权：法案明确规定，监管范围是基于”在英国提供服务“。对于总部不在英国的托管服务商（MSP）或数字服务商（RDSP），法案强制要求其必须在英国指定一名法律代表以接受法律文书。这一规定彻底打消了法不责众或域外豁免的侥幸心理，确保了法律对所有在英运营的实体（无论其总部在何处）的管辖权。
全额成本回收：授权监管机构向其监管的实体收取费用，以全额回收其履行NIS监管职能（如检查、执法）所产生的成本。

结语

英国《网络安全与韧性法案》的推出，是其国家网络防御战略的一次根本性转变。它标志着监管思路从被动合规转向了主动防御，将监管的触角史无前例地深入到了数字供应链的上游，并赋予了政府前所未有的干预权力和强大的执法威慑力。

对于所有在英国提供关键服务、托管服务、数据中心服务或作为其关键供应商的企业而言，无论其母公司总部位于何处，一个更高标准、更严要求的强监管时代即将来临。

参考资料来源：

https://www.gov.uk/government/publications/deleted-cyber-security-and-resilience-network-and-information-systems-bill-factsheets

以下是solar安全团队近期处理过的常见勒索病毒后缀：

勒索攻击作为成熟的攻击手段，很多勒索家族已经形成了一套完整的商业体系，并且衍生了多个分支团队，导致勒索病毒迭代了多个版本。而每个家族擅用的攻击手法皆有不同，TellYouThePass勒索软件家族常常利用系统漏洞进行攻击；Phobos勒索软件家族通过RDP暴力破解进行勒索；Mallox勒索软件家族利用数据库漏洞，如(mssql命令执行)及暴力破解进行加密，攻击手法极多防不胜防。

| | |
| — | — |
| 收录时间 | 相关文章 |
| 2024/12/12 | 【攻击手法分析】勒索病毒如何轻松绕过安全设备防线：第二篇-流量致盲，无声突破 |
| 2024/12/11 | 【攻击手法分析】勒索病毒如何轻松绕过安全设备防线：第一篇-驱动漏洞一击致命 |

有效的预防方法包括针对自身业务进行定期的基线加固、补丁更新及数据备份，在其基础上加强公司安全人员意识。

| | |
| — | — |
| 收录时间 | 相关文章 |
| 2024/06/27 | 【教程分享】勒索病毒来袭！教你如何做好数据防护 |
| 2024/06/24 | 【教程分享】服务器数据文件备份教程 |

案例介绍篇聚焦于真实的攻击事件，还原病毒家族的攻击路径和策略，为用户提供详细的溯源分析和防护启示；

| | |
| — | — |
| 收录时间 | 相关文章 |
| 2024/06/27 | 【案例介绍】赎金提高，防御失效：某上市企业两年内两度陷入同一勒索团伙之手 |
| 2024/01/26 | 【成功案例】某集团公司的Phobos最新变种勒索病毒jopanaxye解密恢复项目 |
| 2024/03/13 | 【成功案例】某集团公司的Phobos最新变种勒索病毒2700解密恢复项目 |
| 2024/04/01 | 【成功案例】间隔数月双团伙先后利用某ERP0day实施入侵和勒索的解密恢复项目 |
| 2024/04/26 | 【成功案例】利用多款国产内网渗透工具勒索数十台虚拟机的babyk解密恢复项目 |
| 2024/05/17 | 【成功案例】RDP暴露引发的蝴蝶效应：LockBit组织利用MSF工具及永恒之蓝漏洞进行勒索入侵 |
| 2024/11/28 | 【成功案例】lockbit家族百万赎金不必付！技术手段修复被加密的数据库，附溯源分析报告 |
| 2025/10/23 | 【成功案例】成功挫败 888 勒索家族历时半年的百万赎金勒索，应急处置全流程高效修复，避免千万损失并获客户赠送锦旗 |

漏洞与预防篇侧重于技术层面的防御手段，针对病毒利用的漏洞和安全弱点，提出操作性强的应对方案：

| | |
| — | — |
| 收录时间 | 相关文章 |
| 2025/01/08 | 【漏洞与预防】RDP弱口令漏洞预防 |
| 2025/01/21 | 【漏洞与预防】MSSQL数据库弱口令漏洞预防 |
| 2025/02/18 | 【漏洞与预防】远程代码执行漏洞预防 |
| 2025/04/10 | 【漏洞与预防】Atlassian Confluence存在远程代码执行漏洞 |
| 2025/04/17 | 【漏洞与预防】畅捷通文件上传漏洞预防 |
| 2025/05/27 | 【漏洞与预防】Microsoft Windows 文件资源管理器欺骗漏洞预防 |
| 2025/09/02 | 【漏洞与预防】Redis CVE-2025-32023 RCE漏洞验证与预防 |

应急响应工具教程篇重点分享应急响应过程中常用工具的安装、配置与使用说明，旨在帮助读者快速掌握这些工具的操作流程与技巧，提高其在实际应急场景中的应用熟练度与效率。

如果您想了解有关勒索病毒的最新发展情况，或者需要获取相关帮助，请关注“Solar应急响应团队”。

全国热线| 400-613-6816

更多资讯| 扫码加入群组交流

喜欢此内容的人还喜欢

Solar应急响应团队

【病毒分析】新版勒索病毒MEDUSA LOCKER 首发深度分析

Solar应急响应团队

【成功案例】成功挫败 888 勒索家族历时半年的百万赎金勒索，应急处置全流程高效修复，避免千万损失并获客户赠送锦旗 Solar应急响应团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：solar应急响应团队 solarsec《最高4%全球营收罚款：英国《网络安全与韧性法案》如何”无差别”监管在英外企》

Tags: 供应链安全安全建设政策法规数据安全网络安全

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

最高4%全球营收罚款：英国《网络安全与韧性法案》如何”无差别”监管在英外企

一、 大幅扩展监管范围：MSP与数据中心被纳入

二、 强化供应链安全：创设”关键供应商”指定权

三、 应对能源转型风险：覆盖大型负荷控制商

四、 赋予政府直接干预权力

五、 升级事件报告机制：从事后补救转向事前预警

六、 大幅提高处罚上限：建立强力威慑

七、 确保监管的敏捷性与有效性

结语

【成功案例】成功挫败 888 勒索家族历时半年的百万赎金勒索，应急处置全流程高效修复，避免千万损失并获客户赠送锦旗 Solar应急响应团队

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

一、大幅扩展监管范围：MSP与数据中心被纳入

二、强化供应链安全：创设”关键供应商”指定权

三、应对能源转型风险：覆盖大型负荷控制商

四、赋予政府直接干预权力

五、升级事件报告机制：从事后补救转向事前预警

六、大幅提高处罚上限：建立强力威慑

七、确保监管的敏捷性与有效性