意大利更新国家网络安全与数据保护框架：融合国际标准与本土实践​

2024年，意大利发布新版《国家网络安全与数据保护框架》（2025年版），标志着其在数字治理领域的又一次重要升级。该框架不仅吸纳了美国国家标准与技术研究院（NIST）《网络安全框架2.0》的核心方法论，还结合欧盟《网络与信息系统安全指令》（NIS2）和《通用数据保护条例》（GDPR）的要求，首次引入9项专门针对隐私保护的“DP控制措施”。这一举措被视为意大利在平衡国际标准与本土合规需求、弥合网络安全与数据保护鸿沟的典范。

一、框架背景：从战略规划到操作指南

意大利的网络安全框架最早可追溯至2015年的国家战略计划，2019年为适应GDPR进行首次修订。此次2025年版的更新，由罗马大学网络情报与信息安全研究中心（CIS）、意大利国家网络实验室（CINI）联合主导，在国家网络安全局（ACN）的监督下完成，历时两年多的多利益相关方磋商。

核心目标：

1. 可扩展性：适用于不同规模的公私机构，尤其是中小企业；

2. 操作性：将抽象的法规（如GDPR、NIS2）转化为具体管理流程；

3. 国际兼容性：通过对接NIST框架，降低跨国企业合规成本。

值得注意的是，该框架虽无法律强制力，但被设计为“自愿性工具”，帮助机构在风险治理、业务连续性和韧性建设中实现合规与最佳实践的平衡。

二、关键更新：隐私控制与NIST标准的本土化1. 新增隐私控制（DP Controls）

框架首次将数据保护嵌入网络安全方法论，新增9项以“DP”为前缀的控制措施，包括：

• DP-01 数据主体通知：明确告知义务的触发条件与内容标准；

• DP-02 法律依据管理：区分“同意”“合同履行”等GDPR合法性基础的适用场景；

• DP-03 隐私风险评估：要求将数据保护风险纳入整体网络安全风险评估模型。

这些措施直接回应了欧盟法院近年对“隐私设计”（Privacy by Design）的严格解释，尤其是2023年“Schrems III”案对数据跨境传输风险评估的细化要求。

意大利并未全盘照搬NIST框架，而是进行了三项关键调整：

• 监管对齐：将NIST的“识别-防护-检测-响应-恢复”五阶段模型与NIS2的“风险管理-事件报告”义务映射；

• 责任主体扩展：覆盖NIS2新增的能源、医疗等关键行业；

• 文化适配：弱化NIST的“自愿性”色彩，强调与GDPR的“问责制”原则结合。

这种“混合模式”被学术界称为“欧盟合规的实用主义路径”——既避免与美国标准冲突，又满足布鲁塞尔的监管审查。

三、行业影响：NIS2落地与合规协同

随着意大利通过第138/2024号立法令实施NIS2，新版框架的发布恰逢其时。其实际价值体现在三方面：

NIS2要求企业建立“适当的技术与组织措施”，但未明确具体标准。框架通过以下方式提供指引：

• 事件分级：引用ACN发布的“重大事件”判定参数（如影响10万用户或持续2小时以上的服务中断）；

• 技术缓解：推荐加密、日志留存等具体措施，并标注与GDPR的重叠条款（如第32条安全措施）。

传统上，数据保护官（DPO）与网络安全团队常因目标差异（如“最小化原则”vs.“冗余备份”）产生冲突。框架通过以下设计促进协作：

• 统一术语表：将“数据泄露”定义为同时触发GDPR第33条和NIS2第18条报告义务的事件；

• 联合流程：要求隐私影响评估（PIA）与网络安全测试同步进行。

针对资源有限的机构，框架提供“基础-进阶-全面”三级实施路径。例如，员工少于50人的企业可仅执行基础版DP控制（如DP-01和DP-03），而无需部署全套措施。

四、争议与挑战：主权与全球化的张力

尽管框架获得多数企业支持，但仍面临质疑：

部分欧盟议员批评其对NIST的依赖“可能削弱欧洲数字主权”，尤其是云计算供应链安全标准与美国高度一致。ACN对此回应称，框架“仅参考方法论，不含技术依赖”。

跨国公司在适用意大利框架时，可能面临与其他法域（如巴西LGPD）的流程矛盾。例如，DP-02要求记录所有法律依据，但LGPD允许部分场景无需明确分类。

由于框架的非强制性，法院是否会在诉讼中采纳其作为“合理努力”证据尚待观察。2023年意大利数据保护局（GPDP）对一家医院的处罚中，虽引用框架建议，但未将其作为免责依据。

五、全球启示：混合框架的未来

意大利的经验为其他国家提供了重要参考：

1. 技术中立，文化适配：核心标准可国际化，但必须嵌入本地法律语境；

2. 动态迭代机制：框架计划每三年修订，纳入新兴技术（如AI治理）；

3. 社区共建：通过ACN的“网络安全卓越中心”持续收集企业反馈。

深圳数智引领科技有限公司（简称：深圳数智引领）是一家专注于信息科技风险管理领域的咨询和培训机构。公司基于“数智赋能，创新引领”的理念，在信息科技风险管理咨询（评估、审计、认证）、培训、系统开发部署积累丰富的案例，为客户提供专业的一站式服务。公司是EXIN（Exam Institute for Information Science，国际信息考试学会）的官方授权单位，DPO（Data Protection Officer，数据保护官）认证官方授权培训单位。多家数据交易所的专业数据服务单位，包括深圳数据交易所、广州数据交易所、北京国际大数据交易所、贵阳大数据交易所、杭州数据交易所、浙江数据交易所等等。公司技术团队凭借领先的方法论、丰富的实践经验、优秀的服务态度、专业的服务意识，持续为银行、保险、证券、基金、能源、电信、大型国央企、外资等诸多企业客户提供着优质的信息技术风险管理咨询培训服务，受到行业客户的一致认可和广泛好评。