一家公司在三个欧盟国家经营：NIS2 注册需求能界定服务范围了吗？
报价三国合规服务之前，先分开 NIS2 实体分类、主要设立地管辖与各国注册执行。
重点监测信号
- 一个具名法律实体和服务类别可按 NIS2 范围与国家法律核实
- 网络安全风险管理决定主要作出地，与销售办公室和基础设施位置被明确区分
- 申报、主管机关回复、客户审核或上线决定已有国家负责人和日期
一家公司在三个成员国经营，并不自动等于要做三份相同的 NIS2 注册。只有在服务商说清法律实体与服务、适用哪条 NIS2 管辖规则、各设立地和国家实施，以及由谁在何时完成哪项申报或主管机关动作后，需求才适合界定范围。“我们在法国、德国和西班牙销售”不是注册范围。
网络安全合规 BD 负责人会在企业主动连接且有权访问的云服务、托管服务和受监管行业 Telegram 群里遇到这类问题。他要找的 Signal 不是国家数量，而是阻挡上线、客户审核或主管机关回复的管辖/注册任务。晚一天可能错过国家法律会议；太早按三国报价，又可能承诺三次申报，而实际适用一条主要设立地路径，甚至根本不属于 Article 27。
下面是示意性复合消息，不是真实企业请求或法律结论：
“SaaS group 在德国、荷兰、法国都有 entity。客户说 NIS2 registrations 缺了，想找人三国都做。”
消息没有给出法律实体、服务类别、规模/范围依据、主要设立地、网络安全决定作出地、国家法律、主管机关、现有提交、客户要求和发言人权限。
最核心的误判，是把范围与注册卖成同一项服务
Directive (EU) 2022/2555即 NIS2，为规定的关键和重要实体设置欧盟层面的网络安全风险管理与事件报告要求。成员国应在 2024 年 10 月 17 日前完成国内转化。
但 NIS2 不是所有 Annex I/II 实体共用的一张欧盟申报表。第一步是范围分类：法律实体、行业、服务、规模，以及是否存在不论规模适用的规则。第二步才按 Article 26 判断管辖。只有两步完成，才知道国家注册或通知任务是什么。
欧盟委员会 NIS2 概览适合确认共同框架；当前国家法律与主管机关说明决定具体执行。销售不能把欧盟类别直接改写成国家表格。
一组跨境服务商采用主要设立地规则
Article 26 对 DNS 服务、顶级域名注册管理机构、域名注册服务、云计算、数据中心、内容分发网络、托管服务、托管安全服务、在线市场、在线搜索引擎与社交网络平台采用特殊管辖规则。
这些实体通常由欧盟内主要设立地所在成员国管辖。指令先看网络安全风险管理措施的决定主要在哪里作出；无法确定或决定不在欧盟作出时，再看网络安全运营地点；仍无法确定，才看欧盟内员工人数最多的设立地。
所以，服务器位置、销售办公室或公司注册证都不能单独定案。证据要包括董事会或管理责任、安全决定权限、运营团队和法律设立地。
其他实体可能需要另一张国家地图
主要设立地规则不是通用规则。Article 26 一般按实体设立地管辖，对公共电子通信服务、公共行政和点名跨境服务商另有规定。
一个在三国拥有制造子公司的工业集团，与向三国提供服务的一家云服务商，分析完全不同。即使集团安全团队集中，多个法律实体仍可能各自承担范围和国家义务。
这就是为什么“三个国家”不适合直接作为报价数量。有用单位是“实体—服务—管辖”的决定，以及它随后产生的国家动作。
Article 27 很具体，不是所有国家清单的统称
Article 27 要求成员国为点名跨境服务商收集注册信息，包括实体名称，行业、子行业和实体类型，主要及其他欧盟设立地或欧盟代表，现行联系方式，提供服务的成员国，以及 IP 地址范围。IP 是 Internet Protocol，即网络设备寻址所用的互联网协议。
信息变化要及时通知，最迟不得晚于变化发生后三个月。主管机关把规定信息交给 European Union Agency for Cybersecurity（ENISA，欧盟网络安全局），用于这些服务商的登记。
其他实体也可能要通过国家机制完成识别，以建立国家关键/重要实体名单。没有核对实体类别和国内法律依据前，不要把所有国家信息表都叫“Article 27 registration”。
非欧盟服务商需要代表，不是虚构一个设立地
点名 Article 26 服务商没有在欧盟设立、但向欧盟提供服务时，要在其提供服务的一个成员国指定代表。代表必须在欧盟设立，并由服务商明确书面授权处理 NIS2 义务。
代表不会因此变成服务商，也不会消除服务商责任。报价要分开代表服务、实体注册、法律范围意见和持续事件/风险管理合规。
最强反方：买方确实需要一个总负责人
跨欧洲经营的集团想找一家供应商统筹很合理。集中协调能减少重复访谈和数据不一致，却不会让法律输出变成同一份。
负责任的方案是一项协调计划加国家工作单：共同实体/服务清单、书面管辖理由、国家法律核对、主管机关/表格、适用语言、申报负责人和提交证据。一个商业合同可以包含多个不同法律任务。
服务范围备注分四层写
- **实体与服务：**准确法律实体、Annex 行业/服务和规模或特殊适用证据。
- **管辖：**普通设立地、主要设立地、服务国家或欧盟代表规则，以及支撑事实。
- **国家动作：**法律、主管机关、登记/表格、语言、字段和期限。
- **商业边界：**意见、代表授权、准备、提交、主管机关沟通和持续更新，逐项写明是否包含。
NIS2 指令与国家法律文章说明两层来源检查；事件报告而非注册问题，应走NIS2 预警路径；只有法规日期时，先做法规驱动需求判断。
TOP Prospect 能连接用户主动接入且有权访问的群中片段，保留来源和时间，去掉明显重复，并安排人工复核。它不能决定法律范围、无证据识别主管机关、签署代表授权、提交注册或联系发言人。定价页说明发现边界。
只有当服务商能解释每个法律实体为什么适用某条管辖规则、随后是哪项国家动作，三国请求才可交付。在此之前，应销售有边界的范围复核，而不是用乘法得出三次注册。
常见问题
在三个欧盟国家经营，就一定要做三次 NIS2 注册吗？
不一定。答案取决于实体与服务。Article 26 对指定跨境数字服务商采用主要设立地管辖规则，其他实体可能按设立地或服务提供地管辖；国家实施仍需另查。
哪些服务商采用 NIS2 主要设立地规则？
Article 26 点名 DNS、TLD 注册管理、域名注册、云计算、数据中心、内容分发网络、托管及托管安全服务、在线市场、在线搜索引擎与社交网络平台。
适用服务商没有在欧盟设立怎么办？
在欧盟提供服务的指定服务商要在其提供服务的成员国指定一名已设立的代表，并给予书面授权；这不会免除服务商本身义务。
Article 27 注册信息包括什么？
对于点名跨境服务商，信息包括实体名称、行业/类型、主要及其他欧盟设立地或代表、现行联系方式、提供服务的成员国和 IP 地址范围。变化要及时、最迟三个月内通知。
资料来源与延伸阅读
值得关注的潜在线索 Signal 是怎样被发现的
了解 Top商业线索怎样发现和整理值得核实的 Signal、保留 Telegram 原始上下文、去掉重复消息并安排查看顺序。是否跟进以及下一步做什么，仍由用户决定。
