对于被视为至关重要或重要的组织而言，合规性将不再局限于制定书面的网络安全政策；而是要能够证明他们有真正的能力来抵御、应对和从事件中恢复。.
随着责任从欧盟委员会转移到各国监管机构，欧盟的NIS2指令正进入更严格的执行阶段。由于该指令在各国国内法转化方面存在延误，被认定为关键或必要实体的组织不仅需要记录其网络安全政策，还需证明其具备预防、管理和应对网络安全事件的能力。2025年5月，欧盟委员会加大了施压力度，向19个尚未完全实施NIS2的成员国发布了理由充分的意见，使这些成员国面临在欧盟法院被起诉的风险。.
随着各国法规的不断演变，企业将面临日益严格的监管，包括注册要求、审计、合规性评估以及潜在的处罚。NIS2 指令的关键影响之一是，网络弹性和恢复能力成为核心合规义务。该指令强制要求采取全面的风险管理措施，包括业务连续性计划、备份、灾难恢复、危机管理、供应链安全、访问控制、加密和事件报告。企业必须能够证明其有能力在遭受大规模网络攻击时恢复关键系统并维持运营。.
勒索软件的威胁
这项要求出台之际，勒索软件仍然是企业持续运营面临的最大威胁之一。根据 Veeam 发布的《2025 年勒索软件趋势报告》，69% 的受访企业至少遭受过一次勒索软件攻击。这一数据表明，加强防御并不能取代健全的恢复策略。
攻击者越来越多地将目标对准备份环境，以阻止数据恢复并加大受害者的压力。如果备份数据可以被修改、删除或加密，企业不仅会面临运营中断的风险，还会面临违反监管规定的风险。
不变性的重要性
在此背景下，Object First 强调，拥有绝对不可变性的备份存储是任何弹性策略的关键组成部分。然而，该公司也提醒，并非所有标榜为不可变的备份存储解决方案都能提供相同级别的保护。其中一个最显著的区别在于，有了绝对不可变性，即使是拥有特权的管理员（或已获得存储环境访问权限的攻击者）也无法修改或删除已写入的备份数据。.
对于受该指令影响的组织而言，2026 年的首要任务将从仅仅进行形式上的准备转变为用具体证据证明其实际的应对能力。仅仅拥有业务连续性计划或备份策略将不再足够。监管机构、客户和合作伙伴将越来越要求组织提供证据，证明其能够在事件发生时恢复数据、维持运营并记录应对措施。.
声明
Object First全球销售高级副总裁 Daniel Fried 表示
：“借助 NIS2，弹性恢复能力不再仅仅是技术最佳实践，而是可衡量的合规性要求。企业必须证明其关键系统和数据在网络安全事件发生后能够恢复，从而确保业务连续性和运营稳定性。这使得备份的完整性更加重要，因为必须证明恢复数据在事件发生期间不会被攻击者修改、加密或删除。”
