产品功能
多框架合规真正让您付出的成本是什么
同时运行多个监管框架的成本在于重复。同一项加密控制措施、同一次访问权限审查、同一份第三方登记册、同一份事件说明，因为工具把它们放在彼此隔离的孤岛中，每个框架都要重新录入并重新提供证据。新增一个框架，繁琐工作不是简单增加，而是成倍增加。
下面五项能力都在解决同一个问题：一次录入事实，让平台在所有相关位置应用它。本文所述内容均已在产品中构建并验证。本文引用的监管截止期限指向官方文本，列于文末“主要来源”部分。
如果您只认真看待其中一项，请选择框架映射。其他四项是能在一周内节省数小时的便利功能。框架映射会改变整个项目的形态，因为它决定了第 4 个框架究竟是一个项目，还是两周内可以完成的工作。
功能 1
跨框架控制措施映射与实时传递
问题
一个“静态数据加密”控制措施，同时可以回应 ISO 27001、SOC 2、NIST CSF、欧盟 NIS2 指令、欧盟《通用数据保护条例》（GDPR）和 欧盟《数字运营韧性法案》（DORA）中的要求。如果您的工具把每个框架都当成一座孤岛，您就会实施一次，却记录六次。
Venvera 的控制措施框架映射基于43 个共享控制措施域构建，例如加密、密钥管理、访问控制、特权访问、日志记录与监控、事件报告、备份与恢复、供应商尽职调查、安全开发和职责分离。每个域都包含在各框架中满足该域的具体控制措施编号，因此一个域就是一行，您可以横向读取。
关键在于其背后的传递机制。当您在一个框架中将某项控制措施标记为已实施时，平台会把等效状态写入您已启用的其他每个框架中映射到的控制措施和差距评估问题，并记录它所执行的操作。
需要清醒地看待它的价值。传递移动的是状态，不能替代判断。两个框架都可能要求加密，但对“充分”的含义不同，而框架映射会很顺畅地基于一次实施把两者都标为绿色。请把传递而来的状态视为强提示，去进行核查，而不是已完成的答案。仅向前的规则也是出于同样原因：如果自动写入悄悄降低了您已经提供证据的事项，那比完全没有自动化更糟。
传递机制如何运行
仅向前，绝不降级
传递只会提升落后的目标。已有的更强状态会保持不变，因此自动写入绝不会悄悄削弱您已经提供证据的控制措施。
双向生效
任何框架都可以作为来源。一个已实施的 ISO 27001 控制措施会扩展到差距评估答案；一个有力的差距评估答案也会将等效控制措施标记为已实施。
可审计，不是魔法
每一次传递写入都会记录其来源，传递生成的答案也会被相应标识，因此审计师可以看到哪些记录是您填写的，哪些是框架映射推导出的。
实时状态，可筛选
每个单元格都会读取您的真实数据：控制措施框架读取实施状态，差距框架读取评估得分。可按域、框架或状态（合规、部分、差距）进行筛选。
结果
框架之间的重叠不再是负担，而开始成为杠杆。您为一项义务所做的工作会自动计入其他义务，框架映射会准确显示这些工作落在何处。
功能 2
证据只需上传一次，即可关联到其证明的每一项控制措施
控制措施映射只是重复工作的其中一半。另一半是材料本身：同一张加密配置截图、同一份访问权限审查导出、同一份渗透测试报告，为每次审计又一次上传到不同文件夹。
在 Venvera 中，当您把证据关联到某项控制措施时，也可以选择同一材料满足的其他控制措施，范围包括您有权编辑的任何框架。该文件会被存储一次，并链接到所有这些控制措施，因此同一材料无需再次上传，就能在每个框架中关闭该要求。
平台如何处理
- 一次上传、一个已存储文件、一个在其链接到的每项控制措施之间共享的文件引用。
- 证据可以是描述、文件，或二者兼有，并会相应标注类型（文档、截图、混合）。
- 权限按框架执行：您无权编辑的控制措施会被静默跳过，而不会被写入。
- 被拒绝的文件（过大、类型错误）会在任何内容被标记为已满足之前失败，因此失败的上传不会制造虚假的覆盖范围。
结果
框架映射会告诉您，同一要求出现在五个位置。证据复用则避免您为它证明五次。二者结合，正是新增一个框架不会让工作量成倍增加的原因。
功能 3
一个事件，同时按所有报告制度进行分析
问题
一次网络事件可能同时触发多个报告制度。欧盟《通用数据保护条例》（GDPR）第 33 条规定了向监管机构通知的 72 小时时限。欧盟 NIS2 指令第 23 条要求在 24 小时内发出早期预警，在 72 小时内提交事件通知，并在一个月内提交最终报告。欧盟《数字运营韧性法案》（DORA）的报告技术标准要求，在将事件分类为重大事件后 4 小时内提交初始通知，且不得晚于知悉事件后 24 小时；在该通知后 72 小时内提交中期报告，并在一个月内提交最终报告。没有人应该在事件正在发生时同时阅读三份法律文本。
这些相互重叠的时限，是对 EU 在此处立法方式的合理批评。每个制度单独看都有其合理性，但没有人对它们进行相互衔接排序，因此处于中断事件中的实体承担了整合成本。在立法层面修正之前，唯一理性的应对方式，是在一开始就根据已经录入的事实一次性计算截止期限。
Venvera 的分类引擎会读取您已记录的事件属性，并一次性按您已启用的每个制度进行评估。对于每个制度，它都会返回该制度是否被触发、匹配了哪些标准、置信度、带有到期时间戳的报告里程碑、法律依据，以及建议的后续行动清单。
引擎评估的内容
| 制度 | 引擎检查的标准 | 输出 |
|---|---|---|
| DORA | 七项影响标准：受影响的客户、受影响的交易、服务持续时间、数据丢失、关键或重要职能、经济影响、地域扩散范围。 | 重大或非重大，以及初始、中期、最终和根本原因里程碑及其到期时间戳。 |
| NIS2 | 六项标准：严重运营中断、财务损失、受影响人员、跨境影响、服务不可用、数据完整性或保密性泄露。 | 重大或非重大，以及早期预警、通知和最终报告里程碑。 |
| GDPR | 该事件是否构成个人数据泄露、所涉数据类别的敏感性、影响规模以及对个人的风险。 | 是否需要向主管机构报告，并单独判断是否必须告知受影响的个人。 |
| EU AI Act | AI 系统参与情况、对基本权利的影响、造成严重损害的可能性，以及影响范围。 | 将该事件标记为严重事件候选项，以便根据 AI Act 报告义务进行审核。 |
上述标准是引擎的运营解释，旨在提示您应关注的义务。它们是分诊辅助工具，而不是法律认定：对您具有约束力的分类阈值，仍以法规及其技术标准中的规定为准，最终判断仍由您的合规职能作出。
它如何体现在工作流中
- 键入时即可使用。在您仍在填写事件表单时，即可运行分类。
- 事件面板。事件详情视图会显示每项制度、匹配的标准，以及高、中或低的置信度评级。
- 建议操作。按触发的制度给出具体后续步骤，而不是原始结论。
- 可重新运行。随着事实逐步明确（识别出更多数据主体、财务影响得到澄清），可重新运行，分类结果会随之更新。
功能 4
跨您所运行各框架的单一合规健康评分
管理层不想逐个框架查看仪表板。他们想知道整体态势是否在改善。健康评分会为每个框架给出 0 到 100 分以及 A 到 F 等级，并基于您已启用的框架给出一个加权总体评分。
单一评分理应受到一定审慎看待，而这个评分最坦诚的依据在于其权重设置。差距评估的权重最高，因为它最接近外部人员会如何看待您的信号。策略覆盖范围的权重较小，因为在合规中，已批准策略是最容易做得好看的数字。请关注趋势和各框架徽章；总分负责把议题带上会议议程，而徽章才是您真正要讨论的内容。
四个信号及其各自权重
40%
差距评估
您对该框架正式评估问卷的回答
30%
控制措施实施
ISO 控制措施、SOC 2 准则、NIST 子类别、登记册和处理活动完整性
15%
运营健康状况
未关闭事件、事件解决速度以及策略是否为最新
15%
策略覆盖范围
已批准策略相对于全部策略的比例
等级按区间划分：80 及以上为 A，65 为 B，50 为 C，35 为 D，低于此为 F。总体评分采用加权平均而非简单平均，因为重量级监管制度不应被一个恰好达到 100 分的较轻框架稀释。该横幅位于仪表板顶部，并带有各框架徽章，可直接进入拉低分数的框架。
该评分是基于您自身数据得出的管理信号。它不是认证、鉴证，也不是监管机构对您的看法。
功能 5
将监管变化映射到您自己的记录
有两点使多个框架下的监管变化成本高昂。第一，像欧盟 NIS2 指令这样的指令并不是一本统一规则手册：每个成员国都会将其转化为本国法律，因此德国实体和爱尔兰实体需要回答的问题并不相同。第二，当更新发布时，必须有人判断它实际影响到您的哪些控制措施、策略和未结事项。
按国家跟踪国内转化
Venvera 在 NIS2 仪表板内跟踪27 个 EU 成员国的 NIS2 转化情况。对于每个国家，跟踪器都会记录转化状态、国家法律及其通过日期和生效日期、监管机构和国家 CSIRT、处罚制度、适用范围内的行业，以及国家法律偏离该指令的显著方式。如果您跨境运营，这就是一个 NIS2 方案与多个 NIS2 方案之间的区别。
这一点很容易被低估预算。阅读该指令只能让您了解义务的轮廓，却无法获得任何可执行细节，而工作量恰恰在细节之中：您应向哪个主管机构申报，本地实体属于哪些行业，国家法律在文本基础上增加了什么内容。如果您在多个成员国运营实体，应按每个国家分别安排沟通，而不是制定一套策略到处适用并寄望其可行。
基于您的实时数据评估变更影响
监管动态可以手动录入平台，也可以来自欧洲主管机构发布的公开信息源，包括 EBA、ESMA、ENISA、ECB、European Commission、EU AI Office 和 EUR-Lex。针对一项更新，只需一个操作即可评估其影响。
1
将更新映射到框架
更新中记录的受影响模块会被解析到其所属的框架。
2
查询您的实际记录
随后查看您自己的数据：受影响框架中的策略、ISO 27001 控制措施、差距评估和未关闭事件。
3
返回受影响项
每个命中项都会返回其类型、框架、当前状态，以及是否需要审核或采取行动。
4
按需生成任务
可选地，需要采取行动的项目会成为您看板上的任务，并标注相应框架，同时与同一更新下的未完成任务进行去重。
结果
问题从“这次更新意味着什么”转变为“以下是它影响的记录，其中哪些需要我们采取行动”。判断仍由您的团队作出；受影响记录的检索则不再需要人工完成。
这五项能力的作用，一表概览
每一行都在产品中构建并经过验证。
| 能力 | 它在 Venvera 中的作用 |
|---|---|
| 控制措施框架映射 | 43 个共享控制措施领域，每个领域显示已启用框架下的实时状态，并可按领域、框架和状态筛选。 |
| 状态传递 | 将某项控制措施标记为已实施后，会在其他已启用框架中提升等效控制措施或评估答案，仅向前传递，并保留审计日志。 |
| 证据复用 | 一个已上传的材料只存储一次，并在各框架之间链接到其满足的每一项控制措施，受您的权限约束。 |
| 事件分类 | 一次性将同一事件对照 DORA、NIS2、GDPR 和 EU AI Act 进行评估，并给出匹配标准、置信度、里程碑和建议措施。 |
| 合规健康评分 | 按框架提供 0 到 100 分评分和 A 到 F 等级，基于四项加权信号，并提供一个加权总体评分。 |
| NIS2 转置跟踪器 | 覆盖全部 27 个 EU 成员国的状态、国内法、主管机构、处罚、行业以及国家层面的差异。 |
| 监管影响评估 | 将一项更新映射到受影响的框架，识别其触及的策略、控制措施、评估和事件，并可生成去重后的任务。 |
底层机制
每一层都实现组织隔离
查询在 PostgreSQL 行级安全边界内运行，并在其上叠加明确的组织过滤器。一个组织的框架映射、证据或评分无法拉取另一个组织的行。
降级运行，而不是失败
框架映射和健康评分使用 Promise.allSettled 并行发起各框架查询。如果某个框架的数据不可用，则省略该框架，其余答案仍会返回。
传递不会循环，也不会降级
传递会携带每次调用的已访问集合，因此跨框架写入不会形成循环；并且如果目标已经达到或高于传递值，系统不会降低其状态。
由配置驱动
框架映射、健康评分和分类引擎都会读取为您的组织启用的框架集合。启用一个框架后，它会出现在这些能力中。
常见问题：多框架合规
什么是多框架合规？
指同时运行多个监管或认证框架，例如在 ISO 27001 之外，同时运行欧盟 NIS2 指令、欧盟《通用数据保护条例》（GDPR）和欧盟《数字运营韧性法案》（DORA）。这些框架在控制措施层面高度重叠，因此实际挑战在于捕捉这种重叠，而不是针对每个框架重复完成同样的工作。
一个控制措施真的可以同时满足多个框架吗？
在控制措施层面，可以：访问控制、加密、日志记录、事件报告和供应商尽职调查几乎出现在每一个框架中。Venvera 对 43 个此类共享领域进行建模；当您将其中一项标记为已实施时，系统会把等效状态写入您已启用的其他框架。它不会做的是凭空生成证据：工件仍然必须实际存在，并且仍需满足每个框架的具体措辞要求。
我是否必须为每个框架上传同一份证据？
不需要。当您将工件附加到某项控制措施时，可以选择它同时证明的其他控制措施，范围包括您可编辑的任何框架。文件只存储一次，并链接到所有相关控制措施。
自动分类会替我决定报告义务吗？
不会，也不应如此。它会根据各制度的标准评估事件，告知您哪些标准看起来被触发以及相应置信度，并列出报告里程碑，以便在事件仍处于进行中时不遗漏任何事项。最终判定仍由您依据法规及其技术标准作出。
为什么 NIS2 需要按国家跟踪？
因为 NIS2 是一项指令。成员国必须在 2024 年 10 月 17 日前将其转化为国内法，并且各国在适用范围、主管机构和处罚制度上有所不同。如果您在多个成员国运营，您遵守的是多部国家法律，而不是抽象意义上的指令本身。
主要来源
- GDPR，Regulation (EU) 2016/679，第 33 条（向监管机构通报个人数据泄露的 72 小时通知）：eur-lex.europa.eu/eli/reg/2016/679/oj
- NIS2，Directive (EU) 2022/2555，第 23 条（24 小时早期预警、72 小时通知、一个月内提交最终报告）和第 41 条（在 2024 年 10 月 17 日前转化）：eur-lex.europa.eu/eli/dir/2022/2555/oj
- DORA，Regulation (EU) 2022/2554，第 18 条和第 19 条（重大 ICT 相关事件的分类和报告）：eur-lex.europa.eu/eli/reg/2022/2554/oj
- Commission Delegated Regulation (EU) 2025/301，第 5 条（时限：分类后 4 小时内且不晚于知悉后 24 小时内作出初始通知，72 小时内提交中期报告，一个月内提交最终报告）：eur-lex.europa.eu/eli/reg_del/2025/301/oj
- EU AI Act，Regulation (EU) 2024/1689，第 73 条（严重事件报告）：eur-lex.europa.eu/eli/reg/2024/1689/oj
本产品更新描述的是截至 2026 年 7 月已在产品中构建并验证的 Venvera 能力。监管引用指向官方文本；请根据适用法规、其技术标准、您的国家转化法律或您的顾问确认当前义务。Venvera 支持就绪度和覆盖范围工作，但其本身并不能使组织实现合规或获得认证。
Venvera · 为受监管组织而构建 · 荷兰阿姆斯特丹
当框架来自不同国家以及不同标准机构时，要求会再次变化：实体、语言和各国转置都将纳入清单。关于多司法辖区合规软件的指南介绍了下一步。
