监管趋同，制度分野：克罗地亚与意大利医疗健康部门NIS2事件报告透明度比较

《Journal of Cybersecurity and Privacy》：Regulatory Convergence, Institutional Divergence: Comparing NIS2 Incident-Reporting Transparency in the Healthcare Sectors of Croatia and Italy

　　

(EU) 2022/2555号指令（NIS2）将医疗健康列为高关键性部门，转化截止日为2024年10月17日。二十七国中仅四国按期完成：克罗地亚提前八个月、意大利于截止日前一天完成转化。因两国形式监管差距很小——且主要文书上克罗地亚更占优——研究人员不问"是否"而问"如何"：在转化时间线近乎一致下，两国医疗部门事件报告的操作实践与透明度为何分野。基于新制度主义理论与信息安全经济学，研究人员综合文献并将两部转化文书对照原始法条比较。两者均忠实复刻NIS2通知时间线，故分野不能归因于法定义务差异。公开报告透明度由此被操作化为可测因变量：意大利国家网络安全局（ACN，2021年起自治机构）发布医疗专项数据，克罗地亚国家网络安全中心（NCSC-HR，2025年起方为主管机关）仅发布聚合数据。不对称源于自治性与授权而非机构年龄。研究人员提出可移植的四指标透明度指数，并在双编码者试点中演示（加权κ=0.80）；独立事件构成交叉校验与该不对称一致。

研究背景与问题提出

(EU) 2022/2555号指令（NIS2）将医疗健康列入附件I高关键性部门，要求成员国于2024年10月17日前完成国内法转化。欧盟委员会2024年11月28日通报显示，二十七国中仅比利时、克罗地亚、意大利、立陶宛四国按期转化。克罗地亚?《网络安全法》（ZKS）2024年2月15日生效，早于截止日八个月，但其细化实施条例迟至2024年11月21日方生效；意大利实施令2024年10月1日刊登于《官方公报》、10月16日生效，距截止日仅一天。两国主要文书时间线近乎重合，克罗地亚甚至领先，故"是否转化"或"何时转化"已无比较价值。真正未被回答的问题是：面对近乎相同的强制性监管压力与几乎一致的时间线，两国在单一高关键性部门（医疗健康）的事件报告操作成熟度与公开透明度为何仍现分野。现有文献中，Schmitz-Berndt比较意大利与德国NIS转化仅止步法条层面，Busetti和Scanni仅评估意大利本国报告实践，无人将"医疗部门+克罗地亚意大利配对+公开报告透明度作为可测因变量"三者合一。该研究即填补此缺口。

主要技术方法

研究人员采用最相似系统设计并行：以新制度主义理论（强制/规范/文化—认知同构）与North制度经济学、信息安全经济学为框架；对两国主要法条及实施条例做逐条对照验证；以ACN公开医疗专项威胁报告、年度议会报告（Relazione al Parlamento）及NCSC-HR季度ZKS实施审查为源文档，由两名作者编码者按预设锚点对四指标（发布频率I1、医疗专项拆分I2、时间序列深度I3、方法学注释I4）各0–2评分，计算二次加权Cohen's κ；并以EuRepoC全球网络事件数据集v1.3.2（观察窗2000–2024，意大利接收方44起、克罗地亚5起关键基础设施事件）作独立构成交叉校验。样本均来自公开一手报告与第三方开源编码，无实验试剂或队列操作。

研究结果

1. 1.
   Introduction
   经法条核验，克罗地亚ZKS第65–71条与意大利实施令第25条均忠实转写NIS2第23(4)条24小时预警/72小时通报/中期报告/一月终报时间线；意大利法定义"incidente"与NIS2第6(6)条实质同义。但ACN公开所用的"evento cyber"并非意大利法令法定范畴，系监测广义概念，故意克两国公布数字不可直接通约，须先做定义调和。机构层面，ACN自2021年为自治专门机构，NCSC-HR于2025年方在情报安全局（SOA）内被正式指定主管机关，但其运营能力承袭自SOA既有职能——不对称不在"年龄"而在"自治性+专项授权"。
2. 2.
   Regulatory Background: NIS2 in the Healthcare Sector
   条文对照确认两国通知义务实质等价，分野不源自法条。表1列明双边义务侧栏一致。
3. 3.
   Literature Review and Research Gap
   三条脉络（跨境法条比较、医疗组织网络安全、事件报告技术/单国评估）均无"三轴交集"研究，本文定位即补此空。
4. 4.
   Theoretical Framework
   新制度主义解释"同规不同践"：强制同构（NIS2压力近似）收敛快于规范/文化—认知同构；North非正式约束与调整成本论、信息安全信息不对称/负外部性论共同支撑"透明度是公共品且供给国别差异"命题；以CREST IRM3与Institutional Cybersecurity Regulations Model为成熟度参照，Arbanas等信息安全文化指数建构为先例。
5. 5.
   Comparative Legal-Regulatory Analysis: Croatia and Italy
   时间表核验（表3、图1）重申两国形式转化近同时；机构形式对比重申ACN专门自治vs NCSS-HR情报系统内新指定单元。
6. 6.
   Materials and Methods: A Proposed Transparency Index
   四指标等权加总（0–8），源范围固定：I1/I3看系列整体，I2看最专项报告，I4看含定义附录的议会报告；透明界定为"公开报告流可观测属性"而非披露真伪。双编码者试点8单元，二次加权κ_w=0.80（未加权0.58），分歧仅在I4，经核对ACN议会报告"Definizioni"节与NCSC-HR季度 bulletin无定义后共识计分。
7. 7.
   Results: Pilot Application of the Transparency Index
   共识得分意大利8/8、克罗地亚3/8；两机构在I1（频率）同分，差幅全由I2（克低2）、I3（克低1）、I4（克低2）承载。EuRepoC构成校验显示意大利44起关键设施事件中医疗15起（34%）居首，克罗地亚5起过小无法排序，仅2起涉医疗——印证"非克国无事件，乃无细分公开流"。图2、图3分别可视化指数与构成。
8. 8.
   Discussion
   三论断：转化时序非成熟度代理；新制度主义下强制压力收敛快于规范/认知惯例；指数可判别且定位分野于"是否行业拆分+纵向深度+方法文档"而非"发布频次"。研究设计最相似系统非便利抽样；8单元κ仅作可行性指示；I2近定义性、I4锚点最模糊，故指数证"可测可分解"而非独立证因，因由归于法条授权的自治性与专项义务。未来三步：先调和"evento cyber"与法定"incidente"定义链；再将指数套用两国全序列报告并借EuRepoC/JRC医疗事件研究做构成比较；最后扩编码样本稳κ并修I4锚点。
9. 9.
   Conclusions（结论翻译）
   研究人员主张，克意近乎同步且近似的NIS2转化为形式合规时序作为两国医疗网络安全治理比较基准则分析力薄弱，应代之以公开事件报告透明度的可观测不对称为主信号。基于新制度主义与信息披露经济学，研究呈验法条时间线、指认文献具体缺口、提出可移植四指标透明度指数。法条对照获一方法论结论：ACN所用"evento cyber"非法定类，跨国量化比较障碍不在两国高度对齐的法典间，而在意大利法定通报数与ACN监测广义数之间，须先操作化调和。试点示明指数判别力（意8/8、克3/8），分野聚于行业拆分、序列深度与方法文档，反映机构形式——意大利专门自治机构之授权vs克罗地亚情报系统内新指定单元——而非机构年龄或转化时序。本文贡献在概念与方法而非确证：将数据不对称重构为实质发现，供给测量工具，并指明定义调和、全序列计分、编码者信度三项后续实证程序；该指数可移植至任一成员国对与任一附件I部门，为监测NIS2在联盟内实践透明度提供复用工具。论文发表于《Journal of Cybersecurity and Privacy》。