用途：为受监管行业（DORA 下的金融服务、NIS2 下的 KRITIS 行业）及任何有重要 ICT 第三方敞口的组织，提供风险导向的供应商评估框架，用于早期识别重大风险，并给出选择、合同校准与持续管理建议。
主要能力：三阶段评估流程——阶段一初筛（1-2 天，基础信息核验与快速风险指标，输出 go/no-go 备忘）；阶段二详细评估（1-2 周，覆盖财务、法律合规、安全技术、运营四个维度）；阶段三最终评估（3-5 天，风险评分、缓解策略与建议）。六维风险评分矩阵：财务 20%、运营 25%、合规 30%、安全 15%、声誉 5%、战略 5%；关键服务在安全与合规上权重加倍。评分 4.0-5.0 低风险、3.0-3.9 中风险、2.0-2.9 高风险、1.0-1.9 严重风险。另含 DORA 第 28-30 条关键供应商评估（含集中度风险、可替代性、ICT 再外包）、NIS2 第 21(2) 条十项安全措施映射、风险缓解策略、季度/年度/触发式持续监控，以及风险报告、评估摘要、对比矩阵、风险登记表、入驻清单等输出格式。
使用方式：按阶段推进，先初筛再深入；按服务关键性调整尽调深度；用评分校准合同条款；全程留存文档。资料未提供具体安装命令或调用方式。
适用场景：DORA 下云服务商评估、医疗 SaaS 评估、NIS2 供应链安全评估、PCI DSS 支付处理商尽调、FedRAMP 云基础设施评估、低风险服务快速筛查。
限制：仅为评估框架模板，不构成法律、财务或专业建议，不替代专业尽调服务，不保证供应商表现或消除风险。监管引用截至 2026-04-23，成员国 NIS2 转化进度不一，德国 NIS2UmsuCG 于 2025 年 12 月 6 日生效、BSI 报告门户 2026 年 1 月 6 日开放，使用前须在 EUR-Lex 与 Bundesgesetzblatt 核实最新文本与转化状态。