事件经过
2026年10月22日，NIST发布了SP 800-221 Rev. 1的初始公开草案（IPD），题为“企业内ICT风险项目的治理与管理”，公开征求意见至2026年12月7日。该修订扩展了企业信息和通信技术风险管理（ICTRM），涵盖并整合网络安全、隐私、供应链、运营技术、物联网和“超级智能”。它更新了ERM部分以反映OMB通告A-123（2026），加强了与NIST IR 8286r1和CSF 2.0治理功能的协调，并根据NIST SP 1308增加了利用风险登记册进行风险知情的人力决策。
影响分析
这是该窗口期内首个正式将“超级智能”纳入企业ICT风险治理的NIST出版物，反映了2026年9月29日行政命令的重新定位。它为组织提供了一种机制，以财务、使命和声誉术语规范化和汇总AI/SI风险，并与常规企业风险并列——可直接用于高管在竞争性风险类型间分配资源，以及与CSF 2.0对齐。
建议行动
CISO和风险管理者应在2026年12月7日截止日期前审查并提交意见，并评估修订后的ICTRM方法如何将AI/超级智能风险整合到现有ERM和CSF 2.0治理中。