LASSIC Media らしくメディア

EUで事業を営んでいる、あるいはEUの企業に製品やサービスを供給している。そんな企業のあいだで、名前を聞く機会が増えているのがNIS2指令です。EUが定めた、サイバーセキュリティに関する指令で、重要とされる分野の組織に、対策や報告を求めるものになります。加盟国が国内法へ落とし込む期限は2024年10月とされ、いま各国で運用が本格化しつつある段階です。

先に取り上げたEUサイバーレジリエンス法（CRA）が「製品」のセキュリティを対象とするのに対し、NIS2指令は「組織」の運用や体制に目を向けます。そしてこの指令もまた、EUの外にある企業に関わってくる場合があるのです。本記事では、EUと接点のある事業やシステム開発に携わる情報システム部門・事業部門の担当者に向けて、NIS2指令とは何か、誰が対象なのか、どんな対策や報告が求められるのか、受託・委託開発で何を押さえるべきかを整理します。なお、本記事は一般的な情報の整理であり、法的な助言ではありません。個別の適否は、公式文書や専門家にご確認ください。

EU NIS2指令とは

NIS2指令とは、EUが定めた、ネットワークと情報システムのセキュリティを底上げするための指令です。エネルギーや金融、医療といった、社会にとって欠かせない分野の組織に、サイバーセキュリティのリスク管理と、事故（インシデント）が起きたときの報告を義務づけています。以前からあったNIS指令を見直し、対象の分野を広げ、求める水準を引き上げた「強化版」にあたります。加盟国がこの指令を国内法へ移す期限は2024年10月とされ、いまは各国での適用が進む局面です。

ここで押さえておきたいのが、「指令（ディレクティブ）」という形をとっている点です。EUの規制には、そのまま各国に適用される「規則（レギュレーション）」と、各国が国内法へ落とし込んで初めて力を持つ「指令」があります。NIS2は後者にあたるため、具体的な決まりや水準は、国ごとの国内法によって細部が変わりうるのです。全体像を図にまとめました。

対象になる事業者

NIS2指令の対象は、重要とされる分野で事業を営む、中規模以上の組織です。対象分野は幅広く、エネルギー、運輸、金融、医療、上下水道、デジタル基盤、公共サービスといった社会の土台を支える領域から、製造、食品、廃棄物、郵便、デジタルサービスの提供者まで、多くの業種が視野に入っています。規模の面では、おおむね中規模以上の組織が対象の中心とされ、小さな事業者は原則として外れる形です。ただし、社会に与える影響が大きいと見なされる場合などには、規模にかかわらず対象になることもあります。

そして、この指令もEUの外にある企業に及ぶ場合があります。EU域内でサービスを提供する事業者であれば、拠点が域外にあっても関わりうるのです。加えて、対象となる組織へ製品やサービスを供給する立場でも、無縁とはいえません。後で触れるように、NIS2は供給網のセキュリティを重んじるため、対象組織の取引先にも間接的に影響が及ぶ形になります。まずは、自社がEUと、あるいは対象組織とどうつながっているかを見極めるところからです。

「必須」と「重要」の違い

NIS2指令は、対象となる組織を「必須（essential）」と「重要（important）」の二つに分けています。どちらに位置づけられるかで、当局による監督のあり方が変わるのです。おおまかな違いを整理しました。

「必須」に位置づけられる組織には、平時から立ち入りや資料の求めといった監督が及びやすく、より積極的に目が向けられます。いっぽう「重要」の組織は、問題が明らかになった後に監督が入る、いわば事後型の色合いが濃くなります。どちらであっても、求められるセキュリティ対策そのものの考え方は共通していますが、監督の重さや、違反したときの扱いには差が設けられているのです。自社がどちらに当たるのかは、分野と規模から見極めることになります。

求められるセキュリティ対策

NIS2指令が組織に求める対策は、技術面だけにとどまりません。おもだったものを挙げてみましょう。まず土台となるのが、リスク管理の措置です。自社のネットワークや情報システムにどんなリスクがあるかを見極め、それに見合った対策を、技術・運用・組織の各面で講じることが求められます。事故に備えた対応の手順や、事業を止めないための備え（事業継続）も、この中に含まれます。

次に、指令がとりわけ重んじるのが供給網（サプライチェーン）の対策です。自社だけでなく、取引先や委託先を通じて入り込むリスクにも目を配ることが求められます。委託先を含むサプライチェーンのセキュリティ管理は、NIS2の勘所の一つといえます。さらに特徴的なのが、経営層の責任を明確にした点です。サイバーセキュリティを現場任せにせず、経営の課題として引き受ける姿勢が問われます。片手間の対応では立ち行かない、という考え方が根っこにあるのです。

インシデントの報告義務

NIS2指令のなかでも、運用上の負荷が大きいのが報告の義務です。重大なインシデントが起きたとき、当局へ段階的に知らせることが求められます。広く知られているのが、次の三段階の流れです。まず、把握してから24時間以内に「早期の警告」を出す。続いて、72時間以内に、状況をより詳しく伝える「通知」を行う。そして、おおむね1か月以内に「最終的な報告」をまとめる、という段取りです。進行中の事案では、期限の扱いが変わる場合もあります。

期限は短く、体制のないまま迎えると立ち行かなくなりがちです。インシデントを把握したとき、誰が、どの順で、どこへ連絡し、記録を残すのか。この流れをあらかじめ決めておくことが、いざというときの支えになります。事故を受け止めて対応する社内の窓口、いわゆるCSIRTのような体制を整えておくと、報告の義務にも向き合いやすくなるでしょう。なお、これらの報告の細目は、各国の国内法によって定められる点にも留意が要ります。

日本企業に関わる理由と他の規制との関係

NIS2指令が日本企業に関わりうる理由は、二つの道筋で整理できます。一つは、EU域内でサービスを提供する場合です。拠点が日本にあっても、EUで一定のサービスを手がけるのであれば、対象になりえます。もう一つが、対象組織への供給を通じた道筋です。NIS2が供給網の対策を求める以上、対象組織は取引先にも一定の水準を期待します。EUの重要インフラ企業などにシステムや部品を納める立場であれば、その求めが自社に向かってくることも考えられます。

あわせて、EUの他の規制との関係も整理しておくと見通しが立ちます。EUサイバーレジリエンス法（CRA）が「製品」のセキュリティを対象とするのに対し、NIS2指令は「組織」の運用や体制を対象とします。守る対象が、モノなのか、組織の営みなのか、という違いです。実務では、両方が同時に視野に入る場面も少なくありません。片方だけで片づけず、自社がどの規制と、どんな立場で関わるのかを、あわせて棚卸ししておきたいところです。

まとめ：NIS2指令で押さえる3つの視点

EU NIS2指令は、重要な分野の組織に、サイバーセキュリティの底上げを求める指令です。押さえておきたい視点は三つに整理できます。第一に、NIS2は組織にリスク管理と報告を義務づけるものであり、「必須」と「重要」の区分で監督のあり方が変わること。第二に、EUでサービスを提供する場合や、対象組織へ供給する立場でも、日本企業に関わりうること。第三に、供給網の対策と、段階的なインシデント報告への備え、そして経営層の関与が対応の要になることです。まずは、自社がEUや対象組織とどうつながっているのか、対象になるとすればどちらの区分かを見極めるところから。判断に迷う部分があれば、公式文書の確認とあわせて、外部の知見を頼るのも堅実な選び方といえます。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　参考：European Commission「NIS2 Directive: securing network and information systems｜Shaping Europe’s digital future」（https://digital-strategy.ec.europa.eu/en/policies/nis2-directive）。制度の概要・対象分野・移行期限の参考として。
2. *2　参考：EUR-Lex「Directive (EU) 2022/2555（NIS2）」（https://eur-lex.europa.eu/eli/dir/2022/2555）。対象区分・リスク管理・報告義務の参考として。

Tweet