LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

英国向けにIT運用や保守を請け負っている場合、規制の対象になる側に回る可能性があります*1。

英国政府はサイバーセキュリティ・レジリエンス（ネットワーク・情報システム）法案を2025年11月12日に第一読会で議会へ提出しました*2。既存のNIS規則2018を改正する法案で、中規模および大規模のマネージドサービス提供者（MSP）を対象に加えるとされています*1。

受託でIT運用・保守・監視を担う立場に向けて、どこからが対象なのかと対象になったら何をするのかを一次情報から整理します。法案の段階であり、細目は下位法令に委ねられる部分がありますので、法務の確認を経て進めてください。

法案の位置づけ——NIS規則2018を広げる

まず、何を改正する法案なのかです*1。

英国政府は、この法案が既存のネットワーク・情報システム（NIS）規則2018を改正し、これに追加するものであり、英国のサイバー攻撃への防御を高め、市民が日常生活を送るために依拠するサービスをより良く保護するためのものだと説明しています*1。

現行のNIS規則の適用範囲も明示されています*1。経済全体を対象とするものではないとされています*1。

これらの組織には、ネットワーク・情報システムを保護するための適切かつ比例的なセキュリティ措置を講じ、サービスを著しく妨げるインシデントを規制当局（コンピテント・オーソリティ）へ報告することが求められています*1。NIS規則は「オールハザード」のリスクベースの手法を採り、サイバーセキュリティのリスクと、物理的なセキュリティおよびより広い運用レジリエンスのリスクの両方を管理することを求めるとされています*1。

実施体制は分散型です*1。12の規制当局（コンピテント・オーソリティ）が、それぞれの分野やサービスについて規制の監督を担うとされ、その理由として分野ごとに直面するリスクが異なることが挙げられています*1。

MSPが対象になる条件——RMSPの定義

ここが本題です。

英国政府は、「関連マネージドサービス提供者（RMSP）」の定義に当たる中規模および大規模のMSPをNIS規則2018の対象に入れるとしています*1。RMSPは、自らに及ぶリスクを管理するための適切かつ比例的な措置を講じ、重大なインシデントを規制当局へ報告することが求められるとされています*1。

規制当局も指定されています*1。情報コミッション（Information Commission、旧ICO）が規制当局として、監督、支援および執行を行うとされています*1。

定義の輪郭は次のとおりです*1。RMSPは、英国内でマネージドサービスを提供する者（英国に拠点があるかどうかを問わない）であって、小規模・零細企業でない者と定義されるとされています*1。公的機関の監督下にあり、商業的性質の活動から得る収入が半分未満の事業者も除外されます*1。

「マネージドサービス」の定義も具体的です*1。他者（顧客）との契約に基づき、顧客のために情報技術システムの継続的な管理を提供するサービスとされ、この継続的な管理は、支援と保守、監視、能動的な管理その他の活動の形をとりうると説明されています*1。さらに顧客が依拠するネットワーク・情報システムへ接続し、または他の方法でアクセスすることによって提供されることが要件とされ、顧客の構内か遠隔かは問わないとされています*1。

含まれる例と含まれない例も挙げられています*1。含まれる例はITアウトソーシング（ITの遠隔サポートやヘルプデスク、電子メールなどアプリケーションの管理、ITインフラの管理）とマネージドセキュリティサービス（SOC、SIEM）、含まれない例は法案が定義するデータセンターサービスの提供と2003年通信法が定義する公衆電子通信ネットワークまたはサービスの提供です*1。

運用技術（OT）の提供者は、RMSPの措置の対象にはならないとされています*1。ただし規制対象事業者がサービス提供のために依拠するネットワーク・情報システムの一部を構成する場合には、NIS規則全体のもとですでに捕捉されているとされています*1。

RMSPに課される義務も列挙されています*1。情報コミッションへ登録し、規制対象事業者の名称、連絡先情報および文書の送達先住所を提供すること（追加の項目は下位法令で加えられうる）、RMSPが海外に拠点を置く場合は英国内の代表者を指名すること、そして重大なインシデントを情報コミッションへ通知することです*1。

なぜMSPが狙われるのかについても説明があります*1。MSPは顧客のネットワーク、インフラ、データを含むITシステムに前例のないアクセスを持つことが多いとされ、その広範で信頼されたアクセスが攻撃の対象として魅力的なものになり、「一対多」の影響につながりうると述べられています*1。事例としてOperation Cloud Hopperと、2024年5月にMSPが関与したインシデントにより国防省の給与システムが標的にされ、約27万人の現役軍人・予備役・退役軍人の個人データが取得される高いリスクに置かれた件が挙げられています*1。

インシデント報告——24時間と72時間、顧客への通知

報告の仕組みは、現行から二点変わります*1。

まず対象となるインシデントの範囲です*1。ランサムウェアや事前配置（プリポジショニング）の攻撃のように、英国内で重大な影響を与える可能性が高いものは、まだ影響が生じていなくても報告が必要になるとされています*1。現行ではサービスの提供を直ちに妨げない場合には報告が不要であり、侵入して足場を得た時点ではなく混乱が生じた時点でようやく報告対象になっていたと説明されています*1。

次に期限と経路です*1。簡易な初期通知を24時間以内に、詳しい報告を72時間以内に提出することが求められ、国家サイバーセキュリティセンター（NCSC）へは規制当局と同時に情報が渡るとされています*1。現行では認識から72時間以内に規制当局へ通知し、そのあとで規制当局がNCSCへ通知する形でした*1。

内容も定められています*1。24時間の初期通知に必要なのは事業者の名称、関係するサービス、簡潔な詳細だけです*1。72時間の完全な通知には、判明している範囲で次の情報を含めます*1。

報告の要件となる三つの基準も示されています*1。RDSP、RMSP、およびデータセンターサービス以外の必須サービス事業者は、インシデントが、当該サービスの提供のために依拠するネットワークまたは情報システムの運用もしくはセキュリティに悪影響を与えた、または与えていること、その影響が重大であった、あるいは重大である、または重大である見込みであること、その影響が英国の全部または一部に関係することの三つを満たすインシデントを報告することとされています*1。重大性の判断には混乱の程度、影響を受ける利用者の数、継続期間、影響を受けうる地域、利用者に関するデータの機密性・真正性・完全性・可用性が損なわれる見込みかどうかといった要素が挙げられています*1。

そしてもうひとつ、実務に直結する追加があります*1。データセンター、RMSPおよびRDSPには、顧客に影響を与えた可能性が高いサイバー侵害について顧客へ知らせる新たな要件が設けられ、透明性を高め、顧客が自ら被害を軽減する行動を取れるようにするとされています*1。現行では顧客へ知らせる要件がないため、顧客は軽減措置を取れない状態に置かれかねないと説明されています*1。

この顧客通知は、NIS2指令の対応を進めた組織にも新しい負担です。

重要供給者の指定と、制裁金の見直し

対象の広がりは、RMSPだけではありません。

規制当局は「重要供給者（critical suppliers）」を指定できるようになり、必須サービスおよびデジタルサービスにとって最も重要な供給者に義務的なサイバー要件を課せるとされています*1。理由として、サプライチェーンの一箇所への攻撃が、必須サービスとデジタルサービスの継続性に広範な混乱をもたらしうることが挙げられています*1。

指定の条件は積み上げ式です*1。供給者が、同じ規制当局の規制を受ける必須サービス事業者、RDSPまたはRMSPへ直接に物品またはサービスを提供していること、その提供のためにネットワーク・情報システムに依拠していること、供給者が依拠するシステムの運用やセキュリティに影響するインシデントが供給先のサービス提供に混乱を生じさせる可能性があると規制当局が考えること、そしてその混乱が、英国の全部または一部の経済または社会の日常的な機能に重大な影響を与える見込みであることです*1。あわせて規制当局は当該物品・サービスを他から現実的に調達できるかとリスクを他の枠組みで対処できるかを考慮する必要があるとされています*1。

除外もあります*1。すでに必須サービス事業者、RDSPまたはRMSPとして規制されているサービスについては、重要供給者として規制されないとされ、公的機関の直接の監督下にある組織などを除外する意向が示されています（協議と下位法令によるとされています）*1。一方で小規模または零細企業のデジタルサービス提供者およびマネージドサービス提供者も、指定の条件を満たすならば重要供給者として指定されうるとされています*1。

事例として2024年6月にNHS向けの病理検査を担うSynnovisへのサイバー攻撃が挙げられ、ロンドンの複数の病院でサービスが混乱し、11,000件を超える予約と手術が影響を受けたとされ、同社は財務上の損失を3,270万ポンドと見積もったと記されています*1。

執行の側も変わります*1。現行のNIS規則は三段階の制裁金で、重大でない違反は最大100万ポンド、重大な違反は最大850万ポンド、規制対象事業者のサービス提供に重大なリスクまたは重大な影響を生じさせた、あるいは生じさせえた重大な違反は最大1,700万ポンドとされています*1。

法案では二段階へ簡素化され、どの義務違反がどの段階に対応するかを法律で明確に定めるとされています*1。インシデントの通知とセキュリティ義務の履行に関する違反は上位の段階、RDSPまたはRMSPの登録の届出を怠った違反は標準の段階とされています*1。

上限額も引き上げられます*1。より重い違反については1,700万ポンドまたは規制対象事業者の全世界売上高の4％のいずれか高い方まで、より軽い違反については1,000万ポンドまたは2％のいずれか高い方までとされています*1。「売上高」の正確な定義は下位法令で定められるとされています*1。

受託・MSP側で先に決めておくこと

着手の順序を挙げます。

第一に、自社が定義に当たるかの判定です。RMSPは英国内でマネージドサービスを提供する者であって、小規模・零細企業でない者と定義されるとされています*1。英国に拠点があるかどうかを問わない点が重要で、日本から遠隔で英国顧客のITシステムを継続的に管理している構成でも、定義に当たるかを検討する必要があります*1。

第二に、契約の中身の棚卸しです。マネージドサービスの定義は契約に基づく継続的な管理と顧客のネットワーク・情報システムへの接続またはアクセスの二点を軸にしています*1。スポットの構築案件と継続的な保守・監視・運用を同じ契約書で扱っている場合は、どちらの性格が主かを整理しておくと判断が早くなります。

第三に、英国代表者の検討です。海外に拠点を置くRMSPは英国内の代表者を指名するとされています*1。誰を立てるか、既存の販売代理や現地法人で足りるかは、時間のかかる論点になりやすい部分です。

第四に、24時間の動線と顧客通知の設計です。初期通知は24時間以内、完全な通知は72時間以内で、NCSCへも同時に情報が渡ります*1。加えて顧客へ知らせる要件が新設されます*1。規制当局への提出と顧客への連絡を、誰がどの順で動かすかを手順に落としておきます。

第五に、供給先からの照会への備えです。重要供給者の指定は規制当局が行うものですが、指定の条件には供給先が誰かと供給に依拠するネットワーク・情報システムが入ります*1。発注元から自社の位置づけを説明する求めが来る場面が想定されます。

社内で誤解されやすいのが「法案だからまだ関係ない」という受け取りです。法案は2025年11月12日に第一読会で議会へ提出された段階であり*2、細目は下位法令と協議に委ねられるとされています*1。ただし登録、英国代表者、報告の動線は決めるまでに時間がかかる部類で、先に骨格だけ作る形が現実的です。

報告の期限そのものは、他の枠組みと似た形に寄っています。EUではCRAの報告義務が2026年9月11日から適用され、こちらも24時間と72時間の二段構えです。期限の考え方は共通化できても、提出先と対象の定義は別という前提で設計すると重複が減ります。

執行の実際についても触れておきます*1。規制当局は制裁金を課す意向の通知を出し、是正措置を求める執行通知を同時に出すこともでき、事業者は意見を提出できるとされています*1。すべての違反が制裁金に至るわけではなく、不遵守を是正するために取った措置が規制当局の判断に織り込まれると説明されています*1。記録を残しておくことが軽減材料になりうるという読み方ができます。

法案の内容とファクトシートは、英国政府のサイトで公開されています*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：英国CSR法案で押さえる3つの視点

英国政府はサイバーセキュリティ・レジリエンス（ネットワーク・情報システム）法案を2025年11月12日に第一読会で議会へ提出しました。押さえたい視点は三つです。第一に、対象の広がり。法案は既存のNIS規則2018を改正し、中規模および大規模のマネージドサービス提供者を「関連マネージドサービス提供者（RMSP）」として対象に加えます。RMSPは英国内でマネージドサービスを提供する者であって小規模・零細企業でない者と定義され、英国に拠点があるかどうかは問われません。マネージドサービスは、契約に基づき顧客のために情報技術システムの継続的な管理を提供し、顧客が依拠するネットワーク・情報システムへ接続またはアクセスするサービスと定義され、ITアウトソーシングやマネージドセキュリティサービスが例に挙げられています。第二に、義務と窓口。規制当局は情報コミッション（旧ICO）で、RMSPは登録して名称・連絡先・送達先住所を届け出し、海外拠点の場合は英国内の代表者を指名し、重大なインシデントを通知します。報告は24時間以内の簡易な初期通知と72時間以内の完全な通知の二段構えで、NCSCへも同時に情報が渡り、データセンター・RMSP・RDSPには顧客へ知らせる新たな要件も設けられます。第三に、供給者と制裁金。規制当局は重要供給者を指定できるようになります。制裁金は現行の三段階から二段階へ簡素化され、より重い違反は1,700万ポンドまたは全世界売上高の4％のいずれか高い方、より軽い違反は1,000万ポンドまたは2％のいずれか高い方が上限とされています。

よくある質問

出典

1. *1　参考：UK Department for Science, Innovation and Technology「Cyber Security and Resilience (Network and Information Systems) Bill: factsheets」（https://www.gov.uk/government/publications/cyber-security-and-resilience-network-and-information-systems-bill-factsheets）。法案がNIS規則2018を改正しこれに追加するものであること、現行NIS規則の適用範囲と12の規制当局による分散型の実施体制、中規模および大規模のMSPを関連マネージドサービス提供者（RMSP）として対象に加えることと情報コミッション（旧ICO）が規制当局となること、RMSPおよびマネージドサービスの定義と含まれる例・含まれない例、運用技術の提供者の扱い、RMSPの義務（登録、海外拠点の場合の英国代表者の指名、重大インシデントの通知）、MSPが標的となる背景とOperation Cloud Hopper・2024年5月の国防省給与システムのインシデント、報告の対象拡大と24時間の初期通知・72時間の完全な通知・NCSCへの同時共有・記載事項・三基準と重大性判断の要素、データセンター・RMSP・RDSPの顧客通知要件、重要供給者の指定制度と条件および除外、2024年6月のSynnovisへの攻撃、制裁金の二段階化と新しい上限（1,700万ポンドまたは全世界売上高の4％の高い方、1,000万ポンドまたは2％の高い方）、ならびに執行の手続の一次情報として。公表2025年11月12日・最終更新2026年6月30日。確認日は2026年8月27日。（2026年8月確認）
2. *2　参考：UK Department for Science, Innovation and Technology「Cyber Security and Resilience Bill（collection）」（https://www.gov.uk/government/collections/cyber-security-and-resilience-bill）。英国政府がサイバーセキュリティ・レジリエンス法案を2025年11月12日に第一読会で議会へ提出したこと、同法案がネットワーク・情報システム（NIS）規則2018を改正しこれに追加するものであること、および関連文書（法案の補助文書と影響評価、ファクトシート、規制政策委員会の意見、政策声明、マネージドサービス提供者に関する調査）が一つのコレクションとして公開されていることの一次情報として。公開2024年9月30日・最終更新2025年11月18日。確認日は2026年8月27日。（2026年8月確認）

Tweet