LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

サイバーの側はNIS2が受け持ちました。では、物理の側は誰が見るのか。その答えが重要主体レジリエンス指令（指令(EU) 2022/2557）です*1。2022年12月14日に採択され、2008年の欧州重要インフラ指令を置き換えました*1。

実務としての節目が、いま来ています。各加盟国は2026年7月17日までに、附属書に定める分野・小分野について重要主体を特定することとされていました*1。特定された主体には1か月以内に通知が届き、義務が始まるのはその通知から10か月後です*1。

本記事は、EU域内に設備や拠点を持つ企業と、その運用や情報システムを受託する立場に向けて、指定された側に何が生じるのかを整理します。自社が対象になるかどうかは各加盟国の国内法で決まるため、公式資料と現地の専門家への確認を経て進めてください。

いつまでに、何が起きるのか

まず時間割です。この指令は、加盟国の作業と事業者の作業が数珠つなぎになっています*1。

加盟国の側から並べます。罰則の規則は2024年10月17日までに欧州委員会へ通知することとされました*1。2026年1月17日までに、重要主体のレジリエンスを高めるための戦略を採択し、あわせて加盟国としてのリスク評価を行います*1。リスク評価は、その後も少なくとも4年ごとに繰り返されます*1。

そして2026年7月17日までに、附属書に定める分野・小分野の重要主体を特定します*1。判断の基準は三つで、その主体が一つ以上の必須サービスを提供していること、その領域内で事業を行い重要インフラが所在すること、そして事案が起きれば必須サービスの提供に重大な支障をもたらすことです*1。

特定された側への連絡も定められています。特定から1か月以内に通知し、義務の内容と、それがいつから適用されるかを伝えることになります*1。第III章の義務は、その通知から10か月後に適用されます*1。あわせて、NIS2指令の所管当局に対しても、特定した重要主体の身元が1か月以内に通知されます*1。

例外もあります。附属書の表の3、4、8にあたる分野については、国内の措置が別段を定めない限り、第III章と第IV章の義務はないと伝えられます*1。自社の分野がどこに置かれているかで、義務の有無そのものが変わるということです。一覧は少なくとも4年ごとに見直され、追加で特定される主体も出ます*1。

NIS2と対になる、物理の側の枠組み

この指令の位置づけを、隣の制度との関係で押さえます*1。

目的として掲げられているのは、調和された最低限の規則を定めることで域内市場における重要主体のレジリエンスを高め、一貫した支援と監督によってそれを助けることです*1。重要主体は必須サービスの提供者として、相互依存が進むEU経済の中で、社会や経済の機能を維持するうえで欠かせない役割を担う、という前提が置かれています*1。

制度の連結も明記されました。この指令の所管当局は、NIS2指令の所管当局と協力し、情報を交換することとされています*1。NIS2指令がネットワークと情報システムの側を扱うのに対し、この指令は物理的な防護、要員の管理、災害からの復旧までを含むという分担です*1。

対象になるリスクの幅も広く取られています。加盟国のリスク評価が考慮するのは、自然災害と人為的な災害の双方で、分野をまたぐもの、国境をまたぐもの、事故、自然災害、公衆衛生上の緊急事態、そしてハイブリッドな脅威やその他の敵対的な脅威が含まれます*1。テロ行為も明示されました*1。

サイバーと物理を別の担当が別の資料で見ている組織は、この指令で一度つながることになります。両方の当局が情報を交換する以上、社内でも同じ事実を二つの形で持っていると齟齬が出ます。

指定されたら——9か月のリスク評価

最初に来る作業が、自らのリスク評価です*1。

重要主体は、通知を受領してから9か月以内にリスク評価を行い、以後は必要に応じて、かつ少なくとも4年ごとに繰り返します*1。土台にするのは加盟国のリスク評価と、その他の関連する情報源です*1。目的は、自らの必須サービスの提供を妨げうるすべての関連するリスクを評価することとされました*1。

見る範囲も定められています。事案につながりうる自然と人為の双方のリスク、分野や国境をまたぐもの、事故、自然災害、公衆衛生上の緊急事態、ハイブリッドな脅威やその他の敵対的な脅威です*1。加えて、附属書の他の分野が自らの必須サービスにどれだけ依存しているか、そして自らが他の分野の主体の必須サービスにどれだけ依存しているかも考慮に入れます*1。隣接する加盟国や第三国も、関係があれば対象です*1。

負担への配慮も置かれました。他の法令に基づいて既に行ったリスク評価や作成した文書が関連するのであれば、それらを使ってこの条文の要件を満たすことができます*1。監督の場面で、所管当局が既存の評価を全部または一部について適合と宣言することもできる形です*1。

実務としては、既にある評価をこの指令の観点で読み直せるかどうかが分かれ目でしょう。依存関係の記述が自社内にとどまっていると、分野をまたぐ依存という要件を満たせません。供給網のセキュリティ管理で扱う取引先の可視化が、そのまま材料になります。

レジリエンス措置の六項目

次に来るのが、実際の措置です*1。

重要主体は、加盟国のリスク評価から提供された情報と、自らのリスク評価の結果に基づいて、適切かつ比例的な技術的・保安上・組織的な措置を採ることとされています*1。求められる措置は六つに整理されました。

そして文書です。重要主体は、これらの措置を記述したレジリエンス計画、または同等の文書を備え、適用しなければなりません*1。リスク評価と同じく、他の法令に基づいて作成した文書や採った措置が関連するのであれば、それらを流用できます*1。

注目したいのが復旧の項目です。代替の供給網の特定が明示されています*1。事業継続の計画で扱う代替手段の確保が、条文の水準で求められる形になりました。

外部の要員をどう数えるか

受託する立場にとって、見逃せない一文があります*1。

要員の管理について、条文はこう定めました。重要な機能を担う要員の区分を定めるにあたり、重要主体は外部のサービス提供者の要員を考慮に入れなければならない*1。自社の従業員だけを数えて区分を作ることは、想定されていません。

背景も説明されています。重要主体やその請負人の従業員が、組織内のアクセス権を悪用して損害を与えるリスクへの懸念が高まっているという認識です*1。だからこそ、加盟国は、重要主体が特定の区分の要員について身元確認の要請を出せる条件を定めるべきだとされました*1。

身元確認の中身にも触れられています。対象となる者の犯罪歴の確認を含むこととされ、本人であることを裏づけるために旅券や身分証、あるいはデジタルの形の身元証明といった提示を求めることが適当だと述べられています*1。加盟国は欧州犯罪記録情報システムを用いることとされました*1。

受託の現場に引き寄せると、二つの用意が要ります。一つは、自社の要員のうち誰が重要な機能に関わるのかを、委託元と同じ区分で示せること。もう一つは、身元確認の求めに応じる手順を、契約と運用の両方で決めておくことです。要員の名簿を出せるかどうかではなく、区分に沿って説明できるかどうかが問われます。

アクセス権の設計も同じ線でつながります。制御系のセキュリティで扱う入退と権限の管理は、物理の側の措置としてこの指令にも並んでいます*1。

通知は24時間、詳細は1か月

事案が起きた後の手順も定められています*1。

重要主体は、必須サービスの提供に重大な支障をもたらす、またはもたらしうる事案について、不当に遅れることなく所管当局へ通知します*1。時間の条件も置かれました。運用上できない場合を除き、事案を認識してから遅くとも24時間以内に第一報を出し、必要に応じてその1か月以内に詳細報告を出す形です*1。

重大さの判断には、三つの物差しが挙げられています。支障の影響を受けた利用者の数と割合、支障の継続時間、そして影響を受けた地理的な範囲です*1。地理的に孤立した地域かどうかも考慮されます*1。

第一報の中身は絞られています。前文では、所管当局に事案を知らせ、必要なら支援を求められるようにするために、厳密に必要な情報のみを含めるべきだとされました*1。可能であれば推定される原因を示すこととされ、第一報の提出が、事案対応そのものから資源を割いてしまうことのないようにするという配慮も置かれています*1。

通知した側への配慮も明記されました。この通知によって、重要主体が負う責任が重くなることはありません*1。加えて、事案が6か国以上の加盟国で必須サービスの継続に重大な影響を与えるおそれがある場合、影響を受けた加盟国の所管当局が欧州委員会へ通知します*1。

時間の条件だけを見ると、米国の重要インフラ向け報告制度やサイバーレジリエンス法の報告義務と似た形です。ただし相手も様式も別で、EU域内でも報告先は制度ごとに分かれます。デジタルオムニバスが単一窓口を提案しているのは、この重なりを畳むためでもあります。

監督と執行——監査の費用は事業者持ち

守らせる側の権限も確かめておきます*1。

所管当局には、二つの権限と手段が与えられます。重要インフラと、必須サービスの提供に使う施設への立入検査、そして第13条に基づく措置についての立入によらない監督。そして重要主体に対する監査の実施、または監査の命令です*1。

情報の提出を求める権限もあります。NIS2指令の対象であってこの指令の重要主体でもある主体に対しては、合理的な期限を定めて、レジリエンスを確保するための措置が第13条の要件を満たすかを評価するために必要な情報と、その措置が実効的に実装されていることの証拠の提出を求められます*1。

証拠の形が具体的です。当該主体が選んだ独立かつ適格な監査人による監査の結果が含まれ、その監査は当該主体の費用で行われるとされました*1。監査を受ける費用は、求められた側が負うという構成です。

是正の命令も置かれています。監督の結果や提出された情報の評価に基づき、所管当局は、特定された違反を是正するために必要かつ比例的な措置を、合理的な期限内に採るよう命じ、採った措置について報告させることができます*1。命令にあたっては違反の重大さが考慮されます*1。

いっぽうで、受ける側の保護も明記されました。これらの権限は適切な保障のもとでのみ行使され、客観的で、透明で、比例的な形で行われること、そして営業上・事業上の秘密の保護を含め、影響を受ける重要主体の権利と正当な利益が十分に守られることが求められます*1。意見を聴かれる権利と防御の権利も挙げられています*1。

罰則については、実効的で、比例的で、抑止的なものを各加盟国が定めることとされました*1。金額の上限は指令には書かれておらず、国内法に委ねられています*1。

受託・システム側で押さえる要点

指定を受けたかどうかにかかわらず、いま確かめられることを順に挙げます。

第一に、自社や取引先が指定されているかを確かめることです。特定は加盟国が行い、1か月以内に通知されます*1。通知を受けた企業から、委託先である自社へ情報が流れてくるとは限りません。取引先へ確認する経路を持っておきます。

第二に、要員を区分で示せるようにすることです。重要な機能を担う要員の区分には、外部のサービス提供者の要員も含めて考えることとされました*1。誰がどの機能に関わるのかを、委託元と共通の言葉で説明できる状態にしておきます。

第三に、身元確認への対応を決めておくことです。犯罪歴の確認を含む身元確認の要請が想定されています*1。契約に定めがないまま求められると、その場で止まります。

第四に、24時間の第一報を出せる経路を作ることです。認識から24時間以内という条件は、休日や夜間も動く前提でなければ満たせません*1。障害対応とオンコールの体制で扱う一次受けが、そのまま起点になります。

第五に、既存の文書を流用できる形に整えることです。他の法令に基づく評価や文書を使ってよいとされています*1。ただし、依存関係と代替の供給網まで書かれていなければ、そのままでは足りません。

受託で進める場合の注意点も挙げておきます。

監査の費用を見込んでおくことです。独立かつ適格な監査人による監査は、求められた主体の費用で行われます*1。委託元が監査を求められた場合、その一部が委託先への確認として降りてくる可能性があります。

物理とサイバーの資料を一つに寄せることです。この指令の所管当局とNIS2の所管当局は情報を交換します*1。社内で別々の担当が別々の資料を持っていると、外から見たときに食い違います。

報告の重なりを前提に設計することです。EU域内だけでも、制度ごとに報告の相手と様式が分かれます。サイバー連帯法のような支援の枠組みも含めて、一つの事案記録から複数の様式へ写せる作りが結局は速く動けます。

体制としては、設備の実務と情報システムの設計の両方を追える要員が入れるかが分かれ目になります。指定の通知から義務の適用まで10か月、リスク評価は9か月*1。準備の時間は、思うほど長くありません。

まとめ：重要主体レジリエンス指令で押さえる3つの視点

重要主体レジリエンス指令（指令(EU) 2022/2557）は2022年12月14日に採択され、2008年の欧州重要インフラ指令を置き換えました。加盟国は2026年1月17日までに戦略とリスク評価を、2026年7月17日までに重要主体の特定を行うこととされ、特定された主体には1か月以内に通知が届きます。押さえたい視点は三つあります。第一に、時間割です。第III章の義務は通知から10か月後に適用され、重要主体自身のリスク評価は通知の受領から9か月以内、以後は少なくとも4年ごとです。第二に、措置の範囲です。予防、物理的な防護、対応、復旧、要員の管理、周知という六つが求められ、その内容をレジリエンス計画または同等の文書として持ちます。復旧では代替の供給網の特定が明示され、要員の管理では外部のサービス提供者の要員も考慮に入れることとされました。身元確認は犯罪歴の確認を含みます。第三に、報告と監督です。重大な支障となる事案は認識から24時間以内に第一報、必要に応じて1か月以内に詳細報告を出します。通知によって責任が重くなることはありません。所管当局は立入検査と監査を行え、独立した監査人による監査は当該主体の費用で実施されます。

よくある質問

出典

1. *1　参考：欧州連合官報「Directive (EU) 2022/2557 of the European Parliament and of the Council of 14 December 2022 on the resilience of critical entities and repealing Council Directive 2008/114/EC」（2022年12月27日）（https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32022L2557）。採択日と2008/114/ECの廃止、第4条・第5条の2026年1月17日、第6条の2026年7月17日と特定の三基準および1か月以内の通知・10か月後の適用・附属書の表3・4・8の扱い・4年ごとの見直し、第12条の9か月以内のリスク評価と依存関係の考慮および既存文書の流用、第13条の六つのレジリエンス措置とレジリエンス計画および外部サービス提供者の要員の考慮、第14条に関する身元確認と犯罪歴の確認、第15条の24時間・1か月と重大さの三つの物差しおよび責任が重くならない旨・6か国以上の場合の委員会への通知、第21条の立入検査と監査・独立監査人の費用負担・是正命令と保障、第22条の罰則の一次情報として（2026年8月確認）

Tweet