LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

EUのサイバー規制を「NIS2とCRAの二本柱」で整理していた場合、その土台側が動いています*1。

欧州委員会は2026年1月20日、NIS2指令の改正を含む新しいサイバーセキュリティ・パッケージを提案しました*1。中身は改正サイバーセキュリティ法案とNIS2指令の的を絞った改正の二つで、狙いは枠組みと能力をより機敏で効率的なものにすることとされています*1。

EU向けにシステムやサービスを提供する立場、あるいはEUの発注元を持つ受託側に向けて、4つの柱とNIS2側で何が緩むのかを一次情報から整理します。提案の段階ですので、確定の時期は法務とあわせて確認してください。

2026年1月20日のパッケージ——4つの柱

まず全体像です*1。

欧州委員会は、2026年1月20日に、NIS2指令の改正を含む新しいサイバーセキュリティ・パッケージを提案したとしています*1。改正の理由として、2019年のサイバーセキュリティ法の採択以降、地政学的な状況が変化し、サイバー脅威の状況がEUの重要分野に影響を与える形で著しく悪化したことが挙げられています*1。国家主体を含む攻撃者が、欧州の重要な経済分野と社会機能を混乱させる能力を高めているとも述べられています*1。

柱は四つです*1。

受け手側の説明もあります*1。改正サイバーセキュリティ法はEUのサイバーセキュリティの態勢を補強し、より広い経済、市民、企業、公的機関に恩恵をもたらすとされ、企業がEUのサイバーセキュリティ規則への適合を示す方法を合理化し、事務コストを下げると述べられています*1。企業がサイバーセキュリティの専門人材を採用し訓練することを助けるという点も挙げられています*1。

他の政策との関係も整理されています*1。改正サイバーセキュリティ法案は、今後のクラウド・AI開発法（CADA）およびデジタルオムニバスを補完するとされ、CADAは公共部門の極めて重要なユースケースがセキュアなEU域内のクラウドとAIの計算サービスで動くようにし、デジタルオムニバスはEUのサイバーセキュリティ規則の実施を簡素化すると説明されています*1。CADAの主権レベルと並べて見ると、基盤・認証・報告がそれぞれ別の法で手当てされていることが分かります。

ICTサプライチェーン——見るのは製品だけではない

ここがいちばん新しい部分です*1。

欧州委員会は、改正サイバーセキュリティ法がEUのICTサプライチェーンにおける、サイバーセキュリティ上の懸念がある第三国の供給者からのリスクを減らすことを目指すとしています*2。そのために調和のとれた、比例的で、リスクベースの手法による、信頼できるICTサプライチェーンの安全の枠組みを設けるとされています*2。

考え方の転換も明示されています*1。今日の地政学的な状況では、サプライチェーンの安全はもはや製品やサービスの技術的なセキュリティだけの問題ではないとされ、供給者に関するリスク、とりわけ依存関係と外国からの干渉に関するリスクの問題でもあると述べられています*1。

実施の姿も書かれています*1。横断的な枠組みを設けることで、EUと加盟国が協調して、重要なICTサプライチェーンにおける不当な外国の干渉と重大な依存という戦略的なリスクに、的を絞った比例的な措置で対処できるようになるとされています*1。あわせて電子通信ネットワークの運営者が、重要な資産について高リスクの供給者に依拠しないようにすることも挙げられています*1。

認証との接続もあります*1。認証は技術的なサイバーセキュリティの保証の手段であり、ICTサプライチェーンの安全の仕組みによって補完されるという整理です*1。技術の良し悪しと誰から買うかを、別々の仕組みで見る形になります。

受託側にとっては、説明を求められる材料が増えるという読み方になります。使っているコンポーネントの供給元、その所在、更新の提供体制——CRAの報告義務のためにSBOMを整えている場合、その延長線上で答えられる部分が多くあります。

認証枠組み（ECCF）の3つの変更

認証の側にも具体的な変更が並びます*1。

第一に、範囲の明確化と拡大です*1。法的な確実性を確保し市場のニーズに応えるため、枠組みの範囲が明確化され拡大されるとされています*1。ここで注目したいのが対象の広がりです*1。ICTの製品、サービス、プロセスおよびマネージドセキュリティサービスに加えて、事業者は自らのサイバー体制（cyber posture）を認証できるようになるとされ、そうした証明書を用いて、NIS2その他のEU法令への適合を示し、適合の推定を得ることができると説明されています*1。

第二に、期限と成果物の明確化です*1。ENISAがスキーム管理者としてスキームの維持に責任を負うとされ、スキーム策定の法的な期限を定めるとされています*1。具体的には欧州委員会の要請を受けて、ENISAは原則として1年以内に候補スキームを策定するとされています*1。政策ページ側でも刷新された枠組みは、既定で12か月以内にスキームを策定する、より明確で簡素な手続きをもたらすと説明されています*2。

第三に、遵守の道具としての位置づけです*1。スキームは企業にとっての遵守の道具として機能すべきとされ、いかなるスキームも既存のサイバーセキュリティ法令と整合していなければならないとされています*1。スキーム間の一貫性と調和が進むことで、企業の遵守負担が減ると説明されています*1。

スキームの現況も公表されています*1。

EUMSSは、受託でセキュリティ運用を担う立場に直接関わります*1。政策ページによれば、マネージドセキュリティサービスの認証スキームを将来採択できるようにする的を絞った改正が2023年4月18日に提案され、2025年1月15日に採択されており、対象領域としてインシデント対応、ペネトレーションテスト、セキュリティ監査、コンサルティングが挙げられています*2。EUCC認証の運用を経験している組織にとっては、次に来る枠組みとして見ておく価値があります。

NIS2側で緩むところ、広がるところ

同じパッケージで、NIS2指令の的を絞った改正も提案されています*1。

緩む側から挙げます*1。範囲と定義の一部を明確化し、法的な明確さを高めて28,700社（うち零細・小規模企業6,200社）の遵守負担を取り除くとされています*1。さらに小規模中堅企業（small mid-cap）という新しい区分を導入し、22,500社の遵守コストを下げるとされています*1。管轄のルールの簡素化、ランサムウェア攻撃に関するデータ収集の合理化、ENISAの強化された調整の役割による越境事業者の監督の円滑化も挙げられています*1。

広がる側もあります*1。海底データケーブルのインフラが、ますます重要になる種類のインフラとして、指令の範囲でより網羅的に対象となるようにするとされています*1。一方で電力や化学のような分野では、範囲を適切に定めるためにより精密な法文が必要として、比例性を確保する方向の調整が挙げられています*1。

報告の窓口も動きます*2。政策ページでは、ENISAがデジタルオムニバスで提案されたインシデント報告の単一の受付窓口を運用するとされています*2。デジタルオムニバスの簡素化と合わせると、報告先が一本化される方向が読み取れます。

なお、NIS2の国内法化そのものは各国で進行中です*2。政策ページの新着では、2026年7月8日に、欧州委員会がNIS2指令を国内法化する措置を通知しなかったとして、アイルランド、スペイン、フランス、オランダを欧州司法裁判所に付託することを決定したと報じられています*2。NIS2指令の対応を進める際は、国ごとの進み方の差を前提に置く必要があります。

ENISAの役割と、受託側で先に動かすこと

ENISAの側は、権限と資源の両方が動きます*1。

提案はENISAの役割を、運用面の協力、サイバー脅威とインシデントに関する状況認識の共有、標準と認証、そしてランサムウェア攻撃の緩和措置の支援とサイバーセキュリティ・スキルズ・アカデミーの実施の面で補強するとされています*1。資源面では予算を75％超増やすとされ、加盟国は1か国あたり2名の連絡官を指名し、加盟国間の運用協力と情報交換を促すとされています*1。

企業から見える形の変化も政策ページに書かれています*2。ENISAはサイバー脅威とインシデントの早期警告を発するとされ、EuropolおよびCSIRTと協力して、ランサムウェア攻撃への対応と復旧を企業が進めることを支援するとされています*2。あわせて域内共通の脆弱性管理サービスの能力を整備し、関係者に脆弱性管理のサービスを提供するとされています*2。

標準づくりでの役割も強まります*1。標準と技術仕様は、企業と公的機関の実施を助け、域内市場でサイバーセキュリティ規則の統一的な適用を保証するうえで欠かせないとされ、特にサイバーレジリエンス法から生じるものが挙げられています*1。ENISAは欧州および国際の標準づくりにより実効的に関与し、整合規格の評価で欧州委員会を支援するとされ、立法上の必要を満たす標準がない場合には、特に欧州のサイバーセキュリティ・スキームのために技術仕様を策定するとされています*1。

ここから、受託・提供側で先に動かせることを挙げます。

第一に、供給元の一覧です。枠組みが見るのは供給者に関する依存と外国からの干渉です*1。使用しているコンポーネントと外部サービスについて、提供元と、その支配関係が説明できる状態を作っておきます。

第二に、認証の棚卸しです。対象が製品・サービス・プロセス・マネージドセキュリティサービスに加えて事業者のサイバー体制へ広がる方向です*1。取得済みの認証と、これから狙う認証を並べておくと、提案時の説明が短くなります。

第三に、NIS2側の再判定です。範囲と定義の明確化、小規模中堅企業の区分の新設が提案されています*1。以前の判定で対象と整理した場合でも、もう一度当てはめ直す価値があります。

第四に、報告経路の設計です。インシデント報告の単一の受付窓口をENISAが運用する方向です*2。CRAの報告義務とNIS2の報告を別々に組んでいる場合、将来まとめられる前提で手順を書いておくと、後の改訂が軽くなります。

第五に、人材面の材料集めです。改正法は企業がサイバーセキュリティの専門人材を採用し訓練することを助けるとされ*1、サイバーセキュリティ・スキルズ・アカデミーの実施支援も挙げられています*1。

混同しやすいのは、「サイバーセキュリティ法」と「NIS2」を同じものとして扱うことです。前者はENISAの任務と認証の枠組みを定める規則で、後者は対象事業者の義務を定める指令です*1。今回の提案はその両方に同時に手を入れるパッケージという理解になります*1。

提案の内容と質疑応答は、欧州委員会のサイトで公開されています*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：改正サイバーセキュリティ法案で押さえる3つの視点

欧州委員会は2026年1月20日、NIS2指令の改正を含む新しいサイバーセキュリティ・パッケージを提案しました。押さえたい視点は三つです。第一に、4つの柱。重要インフラにおけるICTサプライチェーンの安全に対処する枠組みの整備、欧州サイバーセキュリティ認証枠組みの簡素化と強化、NIS2指令の実施に伴う不要な事務負担を減らす簡素化措置、そしてENISAの強化です。第二に、サプライチェーンと認証の変化。サプライチェーンの安全はもはや製品やサービスの技術的なセキュリティだけの問題ではなく、供給者に関する依存関係と外国からの干渉のリスクの問題でもあるとされ、調和のとれた比例的でリスクベースの枠組みが設けられます。認証枠組みでは、範囲が明確化され拡大し、ICTの製品・サービス・プロセスおよびマネージドセキュリティサービスに加えて、事業者が自らのサイバー体制を認証してNIS2その他への適合の推定を得られるようになるとされています。ENISAがスキーム管理者として維持に責任を負い、欧州委員会の要請を受けて原則1年以内に候補スキームを策定します。第三に、NIS2側の増減。範囲と定義の明確化により28,700社（うち零細・小規模企業6,200社）の負担が取り除かれ、小規模中堅企業という新しい区分により22,500社の遵守コストが下がるとされる一方、海底データケーブルのインフラはより網羅的に対象となります。ENISAはデジタルオムニバスで提案されたインシデント報告の単一の受付窓口を運用し、早期警告の発出、Europolおよびインシデント対応チームと協力したランサムウェア対応の支援、域内共通の脆弱性管理サービスの提供を担うとされています。

よくある質問

出典

1. *1　参考：European Commission「Cybersecurity Package – Questions & Answers」（https://digital-strategy.ec.europa.eu/en/faqs/cybersecurity-package-questions-answers）。欧州委員会が2026年1月20日にNIS2指令の改正を含む新しいサイバーセキュリティ・パッケージを提案したこと、改正の背景（2019年の採択以降の地政学的状況の変化と脅威環境の悪化、国家主体を含む攻撃者の能力向上）、4つの柱（ICTサプライチェーンの安全の枠組み、認証枠組みの簡素化と強化、NIS2の簡素化措置、ENISAの強化）、サプライチェーンが製品の技術的セキュリティだけでなく供給者の依存関係と外国からの干渉のリスクの問題でもあること、横断的な枠組みと電子通信ネットワーク運営者の高リスク供給者への非依拠、ENISAの強化（運用協力・状況認識・標準と認証・ランサムウェア緩和の支援・スキルズアカデミー、予算75％超増、加盟国あたり2名の連絡官）、ENISAの標準化での役割と技術仕様の策定、認証枠組みの3つの変更（範囲の明確化と拡大および事業者のサイバー体制の認証と適合の推定、ENISAのスキーム管理者としての責任と原則1年以内の候補スキーム策定、遵守の道具としての位置づけと整合性）、スキームの現況（2024年のEUCC採択、EUIDとEUMSSの策定中、EUCSとEU5Gの再開見込み、5Gの高リスク供給者の段階的排除、事業者のサイバー体制のスキーム要請の意向）、NIS2の的を絞った改正（28,700社と6,200社の負担除去、小規模中堅企業の新区分と22,500社、管轄ルールの簡素化、ランサムウェアのデータ収集の合理化、越境監督の円滑化、海底データケーブルの網羅、電力や化学での比例性）の一次情報として。最終更新2026年1月20日。確認日は2026年8月28日。（2026年8月確認）
2. *2　参考：European Commission「EU Cybersecurity Act」（https://digital-strategy.ec.europa.eu/en/policies/cybersecurity-act）。サイバーセキュリティ法がENISAを強化し製品とサービスのサイバーセキュリティ認証枠組みを設けること、ENISAへの恒久的な任務と資源と新任務、認証枠組みでの中心的役割と証明書の周知、運用協力とCSIRTネットワーク事務局の役割、2026年1月に欧州委員会が新しいサイバーセキュリティ法を提案したことと提案下でのENISAの早期警告の発出・Europolおよび CSIRTと協力したランサムウェア対応と復旧の支援・域内共通の脆弱性管理サービスの整備と提供・デジタルオムニバスで提案されたインシデント報告の単一受付窓口の運用、第三国供給者からのリスクを減らす信頼できるICTサプライチェーンの安全の枠組み、EU域内の認証枠組みで一度の認証がEU全域で認められること、刷新された枠組みが既定で12か月以内にスキームを策定する明確で簡素な手続きをもたらすこと、2023年4月18日提案・2025年1月15日採択の的を絞った改正によりマネージドセキュリティサービス（インシデント対応・ペネトレーションテスト・セキュリティ監査・コンサルティング）の認証スキームの将来の採択が可能になること、2026年1月20日のNIS2指令の的を絞った改正の提案と28,700社（うち零細・小規模企業6,200社）の負担軽減、ならびに2026年7月8日にNIS2指令の国内法化措置を通知しなかったとしてアイルランド・スペイン・フランス・オランダを欧州司法裁判所に付託する決定が報じられていることの一次情報として。確認日は2026年8月28日。（2026年8月確認）

Tweet