LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

サイバー攻撃への備えを、国ごとではなくEU全体で持つ。そういう発想の法律が動き出しています。EUサイバー連帯法（規則(EU) 2025/38）は2024年12月19日に採択され、2025年1月15日に官報で公示されました*1。発効は公示から20日後です*1。

特徴は、義務を課す規則ではないという点でしょう。NIS2指令のように事業者へ直接の義務を負わせるのではなく、デジタルヨーロッパ計画の予算を使って、検知・対応・振り返りの能力そのものを積み上げる仕組みになっています*1。既存の規則(EU) 2021/694を改正する形も採られました*1。

本記事は、セキュリティ運用を受託する立場と、その体制を検討する情報システム部門に向けて、三つの柱の中身と、そこで受託側に何が求められるのかを整理します。制度の解釈が必要な部分は、公式資料と専門家への確認を経て進めてください。

この規則が置いたもの

まず全体像です。この規則は、三つの層を用意しました*1。

正式な題名は「サイバー脅威および事案を検知し、備え、対応するための域内の連帯と能力を強化する措置を定め、規則(EU) 2021/694を改正する規則」です*1。法的な根拠は、EU機能条約の第173条第3項と第322条第1項(a)号とされました*1。

置かれたのは、欧州サイバー警戒システム、サイバー緊急メカニズム、そして欧州サイバーインシデント・レビュー機構の三つです*1。検知する、備えて対応する、そして後から振り返る。この順で層が積まれています。

大事な但し書きも付いています。この規則に基づく行動は加盟国の権限を尊重して行われ、既存の枠組みの活動を補完するものであって、重複させるものではないとされました*1。ここで挙げられているのは、NIS2指令に基づくCSIRTsネットワーク、欧州サイバー危機連絡組織ネットワーク（EU-CyCLONe）、そして協力グループです*1。

背景の認識も明快です。サイバー諜報や身代金要求、業務の妨害を目的とした供給網への攻撃を含め、事案の規模と頻度と影響がEUでも世界でも増している、というのが出発点でした*1。事案は予測しづらく、急速に現れて変化し、特定の地理的な範囲にとどまらず、多くの国で同時に起きたり瞬く間に広がったりする、とも書かれています*1。

誰が狙われるのかについても、具体的な記述があります。サイバー攻撃は地方や地域、国の公共サービスと基盤に向けられることが多く、なかでも地方の当局は資源が限られていることもあって脆弱であるとされました*1。結果として公共サービスの提供が妨げられ、重要度の高い分野やその他の重要な分野を含む経済活動が滞り、多額の損失が生じ、利用者の信頼が損なわれる。経済とEUの民主的な仕組みに大きな損害を与え、健康や生命に関わる結果すら招きうる、という書き方です*1。

そのうえで、公的部門、民間部門、学術、市民社会、そして報道の間の緊密な協力が重要であると述べられています*1。この規則が官民の情報共有を軸に据えているのは、この認識に沿った組み立てだと読めます。

検知の層——欧州サイバー警戒システム

一つ目の柱は、脅威を見つける側の基盤です*1。

構成は二段になっています。各国に置かれる国内サイバーハブと、それらをまとめる越境サイバーハブからなる汎欧州の基盤で、越境ハブはそれぞれ3つ以上の国内ハブをまとめる形です*1。参加は任意で、加盟国が自ら選びます*1。

国内ハブの役割も定められました。各加盟国は、自国のサイバー脅威の検知活動を調整する単一の主体を国レベルで指定することになります*1。この国内ハブが、警戒システムへ参加するための国レベルの窓口となり、公的な主体と民間の主体からの脅威情報が、効果的かつ整理された形で国レベルで共有され収集されることを確保するという位置づけです*1。

目的として挙がるのは、CSIRTやCSIRTsネットワーク、EU-CyCLONe、そしてNIS2指令に基づいて指定された所管当局を支え、協力し、その能力を強化することです*1。越境ハブの中では、さまざまな情報源からの脅威と事案のデータが集められ、分析または集計された情報が共有されます*1。

民間側から見ると、自社の観測情報を国レベルの窓口へ流す経路ができるということです。セキュリティ監視の運用で集めている検知の情報を、外部と共有できる形に整えられるかが問われます。匿名化を適切に行ったうえでのデータ収集と分析の道具立てが想定されている点も、設計に効いてきます*1。

備えの層——協調的な準備度テスト

二つ目の柱、サイバー緊急メカニズムは三本立てです*1。

内訳は、備えのための行動、対応と復旧を支える行動、そして相互支援を支える行動です*1。このうち備えの側で、受託の現場に近いのが協調的な準備度テストでしょう*1。

対象は、重要度の高い分野で活動する事業体です*1。テストは任意で、備えのための活動、たとえば侵入テストや脅威の評価から構成されうるとされています*1。支援は主に補助金の形で加盟国へ提供され、デジタルヨーロッパ計画の作業計画に定める条件に従います*1。

対象分野の決め方も具体的です。欧州委員会が、NIS協力グループ、EU-CyCLONe、ENISAに諮ったうえで、NIS2指令の附属書Iに列挙された重要度の高い分野の中から、補助金の公募を出しうる分野または小分野を特定する形になっています*1。加えて、重要度の高い分野または他の重要な分野の事業体に対する、その他の備えの行動も置かれました*1。

実務として意味を持つのは、侵入テストの需要が制度の側から生まれるという点です。CSIRTやSOCの人員が不足している状況で、テストの実施と結果の扱いを担える体制があるかどうかが分かれ目になります。

対応の層——予備と「信頼される提供者」

受託する立場にとって、もっとも直接的なのがこの部分です*1。

重大な事案や大規模な事案への対応と復旧を担うのは、EUサイバーセキュリティ予備に参加する、信頼されるマネージドセキュリティサービス提供者です*1。ここでいうマネージドセキュリティサービス提供者はNIS2指令の定義に従い、信頼される提供者とは、規則の定める手続に従って予備に含めるものとして選ばれた提供者を指します*1。

選ばれるための条件が、調達の文書に書き込まれます。

支援を求める側の手続も定められました。利用者は予備へ支援を要請できますが、その前提として、要請する事案の影響を軽減するためのあらゆる適切な措置を自ら講じていることが求められます*1。直接の技術支援の提供や、対応と復旧を助けるその他の資源も、ここに含まれます*1。要請の経路は、NIS2指令に基づいて指定された単一窓口を通す形です*1。

調達を行う当局は欧州委員会ですが、予備の運営と管理がENISAへ委ねられた場合はENISAが担います*1。障害対応とオンコールの体制を提供している事業者にとっては、公的な枠組みへ参加する道筋が一つ増えたことになります。

域外に支配される事業体の扱い

日本の企業がEUに置く現地法人にとって、無関係ではない条項があります*1。

この規則は、規則(EU) 2021/694を改正するにあたり、EU域内に設立されているが第三国から支配されている法人の参加について定めを置きました*1。条件は二つです。必要かつ十分な道具、基盤、サービス、あるいは技術、専門性、能力がEU域内では利用できないという現実のリスクがあること。そして、そうした事業体を含めることの利益が、保障上のリスクを上回ることです*1。

裏を返せば、域内で足りているうちは入り口が開かないという設計です。欧州サイバー警戒システムとEUサイバーセキュリティ予備という、いずれも中核に近い仕組みが対象になっているため、判断は慎重に置かれています*1。

資金の使い方にも独特の縛りがあります。予算の繰越は翌年に限り、かつEUサイバーセキュリティ予備と相互支援を支える行動に限って認められる形です*1。緊急時に使う枠を、年度の切れ目で失わせないための措置だと読めます。

域外との関係も、まったく閉じてはいません。デジタルヨーロッパ計画に関連づけられた第三国も予備の利用者になりえます*1。その場合、欧州委員会は理事会へ報告し、上級代表へ定期的に、少なくとも年に2回、支援の利用と結果を伝えることになっています*1。

振り返りの層——レビュー機構

三つ目の柱は、終わった後の話です*1。

欧州サイバーインシデント・レビュー機構では、欧州委員会またはEU-CyCLONeの要請に基づき、ENISAが、CSIRTsネットワークの支援と関係する加盟国の承認を得て、特定の重大な事案または大規模な事案について、サイバー脅威、既知の悪用可能な脆弱性、そして緩和の措置を検討し評価することになります*1。

評価が終わった後は、将来の事案を避け、あるいは影響を和らげるための教訓を引き出すことを目的として、ENISAが成果を届ける形です*1。事案の当事者だけが学ぶのではなく、域内で共有される仕組みだと読めます。

危機管理の枠組みとの関係も整理されました。事案が欧州連合市民保護メカニズムの定める災害から生じたり災害を招いたりする場合、この規則に基づく支援はその枠組みの行動を補完します*1。大規模な事案でEUの統合的な政治危機対応の取り決めが発動された場合は、その手続に従って支援が扱われます*1。

受託の現場から見ると、事後の検討に耐える記録を残しているかという問いになります。米国の重要インフラ向け報告制度やサイバーレジリエンス法の報告義務と同じく、時系列で何が分かっていたのかを示せる作りが土台になります。

評価の期日と、その先の予算

この規則には、自らを点検する条項も置かれています*1。

2027年2月5日までに、そしてその後は少なくとも4年ごとに、欧州委員会がこの規則の措置の機能を評価し、欧州議会と理事会へ報告することになっています*1。

評価の項目が、この制度が何を成功と見ているかを示しています。設立された国内ハブと越境ハブの数、共有された情報の範囲、可能であればCSIRTsネットワークの活動への影響*1。緊急メカニズムの利用と効果、デジタルヨーロッパ計画の資金の使われ方、実施から得られた教訓と提言*1。予備については、利用者の類型ごとの利用と効果、サービスの受け入れ状況とその種類、要請への対応と予備が展開されるまでの平均時間、そして予備のサービスのうち事案の予防と対応に関する備えのサービスへ転換された割合です*1。

加えて、零細企業や中小企業、新興企業を含む産業とサービスの競争上の地位への寄与、そして労働力のサイバーセキュリティの技能と能力を強化するという全体目標への寄与も評価されます*1。人材の育成が評価軸に入っている点は、受託側にとって見逃せません。

先の話も書かれています。地政学的な状況を踏まえ、2027年より先も措置の継続と発展を確保するため、2028年から2034年の多年度財政枠組みで適切な予算を配分する必要性を、欧州委員会が評価することが重要であるとされました*1。

受託・システム側で押さえる要点

この規則は義務を課す型ではありませんが、受託の立場で見ると論点があります。順に挙げます。

第一に、NIS2との位置づけを混同しないことです。この規則の行動は、CSIRTsネットワークやEU-CyCLONe、協力グループの活動を補完し、重複させないとされました*1。NIS2指令で負う義務がこの規則で軽くなるわけではありません。

第二に、検知情報を外部と共有できる形で持つことです。国内ハブは、公的な主体と民間の主体からの脅威情報を国レベルで集める窓口とされました*1。自社の監視基盤が閉じた形でしか出力できないと、参加の余地が生まれません。SIEM基盤の構築で扱う出力の形式と匿名化の設計が、そのまま関わってきます。

第三に、侵入テストを提供できる体制を見直すことです。協調的な準備度テストの中身として、侵入テストや脅威の評価が例示されています*1。実施だけでなく、結果を報告し改善につなげるところまでを担えるかが問われます。

第四に、予備の要件を自社の基準として読むことです。要員の専門的な誠実さ、独立性、責任、技術的な力量、専門性の恒常性と継続性*1。これらは公的な調達に限らず、対応を任せる相手を選ぶときの一般的な尺度としても使えます。委託先の評価表を作る際の土台になるでしょう。

第五に、支援を求める前提を満たせるようにすることです。予備への要請では、影響を軽減するためのあらゆる適切な措置を自ら講じていることが前提とされました*1。外部の支援が届くまでの初動を、自前でどこまでできるかという話です。ランサムウェアへの備えや事業継続の計画で扱う初動の手順が、そのまま前提条件になります。

受託で進める場合の注意点も挙げておきます。

言語と認証の壁を見込むことです。調達の原則には、言語、認証、認定といった各国の要求を考慮することが挙げられました*1。域内で展開するには、技術力だけでは足りないという含意があります。

人材育成を成果として示せるようにすることです。評価の項目に、域内のサイバーセキュリティ技能と能力への寄与が入っています*1。育成の実績を記録として残しておくと、説明の材料になります。

供給網の視点を持つことです。規則の背景には、諜報や身代金要求、業務の妨害を目的とした供給網への攻撃の増加がありました*1。供給網のセキュリティ管理で扱う取引先の可視化は、この制度の前提そのものです。

体制としては、監視の実務と制度の読み解きの両方を追える要員が入れるかが分かれ目になります。仕組みが動き出すのはこれからですが、いま持っている検知の情報と初動の手順で何が示せるのかは、先に確かめておきたいところです。

まとめ：EUサイバー連帯法で押さえる3つの視点

EUサイバー連帯法（規則(EU) 2025/38）は2024年12月19日に採択され、2025年1月15日に官報で公示されました。発効は公示から20日後です。押さえたい視点は三つあります。第一に、性格です。事業者へ直接の義務を課す規則ではなく、デジタルヨーロッパ計画の予算を使って検知・対応・振り返りの能力を積み上げる建て付けで、既存の規則(EU) 2021/694を改正する形が採られました。行動はCSIRTsネットワークやEU-CyCLONe、協力グループの活動を補完するものであり、重複させないとされています。第二に、三つの柱です。欧州サイバー警戒システムは国内ハブと越境ハブからなり、越境ハブは3つ以上の国内ハブをまとめます。サイバー緊急メカニズムは、重要度の高い分野の事業体への協調的な準備度テスト、EUサイバーセキュリティ予備による対応と復旧の支援、そして相互支援からなります。欧州サイバーインシデント・レビュー機構では、ENISAが特定の重大な事案を事後に評価し、教訓をまとめます。第三に、受託側の位置です。対応を担うのは調達で選ばれた信頼されるマネージドセキュリティサービス提供者で、要員の誠実さや独立性、技術的な力量、専門性の継続性が条件に挙げられました。最初の評価は2027年2月5日までに行われます。

よくある質問

出典

1. *1　参考：欧州連合官報「Regulation (EU) 2025/38 of the European Parliament and of the Council of 19 December 2024 … (Cyber Solidarity Act)」（2025年1月15日）（https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32025R0038）。採択日と公示日、第26条の発効、規則(EU) 2021/694の改正、既存の枠組みを補完し重複させないという整理、欧州サイバー警戒システムの構成と国内ハブの役割、サイバー緊急メカニズムの三本立てと協調的な準備度テスト、EUサイバーセキュリティ予備と信頼されるマネージドセキュリティサービス提供者の調達要件、支援要請の前提と単一窓口、欧州サイバーインシデント・レビュー機構におけるENISAの役割、2027年2月5日までの評価と評価項目、2028年から2034年の財政枠組みに関する記述の一次情報として（2026年8月確認）

Tweet