LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

EUでサイバー連帯法という規則ができたと聞いたが、自社に新しい義務がかかるのか。NIS2指令（事業者に対策を義務づけるEUの指令）への対応とどう関係するのか——。セキュリティ運用を受託する事業者や、その体制を検討する情報システム部門では、こうした疑問が出てきます。EUサイバー連帯法（Cyber Solidarity Act、規則(EU) 2025/38）とは、サイバー攻撃を検知し、備え、対応する体制を、EUの予算を使って加盟国が共同で作るための規則です。

規則は2024年12月19日に採択され、2025年1月15日に官報で公示されました。^*1 事業者へ直接の義務を課すのではなく、デジタルヨーロッパ計画（EUのデジタル分野の予算計画）の予算で仕組みを作る点に特徴があります。ただし、この規則ができてもNIS2指令で負う義務が軽くなるわけではありません。本記事では、セキュリティ運用に関わる方に向けて、三つの仕組みの中身、日本企業の現地法人との関係、評価の期日、そして外部に委託するときに確認したい点を整理します。

EUサイバー連帯法とは

正式な題名は「サイバー脅威および事案を検知し、備え、対応するための域内の連帯と能力を強化する措置を定め、規則(EU) 2021/694を改正する規則」で、英語の略称はCyber Solidarity Actです。^*1 改正される規則(EU) 2021/694はデジタルヨーロッパ計画を定めた規則で、連帯法はその計画の予算を使って三つの仕組みを設けました。脅威を見つける「欧州サイバー警戒システム」、備えと対応を支える「サイバー緊急メカニズム」、そして重大な事案を後から検討する「欧州サイバーインシデント・レビュー機構」です。

規則が出発点にしているのは、諜報や身代金の要求、業務の妨害を目的に取引先などを経由して仕掛ける供給網への攻撃を含め、事案の規模・頻度・影響がEUでも世界でも増しているという認識です。攻撃は地方・地域・国の公共サービスと基盤に向けられることが多く、資源の限られた地方の当局はとくに脆弱だとされています。^*1 そのうえで規則は、公的部門、民間部門、学術、市民社会、報道の緊密な協力が重要だと述べています。

既存の枠組みとの関係も明記されました。連帯法に基づく行動は加盟国の権限を尊重して行われ、NIS2指令に基づく既存の組織の活動を補うもので、重複させないとされています。その組織とは、CSIRT（事案に対応する専門チーム）の各国の連携網であるCSIRTsネットワーク、欧州サイバー危機連絡組織ネットワーク（EU-CyCLONe）、協力グループ（加盟国どうしの協議の場）です。^*1 NIS2指令で求められる対策は別に確認しておく必要があります。

欧州サイバー警戒システムとは

一つ目の仕組みは、EU全体で脅威の情報を集めて見つけるための基盤です。各国に置く国内サイバーハブと、3つ以上の国内ハブをまとめる越境サイバーハブの二段で構成されます。システムへの参加は、加盟国にとって任意です。

参加する加盟国は、自国のサイバー脅威の検知活動を調整する単一の主体を、国内ハブとして指定します。国内ハブは国レベルの窓口となり、公的な主体と民間の主体から寄せられる脅威情報を集め、共有する役割を持ちます。越境ハブは、さまざまな情報源から集めたデータを分析し、その結果を共有します。データは必要に応じて匿名化したうえで集めることが想定されています。^*1

民間の事業者から見ると、自社で観測した脅威の情報を、国の窓口へ提供する経路ができることになります。セキュリティ監視の運用で集めている検知の情報を、外部と共有できる形式に整えられるかどうかが問われます。

サイバー緊急メカニズムとは

二つ目の仕組みは、備えのための行動、対応と復旧を支える行動、相互支援を支える行動の三つからなります。備えの行動の中心が、重要度の高い分野で活動する事業体を対象にした「協調的な準備度テスト」で、EU全体で調整して行う、攻撃への備えの点検です。テストへの参加は任意で、侵入テスト（実際の攻撃をまねて弱点を探す試験）や脅威の評価で構成できます。支援は主に補助金として加盟国へ提供されます。^*1

テストの対象分野は、欧州委員会がNIS協力グループ、EU-CyCLONe、ENISA（EUのサイバーセキュリティ機関）に諮ったうえで、NIS2指令の附属書Iに並ぶ重要度の高い分野から選びます。この仕組みによって侵入テストを行う機会が増えるため、CSIRTやSOC（監視の拠点）の要員が足りない事業者では、テストの実施から結果への対処までを担える体制を用意できるかが課題になります。

対応と復旧の中心になるのが「EUサイバーセキュリティ予備」で、事案が起きたときにすぐ使えるよう、EUが調達で事前に確保しておく対応サービスです。重大な事案や大規模な事案が起きたとき、予備に参加する「信頼されるマネージドセキュリティサービス提供者」が対応と復旧を支援します。^*1 マネージドセキュリティサービス提供者は、監視などのセキュリティ業務を請け負う事業者を指す言葉で、規則ではNIS2指令の定義を使います。そのうち、規則の手続に従って予備に選ばれた事業者が「信頼される」提供者です。選ばれるための条件は、調達の文書に書き込まれます。

支援を求める側にも条件があります。要請する前に、直接の技術支援の提供を含め、事案の影響を和らげるための適切な措置をすべて自ら講じていることが前提です。要請は、NIS2指令に基づいて各国が指定した単一の窓口を通して出します。^*1 調達を行うのは欧州委員会で、予備の運営と管理をENISAに委ねた場合はENISAが担います。障害対応とオンコールの体制を提供している事業者にとっては、公的な枠組みに加わる道が一つ増えたことになります。

インシデント・レビュー機構とは

三つ目の仕組みは、事案が収まった後の検討です。欧州委員会またはEU-CyCLONeの要請を受けて、ENISAが、CSIRTsネットワークの支援と関係する加盟国の承認を得たうえで、特定の重大な事案や大規模な事案を検討します。検討するのは、サイバー脅威、悪用できる既知の脆弱性、そして緩和の措置です。^*1 ENISAはその結果を、将来の事案を避け、あるいは影響を和らげるための教訓としてまとめ、届けます。

受託する側から見ると、事後の検討に使える記録を残しているかが問われます。米国の重要インフラ向け報告制度やサイバーレジリエンス法の報告義務と同じく、どの時点で何が分かっていたのかを時系列で示せる記録を残しておくと、こうした検討に対応しやすくなります。

日本企業の現地法人は関われるのか

連帯法は規則(EU) 2021/694を改正し、EU域内に設立されていても第三国から支配されている法人が、欧州サイバー警戒システムとEUサイバーセキュリティ予備に加わるときの条件を定めました。日本企業がEUに置く現地法人にとっても、無関係ではない条項です。

条件は二つです。必要かつ十分な道具、基盤、サービス、あるいは技術、専門性、能力がEU域内では利用できないという現実のリスクがあること。そして、そうした事業体を含める利益が、安全保障上のリスクを上回ることです。^*1 裏を返せば、域内の事業者で足りているあいだは、参加が認められにくい仕組みです。

評価の期日と予算

欧州委員会は、2027年2月5日までに、その後は少なくとも4年ごとに、この規則の措置の機能を評価し、欧州議会と理事会へ報告します。^*1 評価の項目には、設立された国内ハブと越境ハブの数、どんな情報が共有されたか、緊急メカニズムの利用と効果、デジタルヨーロッパ計画の資金の使われ方、実施から得られた教訓が並びます。

予備については、利用者の種類ごとの利用と効果、要請に応じて予備が動き出すまでの平均時間、予備として確保したサービスのうち、事案の予防と対応に備えるサービスへ切り替えられた割合も評価されます。中小企業や新興企業を含む産業の競争上の地位と、働く人のサイバーセキュリティ技能の強化にどれだけ寄与したかも項目に入っています。

予算の扱いにも特徴があります。EUサイバーセキュリティ予備と相互支援を支える行動の予算に限って、翌年への繰越が認められます。緊急時に使う予算を、年度の切れ目で失わないための扱いです。さらに、2027年より先も措置を続けて発展させるため、2028年から2034年の多年度財政枠組みで適切な予算を配分する必要性を欧州委員会が評価することが重要だと、規則の前文は述べています。^*1

外部に委託するときに確認しておきたい点

連帯法は事業者に義務を課す規則ではありませんが、監視や事案対応を委託する企業にも、受託する事業者にも、確認しておきたい点があります。

一つ目は、検知した情報を外部と共有できる形式で出力できるかです。国内ハブは、民間からの脅威情報も集める窓口とされています。監視の基盤が社内の仕組みでしか読めない形式でしか情報を出せないと、共有に加わることができません。SIEM（ログを集めて分析する仕組み）の構築で扱う出力の形式と匿名化の設計が、そのまま関わってきます。

二つ目は、外部の支援が届くまでの初動を、自社でどこまで担えるかです。予備への要請は、影響を和らげる適切な措置を自ら講じていることが前提でした。ランサムウェアへの備えや事業継続の計画で決めておく初動の手順が、そのまま要請の前提条件になります。

三つ目は、委託先の選び方です。予備の要件に並ぶ、要員の専門的な誠実さ、独立性、責任、技術的な力量、専門の人材を途切れずに確保できることは、公的な調達に限らず、事案対応を任せる相手を選ぶときの基準としても使えます。委託先の評価表を作るときに、これらを項目として入れておくと比べやすくなります。

四つ目は、EU域内でサービスを提供する場合の条件です。調達の原則には言語、認証、認定といった各国の要求への配慮が含まれ、評価の項目には技能の育成への寄与も入っています。技術力に加えて、認証の取得状況や人材を育てた実績を記録として示せるようにしておくと、説明がしやすくなります。

まとめ：EUサイバー連帯法で確かめたい3つの点

EUサイバー連帯法への対応を考えるうえで、確かめておきたい点は3つに整理できます。第一に、事業者に直接の義務を課す規則ではなく、NIS2指令で負う義務もそのまま残ると理解しておくこと。第二に、検知・対応・振り返りの三つの仕組みのうち、自社の業務に関わるのが脅威情報の共有なのか、準備度テストや予備への参加なのかを見極めること。第三に、予備へ支援を求める前提となる初動の対応と、事後の検討に使える時系列の記録を、自社で用意しておくことです。この3点を踏まえておけば、「EUの新しい規則に合わせて体制を作り直したが、求められていない準備だった」という事態を避けやすくなります。監視の仕組みや初動の手順の整備に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：欧州連合官報「Regulation (EU) 2025/38 of the European Parliament and of the Council of 19 December 2024 … (Cyber Solidarity Act)」（2025年1月15日）（https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32025R0038）。採択日と公示日、第26条の発効、法的根拠、規則(EU) 2021/694の改正、既存の枠組みを補完し重複させないという整理、欧州サイバー警戒システムの構成と国内ハブの役割、サイバー緊急メカニズムと協調的な準備度テスト、EUサイバーセキュリティ予備の調達要件と支援要請の前提、欧州サイバーインシデント・レビュー機構、第三国から支配される法人の参加条件、予算の繰越、2027年2月5日までの評価と評価項目、2028年から2034年の財政枠組みに関する記述の一次情報として（2026年9月確認）

Tweet