// シス担のミカタ
最近の注目トピック

NIS2指令 にすつーしれい

サイバーセキュリティEU規制インシデント報告リスク管理重要インフラコンプライアンス
NIS2指令について教えて

簡単に言うとこんな感じ！

EUが「重要なサービスを運営する企業はサイバーセキュリティをちゃんとやってね！」と義務づけた法律だよ。違反すると最大1,000万ユーロの罰金もあるから、EU圏でビジネスする日本企業も他人事じゃないんだ！

NIS2指令とは

NIS2指令（Network and Information Security Directive 2）は、EUが2022年12月に採択し、2024年10月に各EU加盟国で国内法化が義務づけられたサイバーセキュリティに関する法的枠組みです。正式名称は「Directive (EU) 2022/2555」といいます。2016年に施行された旧NIS指令の大幅な改定版であり、対象となる業種・企業の範囲を大幅に拡大し、義務の内容もより厳格になっています。

旧NIS指令は「重要インフラ」と呼ばれる電力・水道・医療などの事業者を主な対象としていましたが、NIS2指令では製造業・郵便・廃棄物管理・デジタルプロバイダーなど18のセクターに対象が広がりました。日本企業であってもEU域内で一定規模以上のサービスを提供していれば適用される可能性があり、グローバルにビジネスを展開する企業にとっては見逃せない規制です。

なぜ重要かというと、違反した場合の制裁金は最大1,000万ユーロ（または全世界売上高の2%のいずれか高い方）と非常に高額で、さらに経営幹部個人の責任も問われる仕組みになっています。セキュリティ対策を「コスト」ではなく「経営リスク」として捉える必要がある時代になったことを、この指令は象徴しています。

NIS2指令の構造と主な義務

対象となる2つのカテゴリ

NIS2指令では対象事業者を重要度に応じて2つに分類しています。

カテゴリ英語名対象セクター例規模要件
重要事業者Essential Entities (EE)エネルギー、交通、医療、金融、上下水道、宇宙大企業（従業員250名超 or 売上5,000万ユーロ超）
重要インフラ事業者Important Entities (IE)郵便、廃棄物管理、製造業、食品、デジタルプロバイダー中規模企業（従業員50名超 or 売上1,000万ユーロ超）

主な義務内容

義務内容ポイント
リスク管理措置技術的・組織的なセキュリティ対策の実施暗号化、アクセス制御、BCP策定など
インシデント報告重大インシデントを24時間以内に当局へ初期報告72時間以内に詳細報告、1か月以内に最終報告
サプライチェーン管理委託先・取引先のセキュリティリスクも管理下請けや調達先まで対象になりうる
経営幹部の関与セキュリティ施策の承認と監督責任CEOや取締役個人の責任も問われる
登録・届出所管当局への事業者登録加盟国ごとに窓口が異なる

覚え方：「NIS2の24-72-1」

インシデント報告の期限は「24時間・72時間・1か月」の3段階。「ニイシ（NIS）ツー（2）→ 二十四（24）・七十二（72）・一（1）」と覚えると便利です！

歴史と背景

  • 2013年頃〜 EUでサイバー攻撃が急増。重要インフラへの攻撃が社会問題化し始める
  • 2016年 旧NIS指令（Directive 2016/1148）施行。EU初のサイバーセキュリティ統一規制だが、加盟国ごとに実装のばらつきが大きかった
  • 2020年 欧州委員会がNIS指令の見直し評価を実施。対象範囲の狭さ・制裁の弱さ・加盟国間の格差が課題として浮上
  • 2020年12月 NIS2指令の草案を欧州委員会が提案。サイバーセキュリティ戦略の中核として位置づける
  • 2022年12月 NIS2指令がEU官報に掲載され、正式採択
  • 2024年10月17日 加盟国への国内法化の期限。ただし期限までに法制化が完了しなかった国も複数存在
  • 2025年〜 各国の執行機関による監査・制裁が本格化。日本企業への影響も顕在化しつつある

旧NIS指令との比較とGDPRとの関係

NIS2指令をほかの規制と並べて整理すると、その立ち位置がよくわかります。

項目旧NIS指令 (2016)NIS2指令 (2022)GDPR (2018)
対象重要インフラ・DSP18セクター（大幅拡大）個人データを扱う全事業者
主なテーマサイバーセキュリティサイバーセキュリティ個人情報保護
最大制裁金国により異なる1,000万€ or 売上2%2,000万€ or 売上4%
経営責任なしあり（幹部個人責任）なし（法人責任中心）
サプライチェーン義務なしあり処理委託契約で間接的に

NIS2指令の対象セクター構造

NIS2指令 対象セクター構造 重要事業者（EE） Essential Entities ⚡ エネルギー ✈ 交通・運輸 🏦 銀行・金融 🏥 医療・ヘルスケア 💧 上下水道 🌐 デジタルインフラ 🚀 宇宙 重要インフラ事業者（IE） Important Entities 📦 郵便・宅配 ♻ 廃棄物管理 🏭 製造業（一部） 🍎 食品 🔬 化学・研究 💻 デジタルプロバイダー 🏛 公共行政

関連する規格・RFC

規格・番号内容
Directive (EU) 2022/2555NIS2指令の原文（EU官報掲載）
ISO/IEC 27001情報セキュリティ管理システム（ISMS）の国際規格。NIS2準拠の基盤として活用される
ISO/IEC 27005情報セキュリティリスク管理の国際規格。NIS2のリスク管理義務と対応

関連用語