コンプライアンス · NIS2
NIS2：Kayzenが第21条の措置にどう貢献するか
directive (UE) 2022/2555第21条は、10のリスク管理措置を挙げています。それぞれについて、Kayzenのようなツールが提供できることと、組織が担うべきことを示します。
一般的な情報であり、法的助言としての効力はありません。自組織の状況と義務については専門家に確認してください。Kayzenは一部の措置に貢献しますが、いかなる組織もコンプライアンスに適合した状態にするものではありません。
Kayzen Securityは開発中であり、販売中のモジュールはまだありません。ここに記載した貢献は、K-Complyの技術的なマッピングと、2026年10月31日時点の各モジュールの実際の状況に基づいています。
第21条第2項の10の措置
欧州連合官報に掲載された本文をもとにKayzenが作成した要約です。正本は官報掲載版のみです。
| 参照 | 措置（要約） | Kayzenの貢献の可能性 | 組織が担うこと |
|---|---|---|---|
| 21.2.a | リスク分析と情報システムのセキュリティポリシー |
| 文書化されたリスク分析と、経営陣が承認したセキュリティポリシー。いずれも定期的に見直します。 |
| 21.2.b | インシデント管理 |
| インシデント管理手順、待機体制の役割分担、第23条の期限内での重大インシデントの報告。 |
| 21.2.c | 事業継続、バックアップ、災害復旧、危機管理 | 組織的な措置：ソフトウェアによる貢献なし | テスト済みの事業継続・復旧計画、検証済みのオフラインバックアップ、危機対応チーム。Kayzenはお客様のデータをバックアップしません。 |
| 21.2.d | サプライチェーンのセキュリティ | 取引先と委託先の評価、契約におけるセキュリティ条項、その取り組みの継続的な確認。 | |
| 21.2.e | システムの取得、開発、保守におけるセキュリティ（脆弱性管理を含む） | 購入時のセキュリティ要件、社内アプリケーションのセキュアな開発、協調的な脆弱性開示のポリシー。 | |
| 21.2.f | リスク管理措置の有効性の評価 |
| 経営陣が追跡する指標、内部または外部監査、改善計画。 |
| 21.2.g | 基本的なサイバー衛生とサイバーセキュリティ研修 |
| 経営陣の研修と従業員への定期的な意識向上。Kayzenは研修を提供しません。 |
| 21.2.h | 暗号技術と暗号化に関するポリシーと手順 | 暗号ポリシー：アルゴリズム、鍵管理、通信とバックアップの暗号化。 | |
| 21.2.i | 人的資源のセキュリティ、アクセス制御、資産管理 |
| 入社、退職、異動の手続き、権限の定期的な見直し、利用規程。 |
| 21.2.j | 多要素認証、安全な通信、緊急時の通信 |
| その他のアプリケーションでの二要素認証、安全な通信ツール、緊急時の通信手段。 |
約束ではなく証拠を
K-Complyモジュールは、お客様の端末群で測定した指標（接続中のエージェント、保留中のパッチ、ディスクの暗号化、コンソール管理者の二要素認証など）を算出し、該当する措置に紐づけます。展開されていないモジュールの証拠は、常に「未測定」と表示され、「充足」と表示されることはありません。
限界
- ガバナンス、研修、事業継続、取引先管理は、全面的に組織が担うべきものです。
- 当局へのインシデント報告は主体の義務です。Kayzenはインシデントの記録を支援できますが、お客様に代わって届け出ることはできません。
- フランスの国内法化によってこれらの措置が具体化される場合があります。マッピングはそれに代わるものではありません。