NIS2：対象となるのは誰か、何から始めるべきか
欧州のNIS2指令により、サイバーセキュリティ上の義務を負う組織の数が大幅に増えます。自組織が対象かどうかを判断し、どう備えるかの目安をまとめました。ただし、専門家による分析に代わるものではありません。
Kayzen Security編集チーム読了時間：4分
指令が定めていること
2022年12月14日に採択されたNIS2指令は、2016年のNIS指令に代わるものです。対象となる主体に対し、サイバーセキュリティリスク管理措置を講じること（第21条）、重大なインシデントを報告すること（第23条）を義務づけ、経営機関の責任を定めています。経営機関はこれらの措置を承認し、研修を受けなければなりません（第20条）。
フランスでは、国内法化は法律と施行規則によって行われます。その進捗状況と施行日は、本ガイドをお読みになる時点でANSSIのサイトで確認してください。
自組織は対象か？3つの基準
- セクター：指令は11の「高度に重要な」セクター（附属書I：エネルギー、運輸、銀行、医療、水道、デジタルインフラ、行政、宇宙など）と、7つの「その他の重要な」セクター（附属書II：郵便、廃棄物処理、化学、食品、特定製品の製造、デジタルプロバイダー、研究）を挙げています。金融セクターについては、リスク管理とインシデント報告に関してDORA規則（règlement (UE) 2022/2554）が優先して適用されます。
- 規模：原則として、これらのセクターの中規模企業（従業員50人以上、または売上高と総資産がいずれも1,000万ユーロを超える企業）と大企業が対象です。関連企業やパートナー企業の従業員数や金額を合算しなければならない場合があります。
- 規模の例外：一部の主体は規模にかかわらず対象となります。特に、公衆向け電子通信ネットワークまたはサービスの提供者、トラストサービスプロバイダー、トップレベルドメイン名レジストリ、DNSサービスプロバイダー、そして国による指定に応じて、国内で不可欠なサービスを提供する唯一の主体などです。
- 地方自治体や行政機関は、国内法化の内容によって対象となる場合があります。
必須主体と重要主体
どちらのカテゴリも同じ種類の措置を講じる必要がありますが、監督の方法が異なります。必須主体には事前の監督が、重要主体には事後の監督が行われる可能性があります。また、指令は必須主体に対して、より高い行政制裁金の上限を定めています。フランスで適用される金額は国内法化の法律によって決まります。
第21条の措置の概要
- リスク分析とセキュリティポリシー。
- インシデント管理。
- 事業継続、バックアップ、危機管理。
- サプライチェーンのセキュリティ。
- システムの取得、開発、保守におけるセキュリティ（脆弱性管理を含む）。
- 措置の有効性の評価。
- 基本的なサイバー衛生と研修。
- 暗号技術と暗号化。
- 人的資源のセキュリティ、アクセス制御、資産管理。
- 多要素認証と安全な通信。
重大なインシデントを報告する
指令は、重大なインシデントを認識してから24時間以内の早期警告、72時間以内のインシデント通知、そしてその通知から遅くとも1か月以内の最終報告を定めています。これらの報告はCSIRTまたは所管当局に提出します。そのためには、インシデントを検知し、その重大性を判断し、適切な連絡先をあらかじめ把握しておく必要があります。
何から始めるべきか
- ANSSIのオンラインサービスで自組織の状況を確認し、その分析を専門家に確認してもらう。
- システム、データ、委託先・取引先のインベントリを作成する。
- 基本的な衛生対策を導入する：アップデート、二要素認証、オフラインバックアップ、管理者アカウントの統制。
- インシデント管理と報告の手順書を作成する。
- 措置を承認し研修を受ける必要がある経営陣を巻き込む。
本ガイドは情報提供を目的としてdirective (UE) 2022/2555を要約したものです。法的助言ではありません。自組織が対象となるかどうかとその義務については、施行中の国内法化の法令とANSSIの情報に基づき、専門家に確認してください。Kayzenのようなツールは第21条の措置に貢献することはできますが、組織をコンプライアンスに適合した状態にするものではありません。
公式情報源
- ANSSI （新しいタブ） — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex （新しいタブ） — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI （新しいタブ） — Agence nationale de la sécurité des systèmes d'information — guides et publications
引用した資料は、各発行元が原語で公開しているものです。Kayzen はこれらの機関のいずれとも提携していません。
本ガイドは一般的な情報提供を目的としたものです。法的助言や情報セキュリティ専門家による対応に代わるものではありません。