製造業のNIS2対応　適用範囲から監査準備までの実践ガイド

NIS2 COMPLIANCE GUIDE 製造業のNIS2対応 全体像をつかむ 対応ガイド 適用範囲・要求事項・ロードマップ・監査準備を 一冊で整理 NIS2コンプライアンスの完全対応ガイド 2026.09 Secomea合同会社

Secomea について 2008年に設立されたSecomeaは、15年以上にわたり、製造業や機械メーカー のOTリモートアクセスのニーズに応えてきました。 Secomeaは、産業ネットワークとOT機器向けに特化して設計されたセキュア リモートアクセス（SRA）ソリューションです。現在、世界9,500社以上のお 客様が、数千の拠点で日々活用し、機械のリモートアクセス管理、サイバー セキュリティリスクの低減、ダウンタイムの防止に役立てています。 © Secomea 2024. All rights reserved. 本書に記載されている内容は、一般的な情報提供を目的としてお り、法的またはその他の専門的アドバイスを意図したものではあ りません。情報の正確性と適時性には細心の注意を払っておりま すが、最新の法的または技術的な動向に基づいていない可能性があ るため、受け取った時点での正確性を保証することはできません。 Secomeaでは、本書に記載された原則を、お客様の個別の状況にどの ように適用できるかについて、アドバイスをご提供しています。詳細 については、secomea.com.をご覧ください。

NIS2コンプライアンス 達成に向けた製造業の 課題解決ロードマップ Secomeaでは、NIS2指令の発効当初から、お客様やユーザー様と 連携し、コンプライアンス対応を支援しています。 お客様との対話を重ねるなかで、製造業界の企業や団体がNIS2指令に 直面する際に抱える主な課題が明らかになってきました。 NIS2指令で新たに適用対象となったセクターや事業体は、 コンプライアンス対応を大きな負担と捉えているようで す。 Annex I（主要事業体）に含まれる いという状況に、今回初めて直面 「高度に重要なセクター」の組織 しています。 の多くは、2016年に施行された初 代のNIS指令の段階で、その内容 さらに厄介なことに、こうした企 を把握していました。また、2018 業の多くは、適切な準備を整える 年以降はGDPRの影響を直接受け ためのスキルやリソースを十分に ている企業も多く、その対応とし 備えていない可能性があるのです。 てサイバーセキュリティ体制の強 化やコンプライアンス部門・プロ また、意思決定者の中には、セ セスの強化をすでに進めているよ キュリティに関する議論への積 うです。 極的な関与に慣れていないケー スもあります。 一方、Annex II（重要事業体）に 含まれる「重要なセクター」の こうした理由から、何から着手す 場合、大多数の企業が、包括的 べきかすら分からないという状況 なサイバーセキュリティ法規制 も珍しくありません。 の要件を満たさなければならな secomea.com 3

多数の機械メーカーと取引のある企業にとって、 サプライヤーリスクの評価はとりわけ困難です NIS2指令では、取引のあるすべ OT環境が複雑であればあるほど、 てのサプライヤーおよびサービ この作業の負担は大きくなります。 スプロバイダーについて、セ キュリティ対策に関する情報を 一般的な製造業の企業では、10社 収集することが求められます。 から1000社に及ぶ多様な機械メー これには、自社の基幹サービス カーのリスクプロファイルを調査 を支える重要なサードパーティ し、それをリスクアセスメントに 資産の特定、それらのサイバー 組み込む必要が生じることもあり セキュリティ対策の評価、さら ます。 に、提供される製品やサービス に特有の脆弱性を踏まえた対応 これは、自社のリスク管理戦略を 状況の確認が含まれます。 策定するうえで（そして指令に準 拠するうえでも）必要なプロセス である一方、非常に複雑かつ手間 のかかる作業でもあります。 国の法制度も業界ガイドラインも整備されないまま 迫ってくる対応期限 NIS2指令へのコンプライアンスに とはいえ、NIS2指令はすでに遵守 向けて取り組みを始めることは、 すべき最低限の要件を明確に示し 対象となる企業にとって大きな負 ており、初期対応に着手するため 担に感じられるかもしれません。 の出発点として活用できることを、 ぜひ認識しておいてください。 自国法に基づいてコンプライアン これらの最低要件に対応できた頃 スプログラムを開始できれば、必 要な対応を正確に把握できるため、 には、自国法の採択が進み、業種 より安心して取り組めると考える 別ガイドラインも発行されている 企業も多いでしょう。 可能性が高いと考えられます。 同様の理由から、業界の特性を踏 その時点では、自国の法制度や所 まえた具体的なルールや要件を示 管当局が提示する要件に照らして、 す、所管当局による業種別サイ 自社に追加対応が必要かどうかを バーセキュリティガイドラインの 確認するためのギャップ分析を行 発行を待ち望む企業もあるかと思 うだけで済むでしょう。 います。 secomea.com 4

完全なコンプライアンス実現を支援するために、本書では サイバーセキュリティの新たな法規制について、知ってお くべき情報を網羅的にまとめています。 本書のポイント • NIS2指令とは何か、なぜ必要となったのかを理解する • 自社が指令の適用対象かどうか、主要事業体または重要 事業体に分類されるかを確認する • 遵守すべき要件を把握する • 10のステップで完全なNIS2コンプライアンスを達成する方 法を知る • 当局の監査に備え、良好な結果を出すための方法を見極 める • Secomeaを活用してサイバーセキュリティを強化し、 NIS2コンプライアンスに向けたサポートを受ける secomea.com 5

目次 01 NISからNIS2へ EUにおけるサイバーセキュリティ法制の変遷 ...............................................7 02 NIS2の対象か否か：自社の適用範囲を見極める 自社は主要事業体か、それとも重要事業体か？.............................................11 03 NIS2対応のポイントを整理する コンプライアンスに向けて注力すべき3つの重点分野 ...................................17 04 NIS2コンプライアンスの実践ガイド ステップ別ロードマップ ..................................................................................27 05 NIS2コンプライアンス監査対策 ベストプラクティスと成功戦略.........................................................................33 06 Secomea: NIS2コンプライアンスを支える信頼のパートナー NIS2対応を支援するセキュリティ、ソリューション、機能………………..…37

01 NISからNIS2へ EUにおけるサイバーセキュリティ法制の変遷 なぜNIS2指令が必要となったのか? さらに、この規制枠組みでは、デジタル社会の進展 やパンデミックによって顕在化・深刻化した新たな 2016年に採択されたNIS指令は、欧州連合における サイバー脅威への対応に限界があることも明らかに 初のサイバーセキュリティ法でした。 なりました。 加盟国のサイバーセキュリティ水準の向上に大きく 貢献したものの、導入の実態は加盟国や対象セク ターによってバラつきがあり、一貫性を欠いていま した。 NIS2指令とは? 欧州連合が策定したサイバー セキュリティに関する新たな EU規制を、一般に「NIS2指 令」と呼んでいます。 この指令は、2016年に採択さ れた従来の「ネットワークお よび情報システム（NIS）のセ キュリティにおける共通かつ 高水準の対策を定めた指令」 を廃止し、新たに制定された ものであることから、一般に 「NIS2指令」として知られて います。 secomea.com 7

01 | From NIS to NIS2 欧州経済がデジタルソリューションに依存すればするほど、サイバー攻 撃の影響は深刻になりかねません。たとえ単一の組織やセクターに限定 された攻撃であっても、その影響が広範に及び、域内市場全体でサービ ス提供に支障を来すおそれがあるからです。 指令の限界を補い、高度化するサイバーリスク環境に対応するため、欧 州委員会は改正案を策定しました。こうして制定されたのがNIS2指令で あり、その目的は以下の通りです。 • エネルギー、交通、銀 • 各加盟国に対し、コンピュー 行、飲料水、医療、製 タセキュリティインシデント 造、食品生産、デジタ 対応チーム（CSIRT）、所管 ルインフラなど、経済 のネットワークおよび情報シ に不可欠でICTに依存す ステム（NIS）当局、単一窓 るより多くのセクター 口（SPOC）の設置を義務付 を規制対象に加えるこ け、国単位の対応能力を向上 と。 させること。 • 組織のサイバーレジリエン • Cooperation Group（協力グ スを強化することを目的に、 ループ）およびCSIRTネッ 将来を見据えたルールを導 トワークを通じて情報交換 入すること。 を促進し、加盟国間の連携 を強化すること。 施行日はいつ？コンプライアンスの期限は？ EUのNIS2指令は2023年1月16日に発効し、加盟国には2024年10月17日 までにその内容を国内法に転換することが求められています。各企業・ 団体も、それまでにNIS2への準拠を完了している必要があります。 secomea.com 8

01 | From NIS to NIS2 次のステップは？ EUの役割 この指令では一般的なサイバーセキュリ 2023年1月23日以降、ENISAは、EUの ティ対策が定められていますが、技術的要 CSIRTが発見した、またはCSIRTに報告 件をさらに具体化するため、EUは今後、追 された情報技術（IT）製品の脆弱性につ 加の実施法令や認証制度も採択する予定で いて、調整された開示を行うためのCVE す。 番号割り当て機関（CNA）としての役 割を担っています。 さらに、この指令では、加盟国のサイバーハ イジーン政策を監視するうえで、EUサイ デンマークで最初の（そしてつい最近まで バーセキュリティ庁（ENISA）の役割が強化 唯一の）CNAであるSecomeaは、ENISAが されました。具体的には、ネットワークおよ 脆弱性報告の効率化を通じてサイバーセ び情報システムの提供者やそのサプライヤー、 所管当局、CSIRTが既知の脆弱性を自主的に キュリティ体制を強化するという重要な一 公開・登録できる欧州脆弱性データベースの 歩を踏み出したことをたいへん喜ばしく受 設置など、 ENISAに新たな任務が付与され け止めています。 ています。このデータベースは、利用者が適 切な緩和策を講じられるよう支援することを 目的としています。 EU 加盟国 セクター • NIS2指令の採択 • 指令を実施するための NIS2の対象となる各セ • 追加の実施法や認証制 国内法の採択 クターは、セクター内の 度の採択 • 国家サイバーセキュリ 事業体が遵守すべき具体 • CVE番号割り当て機関 ティ戦略およびインシ 的な要件を、サイバーセ （CNA）としてのENISA デント・危機対応計画 キュリティガイドライン の監視機能の強化 の策定 としてまとめる • 監督当局、CSIRT、 サイバー危機管理当 局のそれぞれについ て、1つ以上の機関 製品および サービス を指定する 製品やサービスは、新た なサイバーセキュリティ 要件に沿って開発・強化 事業体 される必要がある 各事業体は、業種別ガイド ラインに従い、自らに課さ れた要件を満たすとともに、 サプライチェーン サプライヤーにも新たなサ イバーセキュリティ基準の 各サプライヤーは、新たな 遵守を求める コンプライアンス要件を満 たすために、自社の製品や サービスを調整・更新・改 善する secomea.com 9

01 | From NIS to NIS2 加盟国の役割 各加盟国は、2024年10月17日まで • 他の加盟国およびENISAと国境 に国内法の採択を通じて、指令で を越えた連携を担う、単一窓口 定められた要件を自国内で実施し の指定または設置 なければなりません。 • 大規模なサイバーインシデント 指令の国内法への転換に加え、各加 や危機への対応を担う、1つ以 盟国に求められる対応は以下の通り 上のサイバー危機管理当局の指 です： 定または設置。各国の当該当局 の代表は、EU-CyCLONe（欧 • 国家サイバーセキュリティ戦 州サイバー危機リエゾン組織 略の採択 ネットワーク）に参加 • コンプライアンス監督を担 う、1つ以上の所管当局の指 定または設置 その他、求められる対応 対象となる各セクターの所管当局は、 そして最後に、サプライヤーは、 セクター内の事業体が遵守すべき具 新たなコンプライアンス要件を 体的なサイバーセキュリティ要件を 満たすために、自社の製品や 取りまとめて提示する役割を担いま サービスを調整・更新・改善す す。 る必要があります。 一方、事業体は業種別ガイドライ その結果として、製品やサービス ンに従い、サプライヤーに対して も、新たな要件に合わせて開発・ 新たなサイバーセキュリティ基準 強化されていくことが求められま の遵守を求めます。 す。 secomea.com 10

02 NIS2の対象か 否か： 自社の適用範囲を 見極める 自社は主要事業体か、 それとも重要事業体か？ NIS2指令の影響を受けるセクターや企業とは？ NIS2指令の適用対象となるセクターは、附属書IおよびIIに明記さ れています。附属書Iは「高度に重要なセクター」、附属書IIは 「その他の重要なセクター」が対象です。 これらのセクターに属するすべての事業体がNIS2指令の適用対象 となるわけではありません。対象となるのは、従業員数が50人を 超え、かつ年間売上高または年間総資産額が1,000万ユーロを超 える、中規模企業以上と見なされる要件を満たす企業に限られま す。 ただし、企業規模にかかわらず適用対象となるケースもあります。 以下のいずれかに該当する場合、規模要件を満たしていない企業 であっても指令の適用を受けます： • 加盟国内で重要なサービスを提供する唯一の事業者である場合 • 提供するサービスの中断が、公共の安全、治安、公衆衛生に 重大な影響を及ぼすおそれがある場合、あるいは深刻なシス テミックリスクを引き起こす可能性がある場合 • 特定のセクターやサービスにおいて、国または地域レベル で特に重要と見なされる場合 • 国または地域レベルの公的行政機関である場合 secomea.com 11

02 | In or out: Assessing your position within the NIS2 scope 主要事業体と重要事業体 附属書に記載されたセクターに属し、かつ規模要件を満たすすべての事 業体は、NIS2指令の適用対象となります。すべての事業体が同じ法的要 件を満たす義務を負う一方で、監督および執行措置については一律では ありません。 指令では、対象となる事業体を「主要事業体」と「重要事業体」の2つに 分類し、それぞれに異なる監督体制を適用しています。この分類は、事業 体が属するセクターの重要度に基づいており、実際の適用は事業体の規模 によって判断されます。 一般的な指針として、附属書Iに記載された「高度に重要なセクター」に 属する事業体は「主要事業体」、附属書IIに記載された「その他の重要セ クター」に属する事業体は「重要事業体」に分類されます。 secomea.com 12

02 | In or out: Assessing your position within the NIS2 scope 事業体 セクター 従業員数 従業員数 従業員数 50人未満/ 50人/ 50人/ 年間売上高 年間売上高 年間売上高 1,000万 1,000万 1,000万 ユーロ未満 ユーロ ユーロ超 1. エネルギー（電力、地域暖房・冷房、石油、ガス、水素） 2. 輸送（航空、鉄道、水上、道路） 3. 銀行 4. 金融市場インフラ 5. 医療：医薬品や製剤の製造事業体に加え、公衆衛生上の緊急事態にお いて重要とされる医療機器（ワクチンなど）を製造する事業体など 6. 飲料水 7. 下水 8. デジタルインフラ（インターネットエクスチェンジポイント、 クラウドコンピューティングサービス提供者、データセンターサービス 提供者、コンテンツデリバリーネットワーク） DNSサービス提供者、TLD名登録機関、トラストサービス提供者 認定トラストサービス提供者、トップレベルTLD名登録機関、DNSサービス提供者 公共電子通信ネットワーク提供者および公衆向け電子通信サービス提供者 9. ICTサービスマネジメント： • マネージドサービス提供者（顧客先または遠隔で、ICT製品、ネットワーク、イ ンフラ、アプリケーション、その他のネットワークおよび情報システムの導入・ 管理・運用・保守を支援または積極的に実施する事業者） • マネージドセキュリティサービス提供者（サイバーセキュリティリスク管理に 関連する活動を支援する事業者） 10. 公共サービス 国または地域レベルの公的行政機関 11. 宇宙 加盟国内で重要なサービスを提供する唯一の事業体 提供すサービスの中断が、公共の安全・治安・公衆衛生に重大な影響を及ぼすお それがある事業者、あるいは深刻なシステミックリスクを引き起こす可能性がある 事業体 特定のセクターやサービスにおいて、国または地域レベルで特に重要と見なされる 事業体 該当する加盟国において、指令を実施する国内法によって「主要事業体」として指 定された事業体 加盟国の判断 1. 郵便・宅配 2. 廃棄物管理 3. 化学品製造 4. 食品の製造、加工、および流通 5. 製造（医療機器、コンピュータ・電子・光学製品、電気機器、機械装置、自 動車・トレーラー・セミトレーラー、その他の輸送機器） 6. デジタルプロバイダー（オンラインマーケットプレイス、オンライン検索エンジ ン、ソーシャルネットワーキングサービスプラットフォーム） 7. 研究機関 secomea.com 13 附属書 II: 附属書 I & II 附属書 I: その他の重要なセクター 高度に重要なセクター 適用される 主要事業体 重要事業体 監督体制

02 | In or out: Assessing your position within the NIS2 scope NIS2指令の適用対象となる企業は、 基本的に、主要事業体はその重要性 主要事業体か重要事業体かにかかわ の高さから、より積極的かつ厳格な らず、同一のサイバーセキュリティ 監督・執行措置の対象となります。 要件を遵守する義務があります。 重要事業体にも同様の措置が適用さ れますが、事後的な監督が中心とな り、執行権限の範囲もやや限定的で ただし、監査の実施や罰金に関 す。 する所管当局の権限については、 両者で適用される規定が異なり ます。 重要事業体 主要事業体 研究 エネルギー 廃棄物管理 運輸 銀行 製造 金融市場 デジタル サービス 郵便・宅配サービス 医療・医薬品 食品の製造・加工 飲料水 化学品製造 下水 デジタルインフラ ICT サービス マネジメント 公的行政サービス 宇宙 secomea.com 14

02 | In or out: Assessing your position within the NIS2 scope 主要事業体と重要事業体に適用される 監督体制の違い 監督・執行のしくみ： 主要事業体は、オンサイトおよび や認可の一時停止などを行うこ ある指示、違反行為の停止命令、 オフサイトでの検査、定期的なセ とができます。 罰金の賦課に重点が置かれていま キュリティ監査、臨時監査、なら す。 びにコンプライアンス評価を目的 一方、重要事業体には事後的な監 としたセキュリティスキャンの対 督措置のみが適用されます。つま 主要事業体および重要事業体の双 象となることがあります。 り、違反の証拠や兆候が確認され 方には、予備的な調査結果の通知 た場合、またはセキュリティイン を受ける権利、意見を提出する権 所管当局は、情報収集に関する広 シデントが発生した後に措置が講 利、執行措置に対して不服を申し 範な権限と、執行に関する強力な じられます。 立てる権利など、手続的な保護が 権限を有しており、警告の発出、 認められています。 所管当局の執行権限はやや限定的 拘束力のある指示、違反行為の停 で、主に警告の発出、拘束力の 止命令、罰金の賦課、認証 罰金および個人責任： NIS2指令では、違反に対する罰金は、実効性が さらに、主要事業体に対する執行措置の実効 あり、均衡が取れ、抑止力のあるものでなけれ 性と抑止力を一層高めるため、所管当局には ばならないと定められています。 以下の権限も付与されています。 NIS2指令の要件に違反した企業には、警告・指 • 違反のあった事業体が提供するサービスや実 示・命令などの執行措置と併せて、金銭的制裁 施する活動の一部または全部について、認証 が科されることがあります。 または認可を一時的に停止すること。 主要事業体に対する罰金は、最大で1,000万ユーロ • 最高経営責任者（CEO）または他の法的代表 または全世界の年間売上高の2％のいずれか高い額 者に対し、経営上の職務の遂行を一時的に禁 と定められています。 止すること。経営幹部であるか、または事業 体を代表・支配し、その名のもとに意思決定 重要事業体に対する罰金は、最大で700万ユーロ を行う権限を有する（また、結果として、当 または全世界の年間売上高の1.4％のいずれか高い 該事業体のNIS2指令の遵守を確保しうる立場 額と定められています。 にある）自然人は、当該義務に違反した場合、 違反行為がGDPR上の個人データ侵害につながる その責任を問われる可能性があります。 おそれがある場合、所管当局は関係する監督当 局に通知する義務を負います。また、当該行為 に対して、GDPRに基づく罰金が科される可能性 があります。 secomea.com 15

02 | In or out: Assessing your position within the NIS2 scope 所管当局に付与された 主要事業体 重要事業体 権限 • 予防的・抜き打ちの監督 事後的な監督措置 • オンサイトおよびオフサイトでの検査、 （セキュリティインシデント発生後） 定期的なセキュリティ監査、臨時監 査、セキュリティスキャン • 所管当局は、インシデントの発生有無 にかかわらず、事前に情報を収集し、コ 監督措置の範囲 ンプライアンスを評価する広範な権限を および重点 有する 所管当局は、監督業務の遂行に必要なデータ・書類・情報へのアクセスを要求できるほか、 サイバーセキュリティ方針の実施状況に関する証拠の提出を求めることができる • 警告 • 警告 • 拘束力のある指示 • 拘束力のある指示 • 違反行為の停止命令 • 違反行為の停止命令 • 重大なサイバー脅威の影響を受ける • 罰金 可能性のある顧客に対し、その脅威の 性質および講じうる保護措置または是 正措置について通知するよう命じるこ と • 事業体の遵守状況を監督するモニタ リング担当者の指名 • 罰金 • サービスの提供または活動に関 執行権限 する認証または認可の一時的な 停止 • 自然人による経営上の職務遂行の一 時的な禁止 • NIS2指令の遵守義務違反に対する 個人責任の追及 最大で1,000万ユーロまたは 最大で700万ユーロまたは 金銭的制裁 全世界年間売上高の2％の 全世界年間売上高の1.4％の いずれか高い額 いずれか高い額 予備的な調査結果の通知を受ける権利、意見を提出する権利、 手続上の保護措置 執行措置に対する不服申立ての権利など、手続上の保護措置 secomea.com 16

03 NIS2対応の ポイントを整理する コンプライアンスに向けて注力すべき 3つの重点分野 NIS2指令により企業に課される要件は、大きく3つの領域に分類でき ます。 1. 経営陣の関与、職務上の責任、教育、および法的責任 2. サイバーインシデントのリスクを軽減するための予防的措置 3. サイバーインシデント発生時の報告義務 以下、それぞれの項目について詳しく見ていきます。 01 経営陣の 責任 02 03 サイバー 報告義務 セキュリティ 対策 secomea.com 17

03 | Demystifying NIS2 requirements 01 経営陣の 責任 02 03 サイバー 報告義務 セキュリティ 対策 NIS2コンプライアンスに関す る経営陣の責任 リーダーシップの重要性 ておらず、それが十分な予算確保 を妨げる主な要因となっています。 多くの企業にとって、サイバー領域 の最新動向に対応し続けることは容 サイバーハイジーンの徹底に向けた 易ではなく、特に今回新たに指令の 取締役会レベルの行動計画 適用対象となった企業においては、 すべての要件を確実に満たすことが このテーマが複雑であることは確 大きな負担となる可能性があります。 かですが、サイバーセキュリティ は最高情報セキュリティ責任者 さらに困ったことに、企業は適切 （CISO）だけでなく、組織全体 に準備するためのスキルやリソー で担うべき責任であると考える必 スを常に持ち合わせているとは限 要があります。 りません。セキュリティの専門家 が重要な経営判断に関与していな CEO、CTO、CFOなどの経営幹 い場合、プロジェクトに十分な安 部をはじめとする主要ステークホ 全対策が講じられず、支障をきた ルダーが、自らの役割を認識し、 すおそれがあります。 企業内に強固なセキュリティ文化 を根づかせ、さらに浸透させてい さらに、最近の調査によると、企 くことが不可欠です。 業の5社に1社がサイバーインシデ ントの削減を妨げる要因の一つと ITおよびOTのセキュリティガバナ して、経営陣の関与不足を挙げて ンスは、企業戦略を支え、さらに発 います。 展させる基盤であることから、経営 陣のリーダーシップに不可欠な要素 経営層の多くは、セキュリティ対 として捉えるべきです。 策をリターンを生む投資とは捉え secomea.com 18

03 | Demystifying NIS2 requirements 企業のリーダーの役割は、リスクを 件に沿ったサイバーセキュリティリ 許容可能な水準に管理し、自社の スク管理措置の承認を経営陣の責任 ミッションを支えることにあります。 と位置づけています。 そのためには、常にサイバーセキュ リティを意識し、経営の議論に組み 経営陣はこれらの対策の実施を監督 込んだうえで、企業の長期的な健全 する責任を負い、違反があった場合 性を支えるための行動と投資を計画 には個人として法的責任を問われる すべきです。 可能性があります。 NIS2コンプライアンスは経営陣の法 特に、所管当局は、コンプライア 的責任に ンス違反が認められた場合、CEO やその他の法的代表者に対して、 EU委員会は、NIS2指令が求めるサイ 経営上の職務遂行を一時的に禁止 バーセキュリティ対策の実施によっ することができます。 て、対象企業に多大なコストが発生 することを想定していました。だか さらに、経営陣にはサイバーセキュ らこそ、経営陣がサイバーセキュリ リティ研修の受講が義務付けられて ティについて理解を深め、リスクを 認識し、高い優先度を認めることが おり、従業員にも同様の研修を定期 これまで以上に重要となります。そ 的に提供することが推奨されていま うしてはじめて、必要な予算が確保 す。従業員が十分な知識とスキルを されるからです。 身につけ、リスクを識別し、サイ バーセキュリティリスク管理の実施 NIS2指令では、経営陣がコンプライ 状況や、それが事業体のサービスに アンスに必要なリソースを確保しな 及ぼす影響を評価できるようにする いリスクに対応するため、 NIS2要 ためです。 サイバーセキュリティ対策への経営陣の関与、研 修の受講、支持、対策の承認は、単なる推奨事項 にとどまらず、現在では法的要件となっています。 さらに、経営陣がコンプライアンス違反に対して 法的責任を負うことが定められており、場合に よっては経営上の職務遂行を停止される可能性も あります。 secomea.com 19

03 | Demystifying NIS2 requirements 01 経営陣の 責任 02 03 サイバー 報告義務 セキュリティ 対策 第21条に定められたサイバー セキュリティリスク管理対策 NIS2指令は全46条で構成されていますが、企業がコンプライアンスに向 けて最も注力すべき条文は、第21条です。 第21条は、企業に対し、自社のネットワークおよび情報システム（NIS）の セキュリティに関するリスクを管理し、サービス利用者への影響を防止また は最小限に抑えるために、適切かつ均衡の取れた技術的・運用的・組織的対 策を講じることを求めています。 この条文は、サイバーリスクを軽減するために必要なあらゆる対策を広く包 含すことを意図しています。しかし、実際には、企業に何が求められている のでしょうか？ これらの対策とは具体的に何を指し、自社にとって十分であるかどうか、ど のように確認すればよいのでしょうか。 これから、その内容を明らかにしていきましょう。 secomea.com 20