NIS2 コンプライアンス要件の詳細

2020 年 12 月、NIS2 Union が正式に欧州指令を採択し、EU 加盟国はこの指令を国内法に移しています。組織は各国政府の導入計画を監視し、期限が近づくにつれ、コンプライアンスに備える必要があります。

NIS2 コンプライアンスは、エネルギー、運輸、医療、デジタルサービスといった重要インフラストラクチャ部門の中規模および大規模な企業に義務付けられています。食品供給や宇宙事業などの新しい業種を含む EU で事業を展開する組織または EU 市場にサービスを提供する組織も、事業規模に関係なく遵守が求められます。

NIS2 に違反した場合の罰則は、多額の罰金になる可能性があり、一般的には組織の年間収益の割合として算出されます。場合によっては、数百万ユーロに達することもあります。さらに、組織の評判が失墜したり、事業に制限が生じる可能性もあります。

NIS2 は最初の NIS1 指令に基づいて拡大されました。NIS2 では、広範囲にわたる必要不可欠なサービスが対象となり、セキュリティ要件の厳格化とインシデント報告義務の強化が導入されています。

NIST（米国国立標準技術研究所）は主に、米国連邦政府機関およびその請負業者向けのサイバーセキュリティ基準およびガイドラインを策定しています。一方、NIS2 は、加盟国全体の必要不可欠なサービス事業者に対して特定のサイバーセキュリティ対策を義務付ける EU 指令です。 NIST コンプライアンスの詳細をご覧ください。

NIS2 は主に、さまざまなセクターにわたって、必要不可欠な基幹サービスを提供する事業者向けのサイバーセキュリティ要件に対応します。一方、DORA（デジタルオペレーショナルレジリエンス法）は金融業界に特化し、デジタル脅威に対する運用のレジリエンスを強調しています。 DORA コンプライアンスの詳細をご覧ください。

NIS2 では、組織はインシデントの検出、報告、対応のための明確な手順を規定したインシデント対応計画を策定するように義務付けられています。また、重大なインシデントは、検出から 24 時間以内に、管轄当局に報告する必要があります。

組織は、ネットワークシステムおよび情報システムに対するリスクを評価および管理すること、適切なセキュリティ対策を導入すること、インシデントを報告すること、サイバーセキュリティトレーニングに参加することが求められています。コンプライアンス義務には、定期的な監査とリスク評価を実施し、継続的なコンプライアンスを確保することも含まれています。

NIS2 に相当する米国の規制は、アメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁（CISA）のガイドラインなどのフレームワークのほか、NIST サイバーセキュリティフレームワークなどの部門固有の規制があります。これらは、重要インフラストラクチャ部門全体のサイバーセキュリティを強化することを目的としています。詳細については、追加のリソースをご覧ください。