アクロニスによる NIS 2 コンプライアンスの確保

よくあるご質問（FAQ）

• NIS 2 遵守が必要となる組織にはどのような種類がありますか？

  NIS 2 指令は、あらゆる規模の組織に厳格な規制を課しています。 この指令では、企業を重要事業者と重要度の高い事業者という 2 つのグループに分類しています。

  重要事業者 : エネルギー（電力、石油、ガスなど）、運輸（航空、鉄道、水運、道路）、銀行、金融市場インフラ、医療、デジタルインフラ（IXP、DNS サービスプロバイダー、TLD ネームレジストリ、クラウドコンピューティングサービス、データセンター）、行政などの重要セクターが該当します。

  重要度の高い事業者 : 郵便・宅配サービス、廃棄物管理、化学品製造元、食品メーカー、特定の重要製品の製造元、デジタルプロバイダー（オンラインマーケットプレイス、検索エンジン、ソーシャルネットワーキングサービス）、調査など、重要事業者以外の重要な業界が該当します。

• NIS 2 はマネージドサービスプロバイダー（MSP）にどのような影響を与えますか？

  NIS 2 は、明示的に MSP を規制対象に含めており 、必須サービスのサプライチェーンで MSP が果たす重要な役割を認識しています。 つまり、EU で事業を展開する（または EU の顧客にサービスを提供する）MSP は以下の義務を負うことになります。

  • MSP 自体が NIS 2 指令のセキュリティ対策を遵守すること
  • 強力なバックアップとリカバリ、インシデント応答計画、報告手順など、強固なサイバーセキュリティ戦略を実装すること
  • ダイレクトサプライヤーとサブプロセッサによるセキュリティ基準の達成についても評価および保証することで、サプライチェーンリスクを管理すること
  • 多くの組織が NIS 2 コンプライアンスを確保するためのサポートを MSP に期待していることから、コンプライアンス関連サービスを顧客に提供する可能性があること
  • 指令に違反した場合、他の規制対象事業体と同様に多額の罰金を支払うこと

• NIS 2 が規定する主なサイバーセキュリティ要件は何ですか？

  NIS 2 では、以下の 4 つの主要分野に分類される、包括的なサイバーセキュリティリスク管理対策を義務付けています。

  • リスク管理 : 組織は、リスク分析、情報システムセキュリティ、インシデント処理、ビジネス継続性、サプライチェーンセキュリティ、ネットワークと情報システムの取得/保守におけるセキュリティ、サイバーセキュリティ対策の有効性評価、基本的なサイバーハイジーン、サイバーセキュリティのトレーニング、暗号化、ヒューマンリソースに関するセキュリティ、アクセス制御、アセット管理、多要素認証に関するポリシーを含め、適切な技術上、運用上、組織上の措置を講じることが義務付けられます。
  • 企業の説明責任 : 経営陣は、サイバーセキュリティのリスク管理措置を承認、監督し、責任を負うことが求められ、定期的にサイバーセキュリティトレーニングを受ける必要があります。
  • 報告義務 : 重要事業者と重要度の高い事業者は、重大な影響を及ぼすセキュリティインシデントを迅速に報告するプロセスの確立が義務付けられます。 これには、24 時間以内の「初期警告」、72 時間以内の初期評価、1 ヵ月以内の最終報告が該当します。
  • ビジネス継続性 : 組織は、重大なサイバーインシデント発生時・発生後のビジネス継続性を確保するための計画（システムリカバリ、緊急時の対応手順、危機対応チームなど）を策定する必要があります。

• NIS 2 コンプライアンスは中小企業にも義務付けられますか？

  一般的には義務付けられません。NIS 2 コンプライアンスは、極小規模企業と中小企業（従業員 50 名未満、年間売上高 1,000 万ユーロ未満）を対象としていません。

  ただし、以下の例外では、NIS 2 遵守を求められる場合があります。

  • 特定のリスクプロファイルや重要性に基づき、事業規模に関係なく EU 加盟国から「重要主体」と見なされる場合。
  • 中小企業であっても、EU の経済・社会にとって極めて重要と見なされるサービスを提供している場合。
  • 「重要」主体区分に該当する中小企業（SME）（通常、従業員 50～250 名、または年間売上高 1,000～5,000 万ユーロ）は、NIS 2 の対象とする。

  したがって、大半の極小規模企業や中小企業は適用対象外となります。ただし、重要なサプライチェーンにおける自社の役割や、必須サービスへの直接的な影響を評価し、NIS 2 が自社やその顧客に適用される可能性があるか判断することは、事業規模に関係なくあらゆる企業にとって極めて重要です。