アクロニスによる NIS 2 コンプライアンスの確保

欧州の NIS 2 指令により、厳格なサイバーセキュリティと報告のルールが課されます。明確な指針を得て、アクロニスがコンプライアンスの取り組みをどのように支援するかをご確認ください。

NIS 2 とサイバーセキュリティの関係性

欧州のネットワークおよび情報システムのセキュリティに関する指令（NIS 2）は、欧州連合（EU）全体でサイバーセキュリティの質を高めるとともに、高度なサイバーセキュリティの標準化を目指しています。この指令により、エネルギー、運輸、医療、銀行、その他の重要なインフラ産業を含む主要セクターに、新たなセキュリティと報告に関する要件が課されます。

NIS 2 サイバーセキュリティの柱

リスク管理戦略
すべての IT システムに体系的なリスクの評価と緩和戦略が実装されている。
インシデントの対策および検出
高度なツールと監視により、サイバー脅威がリアルタイムで特定、ブロックされる。
インシデント応答および報告
インシデントに迅速に対応し、重要な事象を 24 時間以内に報告する公式手順が確立されている。
ビジネス継続性およびディザスタリカバリ
テスト済みのバックアップとリカバリ計画を維持し、重要なサービスの迅速な復元が保証されている。
サプライチェーンのセキュリティ
サードパーティプロバイダーやパートナーに関するサイバーセキュリティリスクが評価、管理されている。
アクセス制御および ID 管理
ロールベース制御や多要素認証など、厳格なアクセスポリシーが適用されている。
セキュリティ意識向上トレーニング（SAT）
サイバーインシデントの主な原因となる人的エラーを減らすため、継続的なトレーニングが行われている。

NIS 2 の罰金および罰則

NIS 2 に違反した場合、多額の罰金、規制当局による調査、法的措置の対象となる可能性があります。金銭的な影響に加え、組織の評判が損なわれ、顧客の信頼を失うおそれもあります。マネージドサービスプロバイダーにおいても、顧客がシステムやデータのコンプライアンスを確保するうえで MSP に期待を寄せることから、規制上のプレッシャーが高まる可能性があります。

最大 1,000 万ユーロまたは全世界年間売上高の 2%
重要事業者
最大 700 万ユーロまたは全世界年間売上高の 1.4%
重要度の高い事業者

組織における NIS 2 要件達成の課題

多くの組織が NIS 2 要件の達成に苦慮する原因として、以下のようなセキュリティ上、運用上の戦略に関するギャップが挙げられます。

アセットインベントリやシステムに対するリアルタイムの可視性の欠如
暗号化されていない、あるいは定期的にテストされていないバックアップ
構造化されたインシデント応答や報告プロセスの欠落
従業員のセキュリティ意識向上トレーニングにおけるギャップ
監督と説明責任に十分対応できない断片化されたツール
社内のポリシーやリカバリ計画に対する一貫性の欠如
サイバーセキュリティ業務における責任の所在の不明確さ
統一性のないツールおよびインシデントの非一元管理

アクロニスの対応策

アクロニスは、コンプライアンス対応ソリューションが組み込まれたネイティブ統合の保護により、組織が NIS 2 の主な要件を達成できるよう支援します。アクロニスを活用して NIS 2 要件に対応するいくつかの方法をご確認ください。

統合プラットフォームと使いやすいコンソール

バックアップ、ディザスタリカバリ、サイバーセキュリティ、エンドポイント管理が 1 ヵ所でネイティブ統合されており、IT チームや MSP のオペレーションを簡素化します。コンプライアンス監査に対応し、サイバー保険を管理するための明確な報告機能と監査証跡機能をご活用ください。

Acronis Security Awareness Training（SAT）

実情に即したフィッシングシミュレーションと有用なユーザートレーニングにより、人的エラーを効果的に削減します。 200 以上の動画レッスンを 8 ヵ国以上の言語で受講できます。

ランサムウェアの検出およびロールバックによるビジネス継続性

ビジネス継続性の確保に必要な自動ランサムウェア検出およびロールバックにより、オペレーションを迅速に稼働させます。

受賞歴のあるディザスタリカバリ

価値の高いデータとアプリケーションに対する可用性およびインテグリティを安全に維持し、予期せぬダウンタイムが発生した場合でも迅速に復元します。 Acronis One-Click Recovery を使用すると、あらゆる従業員が IT スキルレベルに関係なく、最新のバックアップから業務用 PC を復元できます。

Acronis Compliance Navigator

アクロニスが NIS2 コンプライアンスをどのように支援するかを確認

コンプライアンスマッピングを確認

NIS 2 のリソース

サポート情報

よくあるご質問（FAQ）

NIS 2 指令は、あらゆる規模の組織に厳格な規制を課しています。この指令では、企業を重要事業者と重要度の高い事業者という 2 つのグループに分類しています。
重要事業者 : エネルギー（電力、石油、ガスなど）、運輸（航空、鉄道、水運、道路）、銀行、金融市場インフラ、医療、デジタルインフラ（IXP、DNS サービスプロバイダー、TLD ネームレジストリ、クラウドコンピューティングサービス、データセンター）、行政などの重要セクターが該当します。
重要度の高い事業者 : 郵便・宅配サービス、廃棄物管理、化学品製造元、食品メーカー、特定の重要製品の製造元、デジタルプロバイダー（オンラインマーケットプレイス、検索エンジン、ソーシャルネットワーキングサービス）、調査など、重要事業者以外の重要な業界が該当します。
NIS 2 は、明示的に MSP を規制対象に含めており、必須サービスのサプライチェーンで MSP が果たす重要な役割を認識しています。つまり、EU で事業を展開する（または EU の顧客にサービスを提供する）MSP は以下の義務を負うことになります。
- MSP 自体が NIS 2 指令のセキュリティ対策を遵守すること
- 強力なバックアップとリカバリ、インシデント応答計画、報告手順など、強固なサイバーセキュリティ戦略を実装すること
- ダイレクトサプライヤーとサブプロセッサによるセキュリティ基準の達成についても評価および保証することで、サプライチェーンリスクを管理すること
- 多くの組織が NIS 2 コンプライアンスを確保するためのサポートを MSP に期待していることから、コンプライアンス関連サービスを顧客に提供する可能性があること
- 指令に違反した場合、他の規制対象事業体と同様に多額の罰金を支払うこと
NIS 2 では、以下の 4 つの主要分野に分類される、包括的なサイバーセキュリティリスク管理対策を義務付けています。
- リスク管理 : 組織は、リスク分析、情報システムセキュリティ、インシデント処理、ビジネス継続性、サプライチェーンセキュリティ、ネットワークと情報システムの取得/保守におけるセキュリティ、サイバーセキュリティ対策の有効性評価、基本的なサイバーハイジーン、サイバーセキュリティのトレーニング、暗号化、ヒューマンリソースに関するセキュリティ、アクセス制御、アセット管理、多要素認証に関するポリシーを含め、適切な技術上、運用上、組織上の措置を講じることが義務付けられます。
- 企業の説明責任 : 経営陣は、サイバーセキュリティのリスク管理措置を承認、監督し、責任を負うことが求められ、定期的にサイバーセキュリティトレーニングを受ける必要があります。
- 報告義務 : 重要事業者と重要度の高い事業者は、重大な影響を及ぼすセキュリティインシデントを迅速に報告するプロセスの確立が義務付けられます。これには、24 時間以内の「初期警告」、72 時間以内の初期評価、1 ヵ月以内の最終報告が該当します。
- ビジネス継続性 : 組織は、重大なサイバーインシデント発生時・発生後のビジネス継続性を確保するための計画（システムリカバリ、緊急時の対応手順、危機対応チームなど）を策定する必要があります。
一般的には義務付けられません。NIS 2 コンプライアンスは、極小規模企業と中小企業（従業員 50 名未満、年間売上高 1,000 万ユーロ未満）を対象としていません。
ただし、以下の例外では、NIS 2 遵守を求められる場合があります。
- 特定のリスクプロファイルや重要性に基づき、事業規模に関係なく EU 加盟国から「重要主体」と見なされる場合。
- 中小企業であっても、EU の経済・社会にとって極めて重要と見なされるサービスを提供している場合。
- 「重要」主体区分に該当する中小企業（SME）（通常、従業員 50～250 名、または年間売上高 1,000～5,000 万ユーロ）は、NIS 2 の対象とする。
したがって、大半の極小規模企業や中小企業は適用対象外となります。ただし、重要なサプライチェーンにおける自社の役割や、必須サービスへの直接的な影響を評価し、NIS 2 が自社やその顧客に適用される可能性があるか判断することは、事業規模に関係なくあらゆる企業にとって極めて重要です。