NIS2 第 20 条は経営機関の責任を定めています。社長・CEO 個人が責任を問われることはありますか？
会社が NIS2 の必須事業体または重要事業体であれば、ありえます。指令の原文は次のとおりです。
- 第 20 条第 1 項：経営機関は、第 21 条を遵守するために講じたサイバーセキュリティ・リスク管理措置を承認し、その実施を監督し、事業体の同条違反について責任を問われうる。
- 第 20 条第 2 項：経営機関の構成員は研修を受けなければならない。
- 第 32 条第 6 項：事業体を代表し、その名で意思決定し、または支配する自然人は、遵守を確保する権限を持たなければならず、その義務違反について責任を問われうる。重要事業体にも第 33 条第 5 項により準用される。
- 第 32 条第 5 項 (b)：必須事業体で先行する執行措置が効果を上げず、期限内に是正されない場合、当局は国内法に従い、CEO または法定代表者レベルの人物が経営職務を行うことの一時的な禁止を求めることができる。
NIS2 は指令であり、実際の責任は各加盟国の国内法化によるため、法律顧問が個別に判断します。
当社は欧州に子会社がなく、欧州顧客への供給者にすぎません。NIS2 は関係ありますか？
まず立場を判定します。三つの立場で、やるべきことはまったく異なります。
| 立場 | 判断基準 | やるべきこと |
|---|---|---|
| EU に拠点があり基準を満たす必須・重要事業体 | 附属書 I または II の業種で、原則として中規模企業以上 | 現地法での登録、第 21 条の実施、第 23 条の報告 |
| EU に拠点がなく特定のデジタルサービスを提供 | 第 26 条のサービス（クラウド、データセンター、マネージドサービスなど） | EU 内の代理人を指定し、上記の義務を履行 |
| 規制対象の EU 顧客への供給者 | 上記のいずれでもない | 顧客が第 21 条のサプライチェーン・セキュリティ要求に基づき契約に入れる条項と監査に対応 |
台湾の製造業の多くは三つ目に当たります。第 20 条の経営機関の責任は直接には及びませんが、顧客の契約は及びます。
NIS2 の制裁金はどれほどですか？台湾の会社の売上で計算するのか、グループの売上ですか？
各加盟国の制裁金の上限は、少なくとも次の水準でなければなりません。
| 対象 | 制裁金の上限（いずれか高い方） |
|---|---|
| 必須事業体 | 少なくとも 1,000 万ユーロ、または前会計年度の全世界年間売上高の少なくとも 2% |
| 重要事業体 | 少なくとも 700 万ユーロ、または前会計年度の全世界年間売上高の少なくとも 1.4% |
売上高の基準は、条文上「当該事業体が属する企業」の全世界年間売上高であり、欧州子会社単体に限られません。制裁金は第 21 条（セキュリティ対策）または第 23 条（報告）の違反に適用されます。指令であるため実際の金額は各国の国内法化によります。引当金の計上や偶発債務の開示が必要かは、監査法人と法律顧問が個別に判断します。
欧州顧客から NIS2 のセキュリティ条項への署名と監査受入れを求められました。社長・CEO はどう判断すべきですか？
まず条項の出どころを理解します。規制対象の顧客は第 21 条により自社のサプライチェーンのセキュリティを管理しなければならないため、要求を購買契約に書き込みます。社長・CEO が見るべき点は三つです。
- 約束を守れるか：報告期限、監査権、セキュリティ対策を現行制度と照合します。ISO 27001 があれば、多くの要求は既存の制度と記録で回答できます。
- アンケートか契約上の義務か：規制対象でないことが明らかで、顧客がアンケートだけを求める場合は、ISO 27001 の制度と記録で回答すれば通常は十分です。
- 法的判断：管轄と適用性の問題は、現地の国内法に詳しい弁護士に確認します。
上場・店頭登録会社が自社の仕入先に求める内容は、台湾証券取引所 ESG 評価の S-15（仕入先に情報通信セキュリティ等の規範遵守を求める方針の開示）の対象でもあります。ESG 評価の対象は上場・店頭登録会社で、非公開発行会社はこの規範の対象外ですが、任意で参考にできます。
NIS2 は誰が担当しますか？取締役会、社長・CEO、CISO の役割分担は？
第 20 条は経営機関に承認、監督、研修を求めているため、実務では三種類の記録を残します。経営陣によるセキュリティ対策の承認記録、実施の監督記録、経営機関構成員の研修記録です。
上場・店頭登録会社は、新しい仕組みを作らず既存の組織に組み込めます。
| 上場・店頭登録会社サイバーセキュリティ管理指針 | NIS2 の組み込み方 |
|---|---|
| 第 3 条：推進組織、専任責任者と担当者 | NIS2、CRA などの責任分担を同じ推進組織に書き込む |
| 第 34 条：インシデント対応・報告手順 | 24 時間の早期警告、72 時間の通知、1 か月の最終報告を同じ手順に並べる |
| 第 37 条：取締役会または経営陣への定期報告 | NIS2 の承認と監督を既存のセキュリティ報告に統合する |
この指針は上場・店頭登録会社に適用されます。非公開発行会社はこの規範の対象外ですが、任意で参考にできます。
NIS2 の対応期間は？ISO 27001 があればどれだけ短縮できますか？
サービスページの記載では、ギャップ分析から制度構築まで NIS2 の支援は通常 4〜6 か月、ISO 27001 の基盤があれば 2〜3 か月に短縮できます。手順は、適用性判断、現状ギャップ分析、制度構築と文書作成、技術的管理策の実装、監査準備と継続的な維持の五段階です。
ISO 27001 は NIS2 への適合を意味しません。NIS2 には独立した認証書がなく、27001 の上に次の四つを補う必要があります。
- 第 23 条の報告期限
- 当局への登録
- サプライチェーン・セキュリティ
- 経営陣の責任（第 20 条）
予算を組む際、社長・CEO はまず「自社はどの立場か」、次に「27001 でどこまで賄えているか」を問います。
積穗科研は社長・CEO の NIS2 対応をどう支援しますか？
副社長・取締役クラスのコンサルタントが外注せず最初から最後まで自ら支援します。
- 立場の判定：業種、規模、所在加盟国の国内法に基づき、必須・重要事業体か、顧客のサプライチェーン要求への対応だけでよいかを判定します。
- 第 21 条の 10 項目：現行の情報セキュリティ管理、インシデント報告、仕入先管理、技術的対策と一つずつ照合し、優先補強リストを作成します。
- 経営陣の責任：上級管理職のセキュリティ責任マトリクスと承認記録を整えます。
- 報告手順：24 時間、72 時間、1 か月の三段階の報告手順を作り、机上演習で繰り返し実行できることを確認します。
- ISO 27001 との統合：既存の制度に NIS2 の差分を補い、一つの証跡で NIS2 と顧客要求に対応します。
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- 社長（CEO）が ERM を導入するとき：取締役会、内部統制声明書、個人責任で先に整理すべきことは？
- 社長（CEO）と ISO 37001：海外代理店が贈賄したら会社と個人は何の責任を負うか？
- 社長（CEO）と ISO 27001：顧客は証明書、取締役会は報告を求める。何から決めるか？
- 社長（CEO）と ISO 22301：拠点が何日止まっても耐えられるか？RTO は誰が決めるか？
- 社長（CEO）と営業秘密保護：技術者がデータを持って転職したら、会社は何を証明すべきか？
- 社長・CEO が見る EU CRA：欧州の受注、制裁金、責任者を今どう決めるか
- 社長・CEO が見る EU AI 法と ISO 42001：社員の AI 利用、制裁金、ガバナンス責任
- 社長・CEO が見る GDPR と ISO 27701：制裁金、越境移転、責任者
- 社長・CEO が見る TISAX：欧州自動車メーカーの受注、評価レベル、期間と投資
- 社長・CEO が進める DX：投資効果、税制優遇、セキュリティと業務中断の管理
- 社長・CEO が進める AI 転換：最初のユースケース、投資効果、責任の所在