CFO が見る NIS2：制裁金の上限、経営陣の責任、引当金の判断

CFO がまず確認すべきこと：NIS2 で制裁を受ける立場か、契約上のエクスポージャーだけか？

エクスポージャーの形は立場で決まります：

立場は業種、規模、所在加盟国の国内法で決まります。管轄と適用性の法的意見は、現地法に詳しい弁護士が出すべきです。

NIS2 の制裁金上限はどう計算する？売上高は子会社かグループか？

第 34 条によります：

• 基幹事業体が第 21 条または第 23 条に違反：上限は少なくとも 1,000 万ユーロまたは全世界年間売上高の 2% の高い方（第 4 項）。
• 重要事業体：少なくとも 700 万ユーロまたは 1.4% の高い方（第 5 項）。
• 売上高の基準：事業体が属する「事業」（undertaking）の前会計年度の全世界年間売上高。前文第 130 項は、事業を EU 機能条約第 101・102 条の意味で理解するとしています。台湾の親会社の連結売上が含まれるかは、法律顧問が個別に判断します。
• 「少なくとも」：加盟国はより高い上限を定められるため、所在国の国内法を確認します。
• 制裁金は監督措置に加えて科されます（第 34 条第 2 項）。同じ行為に GDPR の監督機関が既に制裁金を科した場合、第 34 条の制裁金は科されません（第 35 条第 2 項）。

NIS2 の制裁金リスクは引当金を計上するか、偶発負債として開示するか？

台湾の公開発行会社の財務報告は、金融監督管理委員会が認可した国際財務報告基準で作成します。IAS 37 の判断枠組み：

• 過去の事象から生じた現在の義務があるか（第 14 項 (a)。不明確な場合は報告期間末に存在する可能性が高いか、第 15 項）
• 資源の流出の可能性が高いか、すなわち起こらない可能性より高いか（第 14 項 (b)、第 23 項）
• 金額を信頼性をもって見積もれるか（第 14 項 (c)。極めて稀な場合を除き範囲は見積もれる、第 25 項）

三つを満たせば最善の見積りで引当金を認識し（第 36 項）、毎期見直します（第 59 項）。流出の可能性が高くなければ偶発負債で、可能性が極めて低い場合を除き注記で開示します。NIS2 対応のために将来かかる構築コストは引当金ではありません（第 18 項）。結論は監査人と法律顧問が個別に判断します。

NIS2 で取締役会と経営幹部はどんな責任を負う？CFO は取締役会にどう報告する？

• 第 20 条：管理機関は第 21 条のサイバーセキュリティリスク管理措置を承認し、実施を監督し、事業体の違反について責任を問われ得ます。管理機関のメンバーは研修を受ける必要があります。
• 第 32 条：基幹事業体では、他の執行措置が功を奏さない場合、管理責任を担う自然人による管理職務の一時的な禁止を請求できます（第 5 項 (b)。前文第 133 項は最後の手段に限るとしています）。加盟国は、事業体を代表または支配する自然人の責任を問えるようにする必要があります（第 6 項。重要事業体には第 33 条第 5 項で準用）。
• 報告の要点：立場の判定、制裁金上限の試算、第 21 条のギャップと改善予算、報告訓練の記録。年次報告書準則第 20 条第 6 号は、重要な法改正が財務・業務に与える影響の分析を求めています（年次報告書準則と内部統制処理準則は公開発行会社に適用されます。非公開発行会社はこの規範の対象外で、任意に参考にできます）。
• D&O 保険で補償されるかは保険約款と現地法によるため、保険ブローカーと弁護士に確認します。

NIS2 対応予算はどう組む？どの支出が発生時に費用になる？

第 21 条第 1 項は「適切かつ比例的な」措置を求め、最新技術と実施コストを考慮するとしています。予算はリスクの優先順位で段階的に組めます。予算構成はサービスページ記載の 5 段階に対応させられます：

• 適用性判断と現状ギャップ分析
• 制度構築と文書：サイバーセキュリティリスク管理方針、72 時間インシデント報告 SOP、サプライヤーセキュリティ評価手順、経営層の責任マトリクス
• 技術的管理策の実装
• 監査準備と継続的な維持
• 管理機関メンバーの研修（第 20 条第 2 項）

研修費は IAS 38 第 69 項により発生時に費用として認識します。その他の支出の分類は監査人が判断します。期間（サービスページ記載）：通常 4〜6 か月、ISO 27001 があれば 2〜3 か月。

EU 顧客から NIS2 のセキュリティ条項への署名を求められた。CFO はどの契約責任と保険を確認すべきか？

顧客は第 21 条第 2 項 (d) に基づきサプライチェーンセキュリティを管理し、第 3 項は直接のサプライヤーとサービス提供者ごとの固有の脆弱性を考慮するよう求めているため、条項はサプライヤーに及びます。CFO の確認枠組み：

条項の法的効果は法律顧問が、補償範囲は保険ブローカーが確認します。

積穗科研は CFO の NIS2 対応をどう支援するか？

• 立場の判定：業種、規模、所在加盟国の国内法から基幹・重要事業体か、顧客のサプライチェーン要件への対応だけかを判定し、エクスポージャーが制裁金か契約かを確認
• ギャップ分析：第 21 条の 10 措置を一つずつ照合し、優先改善リストを作成して予算をリスク順に
• 報告手順：24 時間、72 時間、1 か月の三段階の報告手順を整え、机上訓練で繰り返し実行できることを確認
• 経営陣の責任：経営層のサイバーセキュリティ責任マトリクスと承認記録
• サプライチェーンセキュリティ：サプライヤーリスク評価手順と契約上のセキュリティ条項
• ISO 27001 との統合：既存の制度に NIS2 の差分を追加し、一つの証拠で NIS2 と顧客要求に対応
• 担当：副社長・取締役クラスのコンサルタントが一貫して担当し、外注しません

詳しく：NIS2 支援、台湾の NIS2 コンサルタントの選び方、CFO の役割ページ。無料のメカニズム診断を申し込む