CISO（情報セキュリティ責任者）が担う規格と法規制は？12 の要求事項を一つずつ解説

直接の答え：台湾では、CISO はコーポレートガバナンス上の役割が明文化されています。すべての公開発行会社は「公開発行公司建立内部控制制度処理準則」第 9 条の 1 により、適切な人員と設備を配置して情報セキュリティ管理を計画、監視、実行しなければなりません。金融監督管理委員会（金管会）が定める条件に当たる上場・店頭公開企業は、情報セキュリティ長と専任部門を置く必要があります。年次報告書ではサイバーセキュリティ管理の開示が求められ、台湾証券取引所の ESG 評価にもサイバーセキュリティの指標があります。そして CISO が担うのは ISO 27001 だけではありません。何を売るか、どこで売るか、顧客は誰かによって、3 種類の要求が CISO にかかります。第一に法定の報告期限がある EU 法規制（GDPR、NIS2、DORA、EU CRA）、第二に顧客や業界が求める評価と認証（TISAX、ISO/SAE 21434、IEC 62443、ISO/IEC 29147 と 30111）、第三にプライバシー、事業継続、AI に広がるマネジメントシステム（ISO 27701、ISO 22301、ISO 42001）です。CISO の仕事は、まず本当に適用されるものを判定し、同じリスクアセスメント、インシデント対応、サプライヤー管理、監査の証跡で複数の要求に応えることです。覚えておくべき点は二つ：GDPR、NIS2、DORA、EU CRA には独立した証明書がなく、ISO 認証は法令遵守と同じではありません。

コーポレートガバナンスにおける CISO：まず自社がどの層に当たるか

一般の公開発行会社や上場・店頭公開企業について、公式の規範は CISO の職位を定めていません。「副社長以上」は銀行、金融持株会社、証券・先物業界の要求です。公開発行会社でない企業はこれらの規範の対象外で、任意に参考にできます。

台湾証券取引所の ESG 評価：CISO が準備する指標

ESG 評価は 2026 年からコーポレートガバナンス評価に代わるもので、対象は上場・店頭公開企業です。以下の指標は 2026 年度と 2027 年度で文言が同じです。

12 の要求事項の一覧

法定の報告期限：CISO が最初に対応手順へ組み込む数字

一つのインシデントが複数の期限を同時に発生させることがあり、起算点と受付機関はそれぞれ異なります。対応手順には 4 つを並べ、一回のインシデント分類で、どれを報告するかを判断します。

要求事項ごとに：CISO が判断すること、共有できるもの、期間

ISO 27001 情報セキュリティマネジメントシステム

• 最初に判断すること：顧客、入札、規制当局が求める認証範囲。
• 版：ISO/IEC 27001:2022 で導入します。2013 年版の認証の移行期間は 2025 年 10 月 31 日に終了しました。
• 審査の重点：リスクアセスメントと適用宣言書（SoA）。93 の管理策をすべて実施する必要はなく、リスクアセスメントに基づいて適用を決め、適用除外には理由を記します。
• 期間（サービスページ記載）：通常 4〜8 か月。ギャップ分析、制度構築、内部監査とマネジメントレビュー、第一段階・第二段階審査の順です。
• 共有できるもの：以下の NIS2、ISO 22301、ISO 42001、ISO 27701 の期間は、いずれも 27001 があることで短くなります。
• 詳しく：ISO 27001 導入支援、台湾の ISO 27001 コンサルタントはどこを選ぶ？、ISO 27001 内部監査の外部委託

ISO 27701 と GDPR

• 最初に判断すること：EU 域内の人に商品やサービスを提供しているか、EU 域内の人の行動をモニタリングしているか。どちらかに当たれば GDPR の対象です。
• 認証の限界：ISO/IEC 27701:2025 は 2025 年 10 月 14 日に発行され、27001 がなくても単独で認証を受けられます。ただし第 27 条の EU 代理人、SCC モジュールの選択、DPIA が必須かどうかは、27701 が扱わない法的判断です。
• CISO の役割：72 時間以内の侵害通知が実際に機能し、訓練の記録が残っていること。
• 期間（サービスページ記載）：GDPR の基礎的な遵守体制は通常 2〜3 か月。ISO 27701 認証と合わせると 5〜8 か月、27001 があれば 3〜5 か月に短縮できます。
• 詳しく：ISO 27701、GDPR、ISO 27701 コンサルタントの選び方

NIS2 指令

• 最初に判断すること：規模と附属書 I・II から、不可欠または重要な事業体に当たるか、所在する加盟国が何を求めるか。規制対象事業体のサプライヤーであれば、顧客がサプライチェーンセキュリティの要求を契約に盛り込みます。
• 整えるべきこと：第 21 条の 10 項目の最低限の措置、第 23 条の報告期限、経営機関による承認と監督（第 20 条）。
• 期間（サービスページ記載）：ギャップ分析から制度の完成まで通常 4〜6 か月。ISO 27001 があれば 2〜3 か月。
• 詳しく：NIS2、NIS2 コンサルタントの選び方

DORA デジタル・オペレーショナル・レジリエンス法

• 最初に判断すること：自社が EU の金融事業体か、それにサービスを提供する ICT 事業者か。DORA は 2025 年 1 月 17 日から適用され、第 2 条第 1 項に列挙された EU 金融事業体に直接適用されます。
• ICT 事業者がすること：契約上の監査権、データポータビリティ、事業継続、撤退戦略の条項を履行し、顧客の Register of Information に必要なサービス情報を提供します。
• 期間（サービスページ記載）：ICT 事業者の契約上の義務への準備は通常 2〜3 か月。金融機関の完全な体制構築は通常 6〜9 か月。
• 詳しく：DORA、DORA コンサルタントの選び方

EU サイバーレジリエンス法（CRA）

• 最初に判断すること：製品が CRA の対象か、どの区分か、どの適合性評価の経路をとるか。一般製品は内部管理（モジュール A）で自己評価できます。重要製品クラス I で整合規格を完全には適用しない場合、クラス II と重要（クリティカル）製品は第三者の手続きが必要です。
• 期日：第 14 条の報告義務は 2026 年 9 月 11 日から適用されています。その他の主要な義務は 2027 年 12 月 11 日から全面適用されます。
• CISO の役割：附属書 I が求める脆弱性対応プロセス、SBOM、附属書 VII の技術文書、第 14 条の報告プロセス。
• 詳しく：EU CRA 対応支援、CRA は誰が主導するか、CRA のスケジュール、CRA の予算

ISO/IEC 29147 脆弱性開示

• CISO にとっての意味：外部からの脆弱性報告の窓口と公表の流れです。CRA は ISO/IEC 29147 を名指ししておらず、求めるのは結果です。CVD ポリシー、報告の連絡先、修正、そしてセキュリティアップデートの提供後に修正済み脆弱性の情報を公開することです。
• 典型的な成果物：security.txt と報告用メールアドレスまたはフォーム、受付と回答の SLA、セーフハーバー条項を含む CVD ポリシー、公表テンプレートと公開手順。
• 共有できるもの：27001 があれば、CVD のプロセスを既存の ISMS に載せ、文書と監査の仕組みを共有できます。
• 詳しく：ISO/IEC 29147、29147 コンサルタントの選び方

ISO/IEC 30111 脆弱性対応プロセス

• CISO にとっての意味：誰が受け付け、誰が検証し、誰が深刻度を決め、誰が直し、誰が公表するか、どれだけ速くかを、監査できるプロセスと SLA として書き、インシデント対応（ISO/IEC 27035）やサプライヤー管理（ISO/IEC 27036）とつなげます。
• CRA とのつながり：JRC と ENISA の対応付けでは、30111 は CRA 附属書 I 第 2 部の脆弱性対応 8 項目のうち 5 項目に対応します。SBOM、定期的なテスト、アップデートの安全な配布は、ほかの規格や手順で補います。
• 推奨：29147 と一緒に導入し、引き継ぎ部分に監査上の穴を残さないようにします。
• 詳しく：ISO/IEC 30111、30111 コンサルタントの選び方

IEC 62443 産業制御システムのセキュリティ

• 最初に判断すること：自社の役割と目標から、必要最小限のパートの組み合わせを決め、不要な認証に投資しないようにします。
• 順序：4-2 の製品認証の前に、組織は 4-1 のセキュア開発ライフサイクル（SDL）認証を完了する必要があります。IEC 62443 の認証は CRA の適合推定ではありません。適合推定は、EU 官報に掲載された整合規格、共通仕様、指定された認証スキームからのみ生じます（CRA 第 27 条）。
• 期間（サービスページ記載）：4-1 SDL の組織認証は通常 6〜9 か月、4-2 の製品認証は 4〜8 か月（4-1 を除く）、2-1 のマネジメントシステムは 4〜6 か月、2-4 のサービス提供者認証は 3〜5 か月。
• 詳しく：IEC 62443、IEC 62443 コンサルタントの選び方

TISAX 自動車業界の情報セキュリティ評価

• 最初に判断すること：評価の範囲、目的、レベル、そして VDA ISA 6 と ISA2027 のどちらに基づくか。レベルは評価目的で決まり、自由には選べません。AL2 は通常オンライン、AL3 は審査員の現地訪問が必要です。2027 年 1 月 1 日以降に委託する評価は、すべて VDA ISA2027 が適用されます。
• ラベルの限界：TISAX は ENX が運営する評価・共有の仕組みで、結果はラベルとして ENX プラットフォーム上で自動車メーカーと共有され、有効期間は 3 年です。
• 期間（サービスページ記載）：支援期間は通常 7〜12 か月以上。ISO 27001 があれば短縮できます。
• 詳しく：TISAX 評価支援、TISAX コンサルタントの選び方、TISAX のスケジュール

ISO/SAE 21434 車載サイバーセキュリティエンジニアリング

• CISO にとっての意味：TISAX は会社拠点の情報セキュリティを評価し、21434 は製品をどう安全に開発するかを定めます。TISAX に合格しても 21434 の能力があることにはなりません。
• 中心となる作業：TARA（脅威分析とリスク評価）。ここからサイバーセキュリティの目標と要求を導き、開発と検証に一貫して反映します。ASPICE や ISO 26262 のプロセスがある組織は、既存の開発の枠組みに 21434 を段階的に追加できます。
• 認証の限界：規格自体に公式の認証制度はなく、より重要なのは自動車メーカーの開発監査に通ることです。
• 詳しく：ISO/SAE 21434、21434 コンサルタントの選び方

ISO 22301 事業継続マネジメント

• CISO にとっての意味：ICT の復旧と災害復旧には、BIA から導いた RTO と訓練の記録が必要です。BCP を書くだけでは足りず、BIA と訓練の記録がない計画は、監査や顧客の審査では存在しないのと同じです。
• 共有できるもの：バックアップと ICT 復旧の文書を 27001 と共有します。訓練の記録は認証と顧客アンケートの証跡にもなります。
• 期間（サービスページ記載）：4 段階で通常 4〜7 か月、27001 があれば約 3〜5 か月。BIA と訓練の 2 段階は短縮できません。
• 詳しく：ISO 22301、ISO 22301 コンサルタントの選び方、ISO 22301 の予算とスケジュール

ISO 42001 AI マネジメントシステム

• CISO にとっての意味：会社が AI を使い始めたり開発したりすると、AI システム台帳とリスク・影響評価をガバナンスの対象に入れる必要があります。
• 認証の限界：ISO/IEC 42001:2023 の認証は ISO/IEC 42006 に基づき認定を受けた認証機関が発行します。ただし EU AI 法の適合性評価、EU データベースへの登録、認定代理人、第 50 条の透明性は、認証では代替できない法定手続きです。
• 共有できるもの：ISO 42001 をマネジメントシステムの土台にして、27001、27701 と骨格を共有します。
• 期間（サービスページ記載）：ISO 27001 がある組織は通常 4〜6 か月、ゼロからなら約 6〜9 か月で認証に到達します。
• 詳しく：ISO 42001 導入支援、ISO 42001 コンサルタントの選び方、ISO 42001 と 27001・27701 の統合

既存の制度にどう組み込むか

台湾の上場・店頭公開企業には、台湾証券取引所と櫃買中心の「上市上櫃公司資通安全管控指引」が求める組織と手順が既にあります。新しい要求は別の仕組みを作るのではなく、そこに組み込むべきです。第 41 条により、上場・店頭公開企業は業種の特性、規模、セキュリティリスクを考慮して適宜採用できます。公開発行会社でない企業はこの指引の対象外で、任意に参考にできます。

積穗科研の進め方

以下は積穗科研自身の説明です。上の質問で、ほかのコンサルタントと同じように私たちも確かめてください。

• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません。チームは ISO 主任審査員の資格を有しています
• まず適用を判定：顧客、入札、規制当局のセキュリティ要求を確認し、本当に適用される法規制と規格を判定してから範囲を決めます
• 一つの証跡：ISO 27001 を骨格に、ISO 27701、22301、42001 がマネジメントシステムを共有します。29147 と 30111 は対で導入します
• 役割分担：認証は第三者の認証機関が行い、私たちは同行しますが代わりに審査はしません
• 最初の一歩：初回のメカニズム診断は無料です

関連する質問

• 台湾の上場企業の CISO は何に責任を負いますか？ 「上市上櫃公司資通安全管控指引」では、第 3 条がセキュリティ推進組織と専任の責任者・担当者の指名を、第 34 条がインシデント対応と報告の手順を、第 37 条が取締役会または経営陣への定期報告を求めています。第 41 条により、上場・店頭公開企業は業種、規模、セキュリティリスクを考慮して適宜採用できます。公開発行会社でない企業は対象外です。ISO 27001 導入支援
• 台湾の上場企業は CISO を置かなければなりませんか？ 金管会の 2021 年 12 月 28 日の命令（内部統制処理準則第 9 条の 1 第 2 項に基づく）により、払込資本金 100 億台湾ドル以上、台湾 50 指数構成銘柄、または電子商取引の売上が一定割合以上の上場・店頭公開企業は、2022 年末までに情報セキュリティ長を指名し、専任の責任者と 2 名以上の担当者からなる専任部門を設置する必要がありました。その他の上場・店頭公開企業（3 年連続の税引前損失または 1 株当たり純資産が額面未満の企業を除く）は、2023 年末までに専任の責任者と 1 名以上の担当者を配置する必要がありました。一般企業の CISO の職位は、公式の規範では定められていません。ISO 27001 導入支援
• ISO 27001 の認証は台湾証券取引所の ESG 評価に役立ちますか？ 役立ちます。指標 S-12 はサイバーセキュリティのリスク管理体制、方針、具体的な管理施策、投入資源の開示を求めており、ISO 27001、CNS 27001 などを導入し第三者認証を取得していれば総合点に 1 点加算されます（2026 年度・2027 年度の指標）。ISO 27001 導入支援
• ISO 27001 の認証があれば、NIS2、CRA、GDPR にも適合しますか？ いいえ。いずれも独立した証明書はありません。NIS2 は第 21 条の措置と第 23 条の報告、CRA は製品区分に応じた適合性評価と CE マーキング、GDPR は処理活動の記録、DPIA、処理者契約、移転の仕組み、通知の記録で遵守を示します。27001 は共有するマネジメントの骨格で、ほかの導入期間を短くします。EU 法令統合コンプライアンス
• セキュリティインシデントが起きたら、EU 法規制はどれだけ速い報告を求めますか？ GDPR は認識後 72 時間以内。NIS2 は 24 時間以内の早期警告、72 時間以内の通知、1 か月以内の最終報告。DORA は重大と分類してから 4 時間以内、かつ認識後 24 時間以内の初期通知。EU CRA は、積極的に悪用された脆弱性と重大インシデントについて 24 時間以内の早期警告、72 時間以内の通知です。一つの事象が複数に当たることがあります。NIS2
• EU の顧客のサプライヤーにすぎない場合も、NIS2 や DORA の影響を受けますか？ NIS2 の規制対象事業体は、サプライチェーンセキュリティの要求を契約に盛り込みます。DORA は EU 金融事業体に直接適用され、それにサービスを提供する台湾の SaaS、クラウド、セキュリティ事業者は、監査権、データポータビリティ、事業継続、撤退戦略の契約条項を履行し、顧客の Register of Information に協力する必要があります。DORA
• 製品に脆弱性が見つかったら、CISO はどんなプロセスを整えるべきですか？ 外向きには ISO/IEC 29147 で報告の受付と公表を、内向きには ISO/IEC 30111 で検証、深刻度評価、修正のプロセスを整え、EU CRA 第 14 条の報告につなげます。積極的に悪用された脆弱性は、24 時間以内の早期警告と 72 時間以内の通知が必要です。ISO/IEC 30111
• 自動車メーカーから TISAX を求められました。ISO/SAE 21434 も必要ですか？ サイバーセキュリティに関わる車載電気電子システム、部品、ソフトウェアを開発・供給しているなら、通常は必要です。TISAX は会社拠点の情報セキュリティを評価し、21434 は製品のサイバーセキュリティエンジニアリングのプロセスを定めるもので、互いに代わりにはなりません。実際の要求は自動車メーカーの見積依頼と契約によります。TISAX
• ISO 27001 は今どの版を使うべきですか？ ISO/IEC 27001:2022 です。2013 年版の認証の移行期間は 2025 年 10 月 31 日に終了しました。旧版の制度がある組織は作り直すのではなく、管理策の対応付けとギャップの補強を行います。ISO 27001 導入支援
• AI を使い始めました。CISO は ISO 42001 に取り組むべきですか？ 顧客や市場が AI ガバナンスの証明を求めるなら、ISO 42001 は認証可能なマネジメントシステム規格で、27001、27701 と骨格を共有できます。27001 がある組織は通常 4〜6 か月で認証に到達します。認証は EU AI 法への適合ではありません。ISO 42001

無料のメカニズム診断を申し込む