CISO が向き合う NIS2：対象事業体か、複数国の拠点、取締役会、報告をどう整理するか

当社は NIS2 の対象事業体ですか、それとも EU 顧客のサプライヤーにすぎませんか？

管轄や適用の法的判断は、現地の国内法に詳しい弁護士に相談してください。

EU の複数の加盟国に拠点があります。どの国に登録し、報告しますか？

NIS2 第 26 条第 1 項の原則は、事業体は設立地の加盟国の管轄に服するというものです。欧州委員会の NIS2 FAQ は、複数の加盟国に設立されている事業体はそれぞれの加盟国の管轄に服し、各国が協力すべきと説明しています。例外は二つです。

• 公衆電子通信ネットワーク・サービスの提供者：サービスを提供する加盟国の管轄。
• DNS、TLD 登録機関、クラウド、データセンター、マネージドサービスなどのデジタル事業体：EU における主たる事業所の加盟国の管轄。EU に設立されていない場合は EU に代理人を指定する必要があります（第 26 条第 3 項）。

CISO は拠点ごとに主管機関、CSIRT、登録手続きを一覧にし、報告の流れをその一覧で振り分けます。

NIS2 第 20 条は経営機関の承認・監督・研修を求めています。CISO は取締役会にどう報告しますか？

第 20 条は、経営機関が第 21 条の措置を承認・監督し、その構成員が研修を受けることを求めています。欧州委員会の FAQ も、NIS2 が上級管理職にある自然人の責任に関する規定を設けていると説明しています。罰則は各国法で定められ、不可欠事業体では最高 1,000 万ユーロまたは 2% です。

報告に含める内容の例：

• 自社の立場の判断と適用される加盟国
• 第 21 条の 10 項目に対するギャップと補強計画
• 経営陣の承認記録と研修記録
• 報告演習の結果

上場・店頭公開企業は、管控指引第 37 条の定期報告に含め、NIS2 の責任を第 3 条の推進組織に書き込めます。公開発行会社でない企業はこの指引の対象外で、任意に参考にできます。

NIS2 の 24 時間、72 時間、1 か月の三段階報告を、既存の対応手順にどう組み込みますか？

第 23 条：重大インシデントは不当な遅滞なく CSIRT または主管機関に通知し、24 時間以内に早期警告、72 時間以内にインシデント通知、通知後 1 か月以内に最終報告を行います。

• まず分類：重大インシデントかどうかを誰が判断し、誰が提出するかを事前に手順へ書き込み、権限を与えます。
• 複数の期限を並べる：一つの事案が GDPR の 72 時間、DORA、EU CRA も同時に発生させることがあり、起算点も受付機関も異なります。同じインシデント分類の手順でどれを報告するかを判断します。
• 演習：机上演習で手順を繰り返し実行できることを確認し、記録を残します。

上場・店頭公開企業は、管控指引第 34 条のインシデント対応・報告手順にこれを加えられます。

EU の顧客から NIS2 のサプライチェーンセキュリティ条項が届きました。CISO はどう対応しますか？

対象顧客は、第 21 条第 2 項 (d) のサプライチェーンセキュリティ要求に基づき、義務を契約に書き込みます。対応方法は次のとおりです。

• 既存の証拠を使う：顧客がセキュリティ質問票への回答だけを求める場合、ISO 27001 の仕組みと記録で通常は足ります。
• 条項ごとに照合：報告、監査、特定の管理策を求める条項は、既存の手順に一つずつ対応付け、不足は補強リストに入れます。責任分担に関わる部分は法務が確認します。
• 下流にも広げる：自社のサプライヤーにもリスク評価手順と契約上のセキュリティ条項を設け、上流への要求と下流への約束をそろえます。

台湾証券取引所 ESG 評価の S-15 も、サプライヤー管理方針で情報通信セキュリティの規範遵守を求めているかを問います。公開発行会社でない企業は対象外で、任意に参考にできます。

ISO 27001 がある場合、NIS2 で何を追加し、どれくらいかかりますか？

ISO 27001 は準備期間を大きく短縮しますが、NIS2 には報告期限、主管機関への登録、サプライチェーンセキュリティ、経営陣の責任などの要求があり、27001 の上に追加する必要があります。

サービスページ記載の期間：ギャップ分析から仕組みの確立まで通常 4〜6 か月、ISO 27001 があれば 2〜3 か月に短縮できます。手順は五段階で、適用判断、現状のギャップ分析、仕組みと文書の整備、技術的管理策の実装、審査準備と継続的な維持です。

代表的な成果物：サイバーセキュリティリスク管理方針、72 時間インシデント報告 SOP、サプライチェーンセキュリティ評価手順、経営陣のセキュリティ責任マトリクス。

積穗科研は CISO の NIS2 対応をどう支援しますか？

• 立場の判断：業種、規模、関係する加盟国の国内法に基づき、不可欠・重要事業体に当たるか、顧客のサプライチェーン要求への対応で足りるかを判断します。
• 第 21 条のギャップ：現行のセキュリティ管理、インシデント報告、サプライヤー管理、技術的措置を一項目ずつ照合し、優先順位付きの補強リストを作ります。
• 報告手順：24 時間、72 時間、1 か月の三段階の報告手順を作り、机上演習で繰り返し実行できることを確認します。
• 経営陣の責任：経営陣のセキュリティ責任マトリクスと承認記録を整えます。
• 一つの証拠：既存の ISO 27001 に NIS2 の差分を加えます。DORA と NIS2 の統合評価も提供します。
• 役割分担：副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。

関連ページ：NIS2 支援、NIS2 コンサルタントの選び方、ISO 27001、CISO が担う規格と法規制。無料の仕組み診断を申し込む