CRO から見た NIS2：適用の立場、制裁金、経営機関の責任をどう評価するか？

当社は NIS2 の規制対象事業体ですか？リスクマップにはどう記しますか？

「上市上櫃公司風険管理実務守則」第 18 条に沿って、法令遵守リスクと情報リスクとして記します。この守則は上場・店頭公開企業が対象で、公開発行会社でない企業は対象外ですが、任意に参考にできます。

NIS2 の制裁金とその他の影響を、CRO はどう評価すべきですか？

第 34 条の制裁金の上限（いずれか高い額）：

• 不可欠な事業体：1,000 万ユーロまたは全世界年間売上高の 2%
• 重要な事業体：700 万ユーロまたは 1.4%

制裁金は影響の一部にすぎません。顧客の要求、市場への参入、評判の毀損は通常制裁金より先に起こります。サプライヤーにすぎない台湾企業では、影響は主に顧客の契約条項と監査から生じるため、同じ影響度評価に入れるべきです。

経営機関はセキュリティ措置を承認し監督しなければなりません。委員会と取締役会の報告にはどんな記録を残すべきですか？

NIS2 第 20 条は、経営機関が第 21 条の措置を承認し監督し、研修を受けることを求めています。CRO は承認と監督が記録で確認できるようにします。

• 経営層のセキュリティ責任マトリクスと承認記録
• 第 21 条の措置の実施状況を、守則第 15 条の年次報告に入れる
• 経営機関の研修記録

コンサルタントは記録の様式づくりを支援できますが、承認と監督は経営機関自身の責任です。

当社は EU 顧客のサプライヤーにすぎません。NIS2 のリスクはどう及んできますか？

EU の規制対象事業体のサプライヤーにすぎない場合、そのことで直接規制対象になることは通常ありませんが、顧客は第 21 条第 2 項 (d) のサプライチェーンセキュリティの要求に基づき、義務を契約に盛り込みます。CRO ができること：

• 顧客のセキュリティ条項と監査要求を契約リスクとして挙げ、対応状況を追跡する
• 自社のサプライヤーへの要求が、顧客への約束と一致しているかを確認する

規制対象でないことが確かで、顧客がセキュリティアンケートの回答だけを求める場合は、既存の ISO 27001 の仕組みと記録で回答すれば通常は足ります。ESG 評価の S-15（A 型）も、サプライヤー管理方針で情報通信セキュリティやプライバシー保護などの課題についてサプライヤーに遵守を求めているかを問います。評価の対象は上場・店頭公開企業で、公開発行会社でない企業は対象外ですが、任意に参考にできます。

重大インシデントの報告期限は？シナリオ訓練では誰を試すべきですか？

第 23 条：重大インシデントを認識してから 24 時間以内に早期警告、72 時間以内にインシデント通知、1 か月以内に最終報告。訓練で試すのは判断の連鎖です。誰が重大インシデントかを判断し、誰が提出し、どの加盟国の当局に送るか。

積穗は 24 時間、72 時間、1 か月の三段階の報告手順を整え、机上訓練で繰り返し実行できることを確認します。

ISO 27001 は取得済みです。NIS2 には何が足りず、どれくらいかかりますか？

ISO 27001 があれば準備期間は大きく短縮できますが、NIS2 には報告期限、当局への登録、サプライチェーンセキュリティ、経営層の責任などの要求があり、ISO 27001 の上に補う必要があります。NIS2 に独立した証明書はなく、ISO 27001 の証明書は NIS2 への適合ではありません。

サービスページ記載の期間：ギャップ分析から仕組みの完成まで通常 4〜6 か月、ISO 27001 の基盤があれば 2〜3 か月。5 つのステップ：適用性の判断、現状のギャップ分析、制度構築と文書作成、技術的管理策の実装、監査準備と継続的な維持。

積穗科研は CRO の NIS2 対応をどう支援しますか？

• 立場の判断：業種、規模、所在加盟国の国内法に基づき、不可欠・重要な事業体に当たるか、顧客のサプライチェーン要求に応えるだけでよいかを判断します
• ギャップ分析：第 21 条の 10 項目を現行の仕組みと一つずつ照合し、優先補強リストを作ります
• 報告と責任：72 時間のインシデント報告 SOP、サプライチェーンセキュリティ評価手順、経営層の責任マトリクス
• 統合：既存の ISO 27001 の仕組みの上で NIS2 の差分を補い、同じ証跡で NIS2 と顧客の要求に対応します
• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません

NIS2 対応支援、NIS2 コンサルタントの選び方、ISO 27001 導入支援。無料のメカニズム診断を申し込む