法務・コンプライアンス責任者が見る NIS2：管轄、個人責任、当局調査、顧客条項

法務・コンプライアンス責任者はまず何を判断すべきか：どの加盟国の当局が管轄するか、EU に拠点がなくても代理人の指定は必要か？

第 26 条では、管轄は原則として設立地で決まります。

代理人の指定は、事業体自身に対する法的措置を妨げません（第 4 項）。規制対象の EU 顧客のサプライヤーにすぎず、上記に該当しない場合、通常は規制対象事業体ではありません。どの加盟国のどの国内法化法が適用されるかは、その法律に詳しい弁護士が判断します。

取締役や上級管理職は個人として責任を問われるのか？D&O 保険では何を確認すべきか？

• 第 20 条第 1 項：経営機関は第 21 条のサイバーセキュリティリスク管理措置を承認し、実施を監督し、事業体による同条違反について責任を問われ得ます。第 2 項は構成員に研修受講を求めています。
• 第 32 条第 5 項 (b)：重要（essential）事業体について、他の執行措置が効果を上げない場合、管理責任を負う自然人の管理職務の行使の一時禁止を求めることができます。前文第 133 項は、これを最後の手段と位置づけています。
• 第 32 条第 6 項：加盟国は、事業体を代表または支配する自然人の責任を問えるようにしなければなりません。第 33 条第 5 項により重要（important）事業体にも準用されます。
• 欧州委員会 FAQ：NIS2 は上級管理職にある自然人の責任に関する規定を導入しています。

法務・コンプライアンス責任者が整えるべきは「承認と監督」の記録、すなわち取締役会議事録、承認済みセキュリティ方針、研修記録です。個人責任の具体的範囲は各国の国内法化法によります。D&O 保険が関連する制裁金や防御費用を補償するかは保険約款と現地法によるため、保険ブローカーと弁護士に確認します。

当局の調査ではどのような手段が使われるのか？制裁金の上限はどう計算するのか？

第 32 条第 2 項は、essential 事業体に対する監督措置を列挙しています。

• 立入検査と遠隔監督
• 独立機関または所管当局による定期的・対象を絞ったセキュリティ監査
• 重大インシデントや違反の後のアドホック監査
• セキュリティスキャン
• サイバーセキュリティリスク管理措置と方針に関する情報提供の要求
• 監督に必要なデータ、文書、情報へのアクセス要求
• セキュリティ方針の実施の証拠提出要求（有資格監査人による監査結果など）

essential 事業体と important 事業体では監督制度が区別されています（欧州委員会 FAQ）。制裁金（第 34 条）：essential 事業体が第 21 条または第 23 条に違反した場合、上限は少なくとも 1,000 万ユーロまたは全世界年間総売上高の 2% のいずれか高い方、important 事業体は少なくとも 700 万ユーロまたは 1.4% です。その他の国内法化規定違反に対する罰則は、第 36 条に基づき加盟国が定め、効果的で比例的かつ抑止的でなければなりません。要求されればすぐ提出できる文書索引を先に整えておきます。

重大インシデントの報告は違反を自認することになるのか？報告内容と証拠はどう準備すべきか？

• 第 23 条第 1 項：報告するという行為自体によって、報告した事業体の責任が加重されることはありません。ただし報告内容はその後の監督の事実的基礎となります。
• 最終報告（インシデント通知から 1 か月以内、第 23 条第 4 項 (d)）には、重大性と影響を含むインシデントの詳細、インシデントを引き起こしたと考えられる脅威の種類または根本原因、実施済み・実施中の緩和措置、該当する場合は越境的影響を記載します。
• GDPR との接点：第 21 条・第 23 条違反が個人データ侵害を伴い得る場合、当局は GDPR 監督機関に通知しなければなりません（第 35 条第 1 項）。同一行為について GDPR 監督機関がすでに制裁金を科した場合、第 34 条による制裁金は科されませんが、他の執行措置は可能です（第 35 条第 2 項）。

実務の枠組み：報告では確認済みの事実と推測を分けて記載する。インシデントログ、フォレンジック記録、意思決定記録をまず保全し、取扱者を記録する。どの文書に弁護士・依頼者間の秘匿特権を主張できるかは、弁護士が現地法に基づき判断します。

EU 顧客から NIS2 のセキュリティ条項が届いた。法務・コンプライアンス責任者のレビュー項目は？

顧客は第 21 条第 2 項 (d) に基づきサプライチェーンのセキュリティを管理し、第 3 項により直接のサプライヤーとサービス提供者ごとの固有の脆弱性を考慮しなければならないため、条項は貴社に及びます。

各条項の法的効果は、現地法に詳しい弁護士が判断します。

すでに ISO 27001 がある。第 21 条の義務を果たしていることの証明に使えるか？

NIS2 に証明書はなく、ISO 27001 認証も NIS2 準拠と同じではありません。ただし証明の骨格にはなります。

• 第 21 条第 1 項は、最新技術と実施コストを考慮した「適切かつ比例的な」技術的・運用的・組織的措置を求めています。法務・コンプライアンス責任者は「なぜそれが適切か」を説明できる必要があり、リスクアセスメントと適用宣言書（SoA）がその書面の根拠になります。
• 第 32 条第 2 項により、当局は有資格監査人による監査結果などの実施証拠を求めることができ、内部監査や認証審査の報告書が使えます。
• NIS2 には第 23 条の報告期限、当局への登録、経営機関による承認と研修、サプライチェーンのセキュリティなどの要求があり、27001 の上に補う必要があります。

期間（サービスページ記載）：ギャップ分析から体制構築まで通常 4〜6 か月、ISO 27001 取得済みの組織は 2〜3 か月に短縮できます。

積穗科研は法務・コンプライアンス責任者の NIS2 対応をどう支援するのか？

• 身分と適用可否：業種、規模、所在加盟国の国内法化法に基づき、essential／important 事業体に該当するか、顧客のサプライチェーン要求への対応だけでよいかを判定
• ギャップ分析：第 21 条の 10 項目の措置と一つずつ照合し、優先的な改善リストを作成
• 報告手順：24 時間・72 時間・1 か月の三段階報告手順を構築し、机上演習で再現性を確認
• 経営陣の責任：上級管理職のセキュリティ責任マトリクスと承認記録を整備
• サプライチェーンのセキュリティ：サプライヤーのリスク評価手順と契約上のセキュリティ条項を整備
• ISO 27001 との統合：既存の仕組みに NIS2 との差分を補い、一つの証拠で NIS2 と顧客要求に対応
• 担当者：副総経理・取締役級のコンサルタントが一貫して直接担当し、外注しません

詳しくは：NIS2 対応支援、台湾の NIS2 コンサルタントの選び方、台湾の DORA コンサルタントの選び方。無料のメカニズム診断を申し込む