直答：NIS2 のコンサルタントに最初に聞くべきことは「自社は本当に NIS2 の規制対象なのか」です。NIS2（指令 (EU) 2022/2555）は、EU でサービスを提供し、または活動を行い、附属書 I または附属書 II の分野に属し、原則として中規模企業以上の組織（電気通信、トラストサービス、DNS、トップレベルドメイン名レジストリなど一部の種類は規模を問わない）を規制し、必須事業体（essential entity）と重要事業体（important entity）に分けます。EU に拠点を持たず、規制対象の EU 顧客に供給しているだけのサプライヤーは、通常は規制対象ではありません。要求は、顧客が第 21 条のサプライチェーンセキュリティの要件に基づいて契約に盛り込む条項を通じて届きます。ただし、第 26 条に挙げられたデジタルサービス（例えばクラウド、データセンター、顧客の ICT システムを現地または遠隔で運用・保守するマネージドサービス）を提供している場合は、EU に拠点がなくても直接規制される可能性があります。立場によって、やるべきことはまったく異なります。次に、第 21 条の十のリスク管理措置と、第 23 条の報告（重大なインシデントを認識してから 24 時間以内の早期警告と 72 時間以内のインシデント通知、通知から 1 か月以内の最終報告）を、すでにある ISO 27001 の制度の上に構築できるかを確認します。
台湾企業によくある三つの立場
| 立場 | 判断の根拠 | やるべきこと |
|---|---|---|
| EU に拠点があり、基準を超える必須事業体・重要事業体 | 附属書 I または附属書 II の分野で、原則として中規模企業以上。電気通信、トラストサービス、DNS、トップレベルドメイン名レジストリなど一部は規模を問わない（第 2 条、第 3 条） | 各国の国内法に基づく登録、第 21 条の措置の実施、第 23 条に基づく報告 |
| EU に拠点がなく、EU で特定のデジタルサービスを提供 | 第 26 条に挙げられ、第 2 条の適用範囲に入るデジタルサービス。例えばクラウド、データセンター、コンテンツ配信ネットワーク、マネージドサービス（MSP、顧客の ICT システムの現地・遠隔での運用を含む）、マネージドセキュリティサービス（MSSP） | EU 域内に代理人を指定し、上記の義務を履行 |
| 規制対象の EU 顧客のサプライヤー | 上記のいずれにも当たらない | 顧客が第 21 条のサプライチェーンセキュリティの要件に基づいて求める契約条項と監査に対応 |
八つの判断基準
| 基準 | どのコンサルタントにもそのまま聞ける質問 |
|---|---|
| 適用の判定 | 自社はどの立場に当たるか。どの分野、規模の基準、管轄の規定に基づくか |
| 各国の国内法 | 拠点や顧客はどの加盟国にあるか。現地の国内法にはどのような追加要件や登録手続きがあるか |
| 第 21 条の十の措置 | 十のリスク管理措置は、現在の制度のどの部分に対応するか。ギャップはどこか |
| 報告の流れ | 認識から 24 時間以内の早期警告と 72 時間以内の通知、通知から 1 か月以内の最終報告について、重大なインシデントかどうかを誰が判断し、誰が提出するか |
| 経営陣の責任 | 経営陣がセキュリティ措置を承認し監督した記録をどう残すか（第 20 条） |
| サプライチェーンセキュリティ | 顧客から署名を求められるセキュリティ条項にどう対応するか。自社のサプライヤーに対して何をすべきか |
| ISO 27001 との統合 | 既存の ISO 27001 の制度の上に NIS2 との差分を加えられるか。別の制度を作る必要はないか |
| 誰が主導し、外注するか | 実際に案件を担当するのは誰か。どのような資格を持つか。再委託はあるか |
コンサルタントが必ずしも必要でない場合
規制対象ではないことが確かで、顧客からはセキュリティに関する質問票への回答だけを求められている場合は、既存の ISO 27001 の制度と記録で回答すれば通常は十分です。管轄や適用について法的意見が必要な場合は、現地の国内法に詳しい弁護士に相談してください。
積穗科研はこれらの基準にどう応えるか
以下は積穗科研自身の説明です。上の質問で、他のコンサルタントと同じように私たちも検証してください。
- 適用の判定：分野、規模、該当する加盟国の国内法から、必須事業体・重要事業体に当たるのか、顧客のサプライチェーン要件に対応すればよいのかを判定します
- 第 21 条の十の措置：各措置を現在の情報セキュリティマネジメントシステム、インシデント報告、サプライヤー管理、技術的措置と照合し、優先順位付きの補強リストを作成します
- 報告の流れ：24 時間・72 時間・1 か月の三段階の報告手順を構築し、机上演習で繰り返し実行できることを確認します
- 経営陣の責任：経営陣のセキュリティ責任マトリクスと承認記録を整えます
- サプライチェーンセキュリティ：サプライヤーのリスク評価手順と契約上のセキュリティ条項を整えます
- ISO 27001 との統合：既存の ISO 27001 の制度の上に NIS2 との差分を加え、一つの証拠セットで NIS2 と顧客の要求に対応します
- 誰が主導するか：副社長・取締役クラスのコンサルタントが最初から最後まで支援し、外注しません
関連する質問
- NIS2 と CRA の違いは CRA はデジタル要素を含む製品を規制し、NIS2 は組織のサイバーセキュリティのリスク管理とインシデント報告を規制します。製品を EU に輸出し、EU でサービスも提供している企業には、両方が適用される可能性があります。台湾で CRA コンサルタントを選ぶには
- ISO 27001 があれば十分か ISO 27001 があれば準備期間を大きく短縮できますが、NIS2 には報告期限、当局への登録、サプライチェーンセキュリティ、経営陣の責任などの要件があり、ISO 27001 の上に補う必要があります。NIS2 EU サイバーセキュリティ指令支援
- NIS2 の支援にはどれくらいかかるか ギャップ分析から制度の構築まで通常 4〜6 か月です。既存の ISO 27001 がある場合は 2〜3 か月に短縮できます。NIS2 EU サイバーセキュリティ指令支援
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。