NIS2指令コンプライアンス支援

NIS2（EU 2022/2555）はEUの第2世代ネットワーク・情報システムセキュリティ指令であり、加盟国に2024年10月までの国内法への転換を義務付けています。NIS1と比較して、NIS2は適用範囲を大幅に拡大し（7業種から18業種へ、約16万のEU事業体をカバー）、最低セキュリティ要件を引き上げ、経営幹部の個人責任制度を導入し、インシデント報告期限を24時間早期警告/72時間正式通知に統一しました。

NIS2は、EU内でサービスを提供する組織に適用され、本社所在地は問いません。台湾企業は以下の条件に該当する場合、NIS2の適用を受ける可能性があります：(1) Annex IまたはIIに記載されている18業種のいずれかで事業を行っている；(2) 規模の基準を満たしている（重要実体：従業員250人以上または年間売上5,000万ユーロ以上；重要実体：従業員50-249人かつ年間売上1,000万-5,000万ユーロ）。直接適用されない場合でも、EU重要実体のサプライヤーである台湾企業は、サプライチェーンセキュリティ条項を通じて間接的な義務を負います。

NIS2第21条が要求する10項目の最低対策：(1) サイバーセキュリティポリシーとリスク分析；(2) インシデント対応；(3) 事業継続と危機管理；(4) サプライチェーンセキュリティ；(5) ネットワーク/システム調達・開発セキュリティ；(6) 脆弱性管理と開示；(7) サイバーセキュリティ有効性評価；(8) 基本的なサイバー衛生（MFA、暗号化）；(9) サイバーセキュリティ研修と意識向上；(10) 人事セキュリティとアクセス制御。

NIS2は「重大インシデント」に対して3段階の報告を義務付けています：(1) 24時間早期警告；(2) 詳細な技術報告書を含む72時間正式通知；(3) 1ヶ月最終報告。「重大インシデント」とは、サービス提供に深刻な中断をもたらすか、他の事業体や公共の利益に重大な損害を与えるものと定義されています。

NIS2第20条は、経営幹部がサイバーセキュリティリスク管理措置の承認と監督について個人的に説明責任を負うことを求めています。経営幹部の「重大な過失」によるNIS2義務違反の場合、当局は一時的に管理職から解任し、違反を公開開示し、組織に最高1,000万ユーロまたは年間売上の2%の罰金を科すことができます。

ISO 27001は、NIS2の準備期間を大幅に短縮できる強固なISMS基盤を提供します。ただし、NIS2はISO 27001の上に構築する必要がある追加要件（特定のインシデント報告期限、EU当局への登録、サプライチェーンセキュリティ評価手順、経営幹部の個人責任メカニズム）を求めています。積穂科研はISO 27001+NIS2統合支援を提供します。

ギャップ分析から制度構築完了まで、NIS2支援は通常4〜6ヶ月かかり、既存のISO 27001基盤がある組織では2〜3ヶ月に短縮されます。費用は組織規模、既存フレームワークの成熟度、対象加盟国によって異なります。初回相談は無料です。