EU NIS2指令の真実
NIS2指令の基本的枠組みを整理し、日本企業の工場に監査やアンケートを送ってくるのは公的機関ではなくEUの顧客企業であるという、審査の主体の実態を解説。
連載解説NIS2に、日本企業はどう対応すべきか？
工場審査基準はIEC 62443 SL2
EU企業が日本のサプライヤーを審査する際、なぜIEC 62443 SL2が事実上の世界共通基準として指定されるのか、その技術的・法的事情を解説。
ガバナンスと役員責任
NIS2指令の最大の肝である経営陣の責任（第20条）と、日本企業の落とし穴となりやすい経営と現場の間のガバナンスの断絶を解説。
実務アプローチと課題解決
第1〜3回を踏まえ、日本企業が自社の製品・工場・ガバナンス体制を再点検するための現実的なステップを解説。
次回のNIS2解説は？
第2回は「工場審査基準が『IEC 62443 SL2（Security Level 2）』に収斂する理由」
EUに製品を納める日本の製造業に及ぶ規制「NIS2指令」
NIS2指令は、必須事業体と重要事業体に、サイバーセキュリティのリスク管理措置とインシデントの報告を義務付けるよう加盟国に求めるEUの法律（EU指令）です。2016年に制定された旧指令（NIS1指令）を廃止して置き換える形で制定され、対象を大幅に拡大し、機械・電気機器・電子機器・自動車などの製造業も適用対象に加わりました。
法的な義務を負うのは、EU域内で事業を行う一定規模以上の事業体で、日本企業のEU子会社や欧州の工場も対象になりえます。その義務にはサプライチェーンのセキュリティ（第21条第2項(d)）が含まれ、EUの顧客企業は直接の供給者のリスクを考慮しなければなりません（同条第3項）。そのため、EUの顧客企業は契約や調達の要件を通じて、日本のサプライヤーにもセキュリティ対策の説明と根拠を求めます。日本の工場や製品を審査するのは、多くの場合、公的機関ではなくEUの顧客企業です。
- NIS2指令の採択・官報掲載
※2022年12月14日採択、12月27日にEU官報へ掲載 - NIS2指令の発効
※官報掲載から20日目の2023年1月16日に発効 - 国内法化の期限・適用開始
※加盟国は10月17日までに国内措置を採択・公表し、10月18日から適用。同日に旧指令（NIS1指令）は廃止
※期限までに国内法化を終えない加盟国も多く、欧州委員会は2024年11月に違反手続きを開始。2026年7月には、アイルランド・スペイン・フランス・オランダをEU司法裁判所に付託
NIS2指令の全体像をまず知りたい！
審査に来るのは公的機関ではなく「EUの顧客企業」: NIS2指令の構造を理解する
NIS2指令の4つの特徴（製造業の適用、対象となる企業規模、具体化されたセキュリティ対策、厳しい罰則と経営陣の責任）を整理し、第21条d項のサプライチェーン要件がEUの顧客企業を通じて日本企業に及ぶ仕組みと、EU各国の監督機関が採用するIEC 62443のセキュリティレベル基準を解説します。
あなたの会社とNIS2指令の関わり方は？
NIS2指令の対象は、18のセクターに属する、原則として中規模以上（従業員50人以上など）の事業体です。製造業で対象となるのは、医療機器、コンピュータ・電子・光学製品、電気機器、機械器具、自動車、その他の輸送機器の6業種です。
日本企業がNIS2指令の影響を受ける経路は、次の2つです。日本の工場が直接の対象でなくても、サプライヤーとしての対応は避けて通れません。
| 比較項目 | 直接対象となる企業 | 取引先から対応を求められる企業 |
|---|---|---|
| 対象となる条件 | EUで事業を行い、対象業種（附属書Ⅰ・Ⅱ）や企業規模などの要件に該当する | NIS2指令の対象企業に製品・部品・サービスなどを提供している |
| 対応が必要な理由 | NIS2指令に基づく各国の国内法で義務付けられる | EUの取引先から、契約や調達条件として求められる |
| 主な対応内容 | サイバーセキュリティのリスク管理、重大インシデントの報告 | セキュリティ対策の説明、資料提出、監査対応など |
| 対応を確認する相手 | EU加盟国の所管当局 | EUの取引先企業 |
| 関連条文 | 第2・3・21・23・26条 | 第21条第2項(d)・第3項 |
対象セクターは旧指令の7分野から18分野に拡大
旧指令（NIS1指令）の対象は、7セクターと3種のデジタルサービス（オンラインマーケットプレイス、オンライン検索エンジン、クラウドコンピューティング）でした。NIS2指令では18セクターに拡大され、製造業も新たに対象に加わりました。
| 対象セクター | NIS1指令 | NIS2指令 |
|---|---|---|
| エネルギー | 対象 | 継続 |
| 運輸 | 対象 | 継続 |
| 銀行 | 対象 | 継続 |
| 金融市場インフラ | 対象 | 継続 |
| 医療 | 対象 | 継続 |
| 飲料水 | 対象 | 継続 |
| デジタルインフラ | 対象 | 継続 |
| 下水 | 対象外 | 追加 |
| ICTサービス管理（B2B） | 対象外 | 追加 |
| 行政機関 | 対象外 | 追加 |
| 宇宙 | 対象外 | 追加 |
| 郵便・宅配サービス | 対象外 | 追加 |
| 廃棄物管理 | 対象外 | 追加 |
| 化学物質の製造・生産・流通 | 対象外 | 追加 |
| 食品の生産・加工・流通 | 対象外 | 追加 |
| 製造業（指定業種） | 対象外 | 追加 |
| デジタルプロバイダー | 一部対象 | 対象拡大 |
| 研究機関 | 対象外 | 追加 |
EUの顧客企業の審査に備えて、いま取り組むべきこと
EUの顧客企業は、違反すると会社に制裁金（最大1,000万ユーロまたは全世界売上高の2%）が科され、経営陣も責任を問われるため、サプライヤーの対策や経営体制を厳しく確認します。EUの顧客企業から調査票や監査の依頼が届いてから準備を始めても、開発プロセスの見直しや社内体制の整備には数か月から数年かかります。次の取り組みを先に進めておくことが、欧州との取引を守ることにつながります。
- 自社の立ち位置の確認
EUの拠点が対象事業体に該当するか、納入先が対象事業体か、供給している製品・装置がどのカテゴリに属し、顧客の生産ラインにどうつながるかを確認する
- 調査票・監査への回答体制
EUの顧客から届く100項目以上のセキュリティ調査票（SAQ）に、根拠文書（エビデンス）を添えて回答できる担当窓口・組織を決める
- 製品・装置のセキュリティ品質
製品・装置をIEC 62443-4-1（セキュア開発プロセス）と4-2（コンポーネントのセキュリティ要件）に照らして差を分析する。水準はSL2が事実上の基準（航空機・半導体はSL3）
- 脆弱性・インシデント対応
出荷後の脆弱性の管理、修正（パッチ）の提供、顧客への通知の手順を確立し、顧客に迅速なインシデント報告フローを示せるようにする
- 経営陣の関与
適合状況を定期的に経営会議へ報告する仕組み、担当役員（CISO等）の任命、役員の研修、承認・監督の記録（議事録など）を整える
- IT・OT・経営をつなぐ体制
情報システム部門、工場・設計部門、経営・法務部門を横断する組織を設け、規程の改定や適合の取り組みを一元的に進める
NIS2指令に関するよくあるご質問
NIS2指令（ネットワーク・情報システムのセキュリティに関するEU指令）に関する知識や理解を深めるため、ICS研究所のコンサルタントにお寄せいただいておりますご質問を整理して公開しております。ぜひご参考にしていただき、課題解消にお役立てください。
※準備中です