EU NIS2指令の真実: なぜ公的機関ではなく「EUの顧客企業」が日本企業の実態調査に来るのか？

NIS2指令（Network and Information Security Directive 2）とは？

一言で言えば、「EU全体の社会・経済インフラを守るため、企業や団体にサイバーセキュリティの強化と迅速な報告義務を課す欧州の法律（EU指令）」です。

EUのサイバーセキュリティ法関連の構図を説明すると以下のようになります。

EUのサイバーセキュリティ法は、2019年に制定され、EUにおける認証スキームとして位置付けられています。
そのサイバーセキュリティ法に基づいて、NIS2指令がEU委員会で可決されて2022年に公布されました。

NIS2指令とは、2016年に制定された重要インフラ分野を対象とした旧指令（NIS1）を大幅に強化・拡大する形で改定され、欧州連合（EU）加盟各国の国内法としてすでに落とし込まれています。

そのNIS2指令に従って、EU参加国に、それぞれの国内の事業体のサプライチェーンにおけるサイバーセキュリティ及びレジリエンス体制を強化するべく、事業体を決められた基準に従って審査する公的機関が設置されました。

それぞれの国の公的機関が事業体を審査する上で、製造工場などのOTセキュリティ審査の基準としたのがIEC 62443のセキュリティレベルSL2以上です。そして、NIS2指令にも罰則規定がありますが、サイバー攻撃の実態への対策を具体的基準として義務化した法規制が、

• サイバーレジリエンス法CRA
• 機械規則MR
• AI法
• 産業用IoT無線機器セキュリティ

などになります。

それでは、NIS2指令について理解を深めるべく以下の解説を進めていきます。

NIS2指令の主な特徴なぜこれほど騒がれているのか？

NIS2指令が従来と大きく異なり、グローバル産業界に激震を与えている理由は4つのポイントにあります。

1. 「製造業（工場）」が対象に含まれた

旧NIS指令ではIT系や金融、エネルギーなどの社会インフラが中心でしたが、NIS2では「機械・電子機器・自動車・化学・食品などの製造業」が明示的に適用対象となりました。

2. 「従業員50人以上／売上高1,000万ユーロ以上」の中堅・大手企業が網羅される

対象セクターに属する企業の多くが機械的に指定されます。特定のIT企業だけでなく、欧州で自社工場を運営するメーカーや現地法人も直接規制を受けることになりました。

3. 最低限守るべきセキュリティ対策が具体化

単なる努力目標ではなく、以下のような管理措置の実装が義務付けられています。

• リスクアセスメントの実施
• サプライチェーンセキュリティの管理
• アクセス制御や暗号化
• 24時間以内のインシデント（サイバー攻撃・被害）初期報告
• 業務継続計画（BCP）の策定

4. 非常に厳しい罰則と「経営陣の責任」

違反した場合、最高で1,000万ユーロ（または全世界売上高の2%）の巨額な制裁金が科されます。さらに重要なのは、「企業の役員（経営陣）が個人的に監督責任を問われる」規定が含まれている点です。そのため、EU企業の役員は自社のセキュリティ対応に必死になっています。

本題への架け橋「なぜ日本企業に関係あるのか？」

ここで疑問が生じます。

「うちは日本の工場だし、EUには現地法人もない。だから関係ないのでは？」

これこそが大きな誤解です。

NIS2指令には「サプライチェーン全体のセキュリティを管理せよ」という強力な要求（第21条）があります。 つまり、EUの顧客企業は、「自社が罰則を受けないため、自社に部品や機械を納入している日本のサプライヤー（工場）に対しても、同等のセキュリティ対策が取られているか確認・監査しなければならない」構造になっています。

これが、タイトルにもある「なぜ『EUの顧客企業』が日本企業の実態調査（アンケートや現地監査）にやって来るのか？」という仕組みの正体です。

それでは、第1回の深掘り解説として「審査の主体の真実」と「日本企業が直面するサプライチェーン排斥リスク」について解説していきます。

1. 「審査に来るのは公的機関」という大きな誤解

NIS2指令のニュースを目にすると、「EUの公的機関（規制当局）が日本企業の工場を直接審査しにやって来る」と誤解されるケースが非常に多く見られます。

結論から言えば、EUの主管当局が直接日本へ赴き、工場を監査することはありません。

実際に日本の工場へアンケート調査を送ってきたり、実態確認（監査）のために訪れたりするのは、NIS2指令の法的義務を負う「EUの現地企業（あなたの顧客）」です。

公的機関が審査に来ないからといって安心できるわけではありません。「法的責任を追及される恐怖に怯えるEUの顧客」が、直接自社を守るために攻めてくるというのがこの問題の本質です。

2. サプライチェーン要件（第21条d項）がもたらすインパクト

なぜEUの顧客企業は、日本のサプライヤーに対してここまで厳しくセキュリティ適合を求めてくるのでしょうか？

その理由は、NIS2指令の第21条d項（サプライチェーンセキュリティ）にあります。

NIS2指令では、適用対象となる企業に対して「自社だけでなく、自社に設備やシステム、部品を供給するサプライヤーのリスクも評価・管理すること」を法律として義務付けています。

• 遵守怠慢時のペナルティ:
  EU企業がセキュリティ対策の甘い日本企業から機械設備やシステムを調達し、そこを経由してサイバー被害が発生した場合、EU企業に対して最高1,000万ユーロ（または全世界売上高の2%）の罰則が科されます。さらに経営陣個人の責任（役員解任など）にまで発展します。

そのため、EU企業にとって日本企業のセキュリティ確認は「できればやりたい配慮」ではなく、「自社の経営陣を守るための絶対必須条件」となっているのです。

3. 日本企業が直面する「サプライチェーン排斥」の実態

この構造が日本企業に及ぼす影響は、単なる「書類の提出依頼」にとどまりません。

現地のEU企業は、設備調達や定期更新のコンペ（RFP: 提案依頼書）を実施する際、必須条件として以下のような項目を提示し始めています。

• 自社のサイバーセキュリティ管理体制（CSIRT等）の証明
• 納入する工場設備・機械のセキュリティ規格対応状況
• 迅速なインシデント報告フローの提示

適合証明ができない企業はどうなるか？

「日本の法制度には準拠している」「セキュリティ対策は自社基準でやっている」といった説明だけでは、EU企業のコンプライアンス基準を満たせません。証明ができない日本企業は、製品の良し悪し以前に「コンペの土俵にすら上がれず、サプライチェーンから即座に排除される」という現実に直面します。

4. EUの各国の公的機関と対象となる事業体規模と審査基準について

各国別の公的機関とその審査基準については以下の表にまとめておきました。

• ※1 対象規模について: NIS2指令が適用される「必須事業体（Essential）」および「重要事業体（Important）」に含まれる推定事業者数（工場単体ではなく企業・事業体単位の推定値）です。
• ※2 SL基準について: NIS2自体に「SL2で強制審査する」という規定はありません。事業者が自社のリスクアセスメントに基づきSLを設定し、第三者認証を取得する際やガイドライン参照時に「SL2」が標準的なベースラインとして扱われます。

次回は、EU企業が日本のサプライヤーを審査・監査する際、なぜ「IEC 62443 SL2（Security Level 2）」が事実上の世界共通デファクト基準として指定されるのか、その技術的・法的事情を詳しく紐解いていきます。