NIS2対応準備チェックリスト：企業の実践手順

NIS2指令（指令(EU) 2022/2555）は、前身の指令よりもはるかに幅広いEU域内の組織に対して、サイバーセキュリティへの期待水準を引き上げています。加盟国はこれを国内法に置き換えるため、義務、登録手続き、スケジュールは国によって異なります。多くの中堅企業にとって実務上の問題は、法文そのものではなく、どこから始めるかです。このNIS2対応準備チェックリストは、主な要求事項を、計画し、担当を割り当て、証跡を残せる手順にまとめたものです。本記事は一般的な情報であり、法的助言ではありません。

何であるのか

NIS2への準備とは、指令が自社に適用されるかどうか、またどのように適用されるかを理解し、そのうえで指令が求めるガバナンス、技術、組織面の対策を構築し文書化することです。第21条は、サイバーセキュリティのリスク管理対策の領域を列挙しています。リスク分析とセキュリティポリシー、インシデント対応、事業継続と危機管理、サプライチェーンのセキュリティ、脆弱性への対応を含むセキュアな調達と開発、対策の有効性の評価、基本的なサイバー衛生と研修、暗号化、人的資源のセキュリティとアクセス制御、多要素認証または継続的認証などです。第20条は、これらの対策を承認・監督する責任を経営陣に課しています。第23条は、所管当局またはCSIRTへの段階的なインシデント報告を定めています。重大なインシデントを認識してから24時間以内の早期警告、72時間以内のインシデント通知、そしてインシデント通知から1か月以内の最終報告です。国内法で詳細が追加される場合があり、クラウド、データセンター、マネージドサービス、DNSの事業者など一部のデジタル事業者については、欧州委員会実施規則(EU) 2024/2690が技術要件をより詳しく定めています。

誰のために

このチェックリストは次のような方を対象としています。

NIS2の対象セクターに属し、自社の立ち位置を評価している中堅・大企業
NIS2関連のセキュリティ質問票を受け取っている、対象事業体のサプライヤー
法務・技術アドバイザーと何を協議すべきかを体系的に把握する必要がある経営陣
ギャップ分析とロードマップを準備しているITおよびセキュリティの責任者

明確にするのに役立つこと

チェックリストに沿って進めることで、次の点が明確になります。

自社が対象となる可能性が高いか、どの国の当局が所管するか
現行の管理策と文書が、求められる対策に対してどこで不足しているか
経営陣の中で誰が責任を負い、どのような研修が必要か
どのギャップに最初に取り組むべきか、どれに別途専門家の意見が必要か

含まれる内容

適用範囲：セクター、規模、事業を行う加盟国を確認し、結論とその根拠を記録する
登録：国内法で当局への登録が求められているか、その期限はいつかを確認する
ガバナンス：責任を負う役員を指名し、経営陣がセキュリティ対策を承認・見直す方法を合意し、経営陣の研修を計画する
リスク評価：重要なサービス、それを支えるシステム、それらに対する主なリスクを文書化する
ポリシー：情報セキュリティポリシー、アクセス制御のルール、暗号化のガイダンスを維持する
インシデント対応：自社にとっての重大なインシデントの定義、判断者、そして24時間・72時間・1か月の各報告の準備方法を定める
事業継続：重要なサービスのバックアップと復旧をテストし、危機時のコミュニケーションを文書化する
サプライチェーン：主要なICTサプライヤーを一覧化し、そのセキュリティ上の約束事項を確認し、契約にセキュリティ条項を盛り込む
セキュアな開発と脆弱性への対応：脆弱性の報告、トリアージ、修正の方法を定める
衛生管理と研修：定期的な意識向上研修を実施し、計画的にパッチを適用し、MFAを徹底する
有効性：対策が機能していることを示すため、定期的なレビューやテストを計画する

含まれていないもの

法的助言、または対象である・対象でないという判断
認証、コンプライアンス上の承認、公式の監査意見
お客様に代わって当局へ報告や登録を提出すること
チェックリストを完了すれば国内法を満たすという主張

それを選ぶべきとき

初めてNIS2を評価するとき、事業を行う国で国内法化が公表または更新されたとき、あるいは顧客からNIS2に沿ったセキュリティの証跡を求められたときに、このチェックリストを使ってください。適用範囲と国内要件については法的助言と組み合わせてください。すでにISO 27001に基づくプログラムを運用している場合は、新しい文書を作成する前に、既存の管理策をチェックリストに対応付けてください。本記事は一般的な情報であり、法的助言ではありません。

私たちのアプローチ

適用範囲とガバナンスから始めてください。経営陣のオーナーシップがない技術的な作業は停滞しがちです。次に、推測ではなく証跡を用いて、対策に対するギャップ分析を行います。設定、ログ、テスト結果、契約、研修記録などです。ギャップをリスクと工数で順位付けし、担当者と期日を定めたロードマップを作成します。当社のSecurity Baseline Reviewは、文書化された出発点を提供できます。合意した資産についての書面による見解、深刻度別の指摘事項、そして確定したスコープに含まれる場合は、合意した基準に対する準備状況のギャップに関する指摘事項です。これは社内の意思決定や関係者との協議を支えるものであり、認証機関や法律顧問に提示できる、文書化された準備状況の全体像を提供します。インシデント対応については、机上演習で報告のタイムラインを予行し、24時間以内の早期警告を理論上ではなく現実的なものにしてください。国内のガイダンスの進展に合わせてロードマップを見直してください。

Security Baseline Review

Security Baseline Reviewのサービスページを見る