NIS2の適用対象は？セクター・規模・事業体区分

何であるのか

NIS2（指令(EU) 2022/2555）は、対象セクターを2つの附属書に列挙しています。附属書Iは重要度の高いセクターを対象とし、エネルギー、運輸、銀行、金融市場インフラ、保健医療、飲料水、下水、デジタルインフラ、ICTサービス管理（企業間）、行政、宇宙が含まれます。附属書IIはその他の重要なセクターを対象とし、郵便・宅配サービス、廃棄物管理、化学品の製造・流通、食品の生産・流通、特定製品の製造（医療機器、コンピューター・電子機器、電気機器、機械、車両など）、デジタル事業者（オンラインマーケットプレイス、検索エンジン、ソーシャルネットワーキングプラットフォーム）、研究が含まれます。原則として、指令はこれらのセクターの中規模および大規模の組織に適用されます。EUの中小企業の定義では、従業員が50人以上、または年間売上高と貸借対照表の総額の両方が1,000万ユーロを超える場合に、おおむね中規模以上とされます。公衆電気通信の一部の事業者、トラストサービス事業者、DNSサービス事業者、トップレベルドメインのレジストリなど、規模にかかわらず対象となる事業体もあり、加盟国が他の事業体を指定する場合もあります。対象となる組織は、必須エンティティまたは重要エンティティに分類されます。おおむね、附属書Iのセクターの大規模組織は必須エンティティ、附属書Iの中規模組織と附属書IIの組織は重要エンティティとなります。ただし、規模に関係のない規定や国による指定の影響を受けます。この分類が影響するのは監督と罰則であり、求められる基本的な対策ではありません。

誰のために

本ガイドは次のような方に役立ちます。

• 製造、物流、デジタルサービス、食品、化学品、または医療関連のサプライチェーンに属する中堅企業の管理者
• 法人顧客向けに事業を行うマネージドサービス事業者やICT事業者
• セキュリティ質問票を受け取っている、対象事業体のサプライヤー
• 複数のEU加盟国で事業を行い、一貫した見解を必要とするグループ企業

明確にするのに役立つこと

適用範囲の構造を確認することで、次の点が明確になります。

• 自社の活動のいずれかが附属書Iまたは附属書IIのセクターに該当するか
• 規模の基準を満たすか、または規模にかかわらず対象となる区分に該当するか
• どの加盟国の国内法と当局が関係するか
• 自社の義務が直接的なものか、顧客との契約を通じて間接的に生じるものか

含まれる内容

• 主な事業の説明だけでなく、すべての活動とサービスラインを一覧化する
• 各活動を附属書Iと附属書IIのセクターの記述と照合する
• EUの中小企業の定義が求めるとおり、グループ構造やパートナー企業・関連企業を考慮して、従業員数、売上高、貸借対照表を確認する
• 対象サービスを提供している、または拠点を置いているすべての加盟国を特定する
• 関係する各国で、国内法化の法律と当局のガイダンスを確認する
• 結論、根拠、日付を記録し、事業に変化があれば見直す
• 対象外の場合は、対象となる顧客と、その顧客から求められるセキュリティ要件を一覧化する

含まれていないもの

• NIS2が自社に適用されるかどうかの法的判断
• 特定の国内法化の法律の解釈
• お客様に代わって当局へ登録すること
• 認証やコンプライアンス上の承認

それを選ぶべきとき

大規模なプログラムに投資する前の早い段階で本ガイドを使ってください。また、新しいセクターや国に進出したとき、事業を買収したとき、規模の基準を超えたときにも改めて使ってください。ある活動がセクターの記述の境界にあるなど、答えが不明確な場合は、推測せずに法的助言を受けてください。直接の対象外の組織であっても、対象となる顧客はサプライチェーンのリスクを管理しなければならないため、準備しておくことが有益な場合が多くあります。本記事は一般的な情報であり、法的助言ではありません。

私たちのアプローチ

適用範囲は、すぐに「はい」か「いいえ」で答えるものではなく、文書化された判断として扱ってください。まず事実を集めます。活動、規模のデータ、グループ構造、国です。そのうえで、その証跡を添えて法務アドバイザーに相談してください。並行して、NIS2が求めるセキュリティ対策を確認してください。これらは広く認められた優れた実践を反映しているため、適用範囲の問いの答えがどちらであっても、改善は有益です。当社のSecurity Baseline Reviewは、合意した資産についての書面による見解と深刻度別の指摘事項を提供し、確定したスコープに含まれる場合は、合意した基準に対する準備状況のギャップに関する指摘事項も提供します。この証跡は、顧客、経営陣、アドバイザーとの対話を支えることができます。これは意思決定を支援する資料であり、法律顧問や、必要に応じて認証機関に、的を絞った質問を持ち込む助けになります。サプライヤーの場合は、対象となる顧客にどの管理策を具体的に示す必要があるかを確認し、それを優先してください。

Security Baseline Review

よくある質問

関連記事