従来、情報セキュリティは主にIT部門の責任とみなされていました。組織は情報セキュリティリスクの管理を主に技術的な対策の実施と捉え、ファイアウォール、エンドポイントセキュリティ、侵入検知・防御システム、ネットワークセグメンテーションなどを通じてITインフラストラクチャを保護することに依存していました。このアプローチは、情報セキュリティリスク管理への体系的なアプローチを示すために、「人的ファイアウォール」を強化するための物理的なセキュリティ対策と意識向上トレーニングによって補完されていました。
それ以来、その焦点は大きく広がった。今日、サイバーセキュリティとは、単にIT関連の情報資産を保護するだけでなく、経済的損失を防ぎ、事業継続性を維持し、重要なサービスやサプライチェーンを保護すること、つまり組織の回復力を強化することを意味するようになった。このパラダイムシフトをこれほど明確に示しているものは、欧州連合のNIS2指令以外にほとんどないと思います。
NIS2とは何ですか？
NIS2は、欧州連合のネットワークおよび情報セキュリティ指令（指令（EU）2022/2555）の改訂版であり、エネルギー、化学、製造、運輸、医療、デジタルインフラ、その他の重要経済セクターといった主要セクターの中規模および大規模組織に対し、サイバーセキュリティとインシデント報告に関する統一的な義務を定めています。欧州加盟国で国内法に移行されると、関係組織はリスクベースのサイバーセキュリティ対策を実施し、24時間または72時間という厳格な報告期限を遵守し、重大な違反があった場合には多額の罰金を科されることになります。
NIS2はEU指令ではあるものの、その実質的な影響はEUの国境をはるかに超えて広がっている。欧州のバリューチェーンを構成する製造業者、テクノロジープロバイダー、物流会社、サービスプロバイダーは、顧客から特定のサイバーセキュリティに関する期待や証拠提出要求にますます直面している。 ISO 27001認証この文脈では、これは重要なシグナルになりつつあります。これは、組織が管理していることを示しています。情報セキュリティリスクを体系的に、かつ国際的に認められた基準に沿って管理する。
多くの組織にとって、これは戦略的な問題を提起する。
入札件数とサプライヤー評価件数の増加に伴い、明確な全体像が見えてきた。
こうした意味で、ISO 27001認証は、欧州のサプライチェーンへの効果的な入り口になりつつある。それは、ISO 27001認証だけでNIS2のすべての義務を満たすからではなく、多くの欧州の顧客が最低限の要件として期待する、構造化され検証可能な枠組みを提供するからである。
今日のサイバーインシデントは、単独で終わることはほとんどなく、サプライチェーン全体に波及し、業務を停止させ、最初の侵害から長期間にわたって組織を規制当局の監視にさらすことになる。
製造業、医療、運輸、重要インフラなど、あらゆる分野で組織が数日から数週間にわたる操業停止に直面している。生産ラインは停止し、物流ネットワークは麻痺し、顧客サービスは利用できなくなっている。
これらの事件の多くが特に懸念されるのは、必ずしも高度な攻撃から始まったわけではないという点です。多くの場合、攻撃者はサプライヤーのエコシステムにおける脆弱性、パッチ未適用のシステム、不十分な監視体制、あるいはインシデント対応の遅れなどを悪用しました。
ビジネスリーダーにとって、一つの教訓が明らかになった。
重要な問題は、組織がすべてのサイバーインシデントを未然に防げるかどうかではなく、インシデントが発生した場合に事業を継続できるかどうかである。
この考え方の転換こそが、NIS2の中核を成すものである。
NIS2は、ガバナンス、説明責任、組織の回復力に重点を置いています。指令の適用範囲に含まれる組織は、とりわけ以下の点を実証する必要があります。
ISO 27001認証を取得している組織は、リスク管理、ガバナンス、インシデント対応に関する体系的な枠組みを既に構築しており、これらはすべてNIS2の要件を支える要素である。
ISO 27001の中核は、組織の業務プロセスに関連するリスクベースの管理措置の選択、明確なガバナンス責任と方針、そして継続的改善（PDCAサイクル）に基づいています。これらの原則は、NIS2規則に規定されている組織的および技術的な措置に直接適用できます。
成熟した組織情報セキュリティ情報セキュリティマネジメントシステム（ISMS）には、通常、以下の項目が既に導入されています。
これらの要素は、NIS2の主要なリスク管理措置を実施するための強固な基盤を形成する。
ISO/IEC 27001:2022は国際規格であり、法律ではありません。ISO 27001認証はNIS2への準拠を保証するものではありません。3つの領域 –サプライチェーンセキュリティ経営陣の責任やセキュリティインシデントを報告する法的義務などには、ISO 27001認証だけでは証明できないような対策や証拠が一般的に必要となる。
ISO 27001は任意の国際規格であるのに対し、NIS2は拘束力のある欧州法です。したがって、認証を取得したからといって、特にサプライチェーンのセキュリティ、報告義務、経営陣の責任に関するNIS2のすべての義務を遵守する必要が自動的になくなるわけではありません。
NIS2第21条(2)では、対象となる組織が法的に実施を義務付けられているサイバーセキュリティリスク管理措置の10のカテゴリーが定義されています。ISO/IEC 27001:2022規格の内容および附属書Aに記載されている管理策は、これらのカテゴリーのほとんどに対応していますが、法的要件として1対1で一致するわけではありません。
NIS2指令は、組織に対し、自社の企業境界内だけでなく、サプライチェーン全体にわたるサイバーセキュリティリスクを評価し、管理することを義務付けている。
近年のサイバーセキュリティ事件は、攻撃者がサプライチェーンを悪用して、より大規模な顧客ネットワークへの不正アクセスを企んでいることを繰り返し示している。結局のところ、「最小限の労力で最大限のリーチを実現する」という効率性の原則は、ここでも当てはまるのだ。
したがって、NIS2の第21条(2)(d)はサプライチェーンセキュリティを要求しており、これはISO 27001の附属書Aの要求事項5.19～5.23と一致している。
NIS2の下では、サイバーセキュリティはもはやIT部門に任せられる純粋に技術的な問題とは見なされなくなった。
この指令では、組織の経営陣がサイバーセキュリティリスク管理措置の実施を承認、監視、定期的に見直す責任を負うことを規定しています。実際には、上級管理職には以下のことが求められます。
NIS2の各国における実施状況や関連する企業法および責任法規によっては、経営陣のメンバーがサイバーセキュリティに関する義務を適切に履行しなかった場合、個人的な責任を問われる可能性もあります。したがって、サイバーセキュリティ・ガバナンスは重要な経営責任となりつつあり、十分な監督体制が明確に示されない場合は、規制面および財務面で重大な影響を及ぼす可能性があります。
NIS2では、法的拘束力のある期限が設けられています。組織は、重大なインシデントを認識してから24時間以内に管轄当局に最初の早期警告通知を提出し、その後72時間以内に詳細な報告書を提出し、さらに法律で定められた段階で最終報告書を提出しなければなりません。
現在、多くの組織では、これらの期限を確実に遵守するために必要な、文書化されたプロセス、明確に割り当てられた責任、およびテスト済みの手順が不足しています。ISMS内の既存のインシデント管理フレームワークは、NIS2によって導入された規制上の期限と外部報告義務を反映するために、多くの場合、的を絞った調整が必要となります。
実際には、これは通常、3つの具体的なギャップを埋めることを意味します。1つ目は、重大なインシデントを「認識」した時点で24時間のカウントダウンが開始される明確なトリガーを定義し、文書化することです。ほとんどのISMS手順は、規制上のタイミングよりも内部の重大度分類に重点を置いています。2つ目は、早期警告通知と国家CSIRTまたは管轄当局との直接的な連絡を担当する特定の役割を、内部対応を主導する役割とは別に指定することです。3つ目は、監督当局が後日NIS2に基づく24時間および72時間の期限がどのように守られたかをレビューする場合に提示できる、タイムスタンプ付きログ、通知のコピー、初期重大度評価の根拠など、監査可能な証拠の記録を確立することです。
規制当局や顧客は、回復力対策が単に書類に記録されているだけでなく、実際にテストされたという証拠をますます求めるようになっている。
したがって、組織は単に文書による計画を提示するだけでなく、混乱事象発生時に重要な業務を維持または迅速に復旧できることを実証することが求められます。これには通常、以下の内容が含まれます。
これらの要素を総合的に見ると、レジリエンスが日々の業務に真に組み込まれているかどうかが分かります。
ISO 22301（事業継続マネジメント）は、プレッシャーのかかる状況下における事業継続性を実証するための補完的な枠組みを提供する。
ISO 27001認証は、サプライヤーとの交渉における必須条件になりつつあります。ヨーロッパの顧客は、ISO 27001認証だけでなく、実績のある回復力も期待しています。
サプライチェーンに関わる企業は、以下の問いに答える必要がある。
認証と実績のある事業継続性の両方を証明できる企業は、競争の激しい市場において際立った存在となる。
最も効果的なアプローチは、既存のISO 27001 ISMSを基盤として、より広範なNIS2準拠を実現し、認証だけでは対応できない具体的なギャップを特定して解消することです。
組織はISO 27001とNIS2のどちらか一方を選択する必要はありません。ほとんどの場合、ISO 27001はマネジメントシステムの基盤を提供し、NIS2とその国内実施法は特定の分野における基準を引き上げます。重要なのは、現在の業務慣行が既にこれらの法的要件に合致している箇所と、改善が必要な箇所を理解することです。
経営陣が検討すべき有益な質問：
DQSのホワイトペーパーをダウンロードして、NIS2の義務とISO 27001の管理策の詳細な比較をご覧ください。このホワイトペーパーは、組織が自社のISMSが既に指令の要件を満たしている箇所と、まだギャップが残っている可能性のある箇所を評価するのに役立つように設計されています。
NIS2（第2次ネットワークおよび情報セキュリティ指令、指令（EU）2022/2555）は、2023年1月からEUレベルで適用されているEU指令であり、加盟国は2024年10月17日までに国内法に導入しなければなりません。この指令は、エネルギー、運輸、製造、医療、デジタルインフラなど、ヨーロッパ全域の幅広い重要セクターの組織に対し、サイバーセキュリティとレジリエンスに関する義務的な要件を定めています。NIS2を導入する国内法は、直接的な法的義務、重要事業体に対しては最大1,000万ユーロまたは全世界年間売上高の2%（重要事業体に対しては700万ユーロまたは1.4%）に達する罰金、およびサイバーセキュリティリスク管理とコンプライアンスに関する上級管理職のより明確な説明責任を導入します。
ISO/IEC 27001は、情報セキュリティ管理に対する構造化されたリスクベースのアプローチを通じて、NIS2の多くの要件をサポートしています。しかし、認証取得だけでは、特に法定のインシデント報告期限、サプライチェーンリスク管理、およびNIS2に基づく国内法で管理機関に課せられる特定のガバナンスと説明責任の要件に関して、NIS2のすべての義務を自動的に満たすことはできません。
いいえ。NIS2ではISO 27001認証は必須ではありません。しかし、多くの組織は、サイバーセキュリティリスク管理の実践を体系化し、実証するための認知されたフレームワークとしてISO/IEC 27001を使用しており、これはNIS2の義務を遵守し、顧客や規制当局の期待に応えるための取り組みを大きく支援することができます。
ISO/IEC 27001は、組織が体系的な情報セキュリティガバナンスを実証するために採用できる、自主的な国際マネジメントシステム規格です。NIS2はEU指令であり、国内法に組み込まれると、サイバーセキュリティリスク管理、レジリエンス、インシデント報告、および管理レベルの監督に関する拘束力のある法的義務が生じ、違反した場合は重大な罰則が科される可能性があります。
NIS2の枠組みの下では、各国の法律により、重要事業体に対しては最大1,000万ユーロまたは全世界年間売上高の2%のいずれか高い方の行政罰金、重要事業体に対しては最大700万ユーロまたは全世界年間売上高の1.4%のいずれか高い方の行政罰金を科すことができる。また、経営幹部がサイバーセキュリティに関する監督義務を著しく怠った場合、適用される各国の企業法および賠償責任法に基づき、制裁を受ける可能性もある。
NIS2では、対象となる組織に対し、関係する国家機関またはCSIRTへの段階的な報告スケジュールに従うことを義務付けています。通常、これには重大なインシデントを認識してから24時間以内の早期警告通知、72時間以内のより詳細なインシデント通知、そして国内法で定められた期限（多くの場合1か月）内の最終報告が含まれます。これらの手順に関する文書化されたプロセス、割り当てられた責任、およびテスト済みの手順がない組織は、これらの法的拘束力のある期限を守ることが困難になる可能性があります。
はい。ISO/IEC 27001は、リスク管理、インシデント対応手順、サプライヤーセキュリティ管理、ガバナンス慣行をサポートしており、これらを総合的に考慮することで、組織のレジリエンス強化に貢献します。NIS2および顧客の期待に沿ったレジリエンスを実証しようとする組織にとって、適切に導入されたISO 27001ベースのISMSは、価値があり広く認知された出発点となります。
DQSのISO 27001認証サービスをご覧ください。初期評価から認証取得、継続的な監視まで、幅広く対応いたします。
DQSの製品管理・認定部門で、情報セキュリティの専門家および審査員として勤務している。30年以上の経験を持ち、最初は原子力施設の放射線防護の専門家として、次にISMSの審査員および認証機関副マネージャーとして活躍しました。この職務において、情報セキュリティの専門知識（ISO/IEC 27001、ドイツエネルギー産業法（EnWG）11.1aに基づくITセキュリティカタログ）をドイツの認定機関DAkkSや多くの顧客監査で実証しました。
