フレームワーク横断で比較するインシデント対応要件
インシデント対応は、すべてのフレームワークが求める5つのトピックの一つです。計画は似ていますが、報告期限は同じではありません。比較してみましょう。
本記事では、執筆時点でControlMappingがマッピングしていた11個のフレームワークを扱います。その後、DORA, CPS 234, Cyber Essentialsが2026-10-27に追加されました。それらのページおよびカバレッジマトリクスにも含まれています。
インシデント対応は共通の中核要件の一部です。当サイトでマッピングしたすべてのフレームワークがこれを求めています。中核となる要件はどこでも同じです。計画、役割を理解した担当者、そして検知、封じ込め、復旧、教訓の把握という仕組みです。違いはテストにあり、とりわけ誰にいつまでに通知しなければならないかにあります。
各フレームワークの要求
| フレームワーク | インシデント対応 | リンク |
|---|---|---|
| NIST CSF 2.0 | RS.MA-01RS.MA-02RS.MA-03RS.MA-04ID.IM-04 | トピックの定義 |
| ISO 27001 | A.5.24A.5.25A.5.26 | 対応表 |
| CIS v8.1 | CIS 17.1CIS 17.4CIS 17.5CIS 17.7CIS 17.9 | 対応表 |
| SOC 2 | CC7.4CC7.3 | 編集 |
| PCI DSS | 12.10.112.10.312.10.212.10.4 | 対応表 |
| CMMC | IR.L2-3.6.1IR.L2-3.6.3 | 対応表 |
| 800-53 | IR-4IR-8IR-2IR-3 | 対応表 |
| HIPAA | §164.308(a)(6)§164.308(a)(6)(ii) | 対応表 |
| GDPR | Art.33(1)Art.33(5) | 編集 |
| NIS2 | 3.13.5 | 対応表 |
| Essential Eight | ISM-1819 | 編集 |
各リンクの詳細と根拠： インシデント対応 のフレームワーク横断 →
計画
すべてのフレームワークが、文書化されたインシデント対応の体制を求めています。ISO 27001はインシデント管理の計画、評価、対応の管理策（A.5.24～A.5.26）、SOC 2はインシデントの評価と対応（CC7.3、CC7.4）、PCI DSSはインシデント対応計画（12.10.1）、CMMCはインシデントハンドリング（IR.L2-3.6.1）、HIPAAはセキュリティインシデント手順（§164.308(a)(6)）、NIS2はインシデント対応ポリシーと対応（3.1項および3.5項）を定めています。内容は一貫しており、役割、重大度レベル、エスカレーション、封じ込め、根絶、復旧、教訓の反映を含みます。
テスト
PCI DSSだけが頻度を固定しています。計画を少なくとも年1回レビューしてテストし（12.10.2）、運用担当者の研修を行うことを求めています（12.10.4）。CMMCとSP 800-53は、定義した頻度で対応体制のテストを求めています（IR.L2-3.6.3、IR-3）。CISは定期的な訓練を求めています（17.7）。ISO 27001とSOC 2は、計画が機能することの証跡を求めていますが、スケジュールは定めていません。通常の対応策は年1回の机上訓練です。
報告期限
ここがフレームワーク間で大きく異なる点です。
| フレームワーク | 通知先 | 期限 |
|---|---|---|
| NIS2 | CSIRTまたは所管当局 | 24時間以内に早期警戒、72時間以内に通知、1か月以内に最終報告 |
| GDPR | 監督機関（個人データ侵害） | 侵害を認識してから72時間以内（Article 33） |
| GDPR | 影響を受ける個人（リスクが高い場合） | 不当な遅滞なく（Article 34） |
| CMMC / DFARS | 米国国防総省 | DFARS条項252.204-7012に基づき72時間以内 |
| HIPAA | 影響を受ける個人（違反通知規則） | 不当な遅延なく、かつ60日を超えない期限 |
| PCI DSS | ペイメントブランドおよびアクワイアラー | 各ブランドの手順に従う（12.10.1） |
| ISO 27001、SOC 2 | 法令上の期限なし | 自社の計画と契約により決定 |
1件のインシデントが、同時に複数の期限を発生させることがあります。個人データを保管しカード決済を扱うEUのクラウドプロバイダーがランサムウェア攻撃を受けた場合、同じ1時間のうちにNIS2、GDPR、ペイメントブランドの各手続きが始まる可能性があります。
要点
- すべてのフレームワークがインシデント対応計画を求めており、内容は一貫しています。
- 報告期限はNIS2の24時間からHIPAAの60日まで大きく異なります。
- 1件のインシデントが複数の期限を開始させるため、調整役を1人置いてすべてを管理すべきです。
取るべき行動
- 1つの計画を作成し、最も厳しい内容要件を満たすようにしたうえで、適用されるすべての通知義務を、期限、通知先、担当者とともに一覧にしてください。
- 重大性を判断する人を決めてください。 NIS2の24時間の期限は、重大インシデントを認識した時点から始まります。その判断を月曜日まで待つことはできません。
- 少なくとも年1回テストしてください（PCIの基準が適切な初期値です）。業務時間外のシナリオも含めてください。
- 通知したかどうかにかかわらず、すべてのインシデントと侵害の記録を保管してください。 GDPRがこれを求めており（Article 33(5)）、どの監査人も必ず確認します。
インシデント対応トピックページでは、各要件とその出典をすべて確認できます。報告トピックでは通知について扱っています。NIS2ガイドでは、報告手順をより詳しく説明しています。
よくある質問
NIS2に基づくインシデント報告の期限はいつですか？
重大インシデントを認識してから24時間以内の早期警戒、72時間以内のインシデント通知、1か月以内の最終報告です。
インシデント対応計画はどの程度の頻度でテストする必要がありますか？
PCI DSSは、少なくとも年1回のレビューとテストを求めています（12.10.2）。CMMCとSP 800-53は、インシデント対応体制のテストを求めています（IR.L2-3.6.3、IR-3）。ISO 27001とSOC 2はテストを求めていますが、頻度は組織が決定します。
ISO 27001には、インシデント報告の期限が定められていますか？
いいえ。ISO 27001はインシデント管理を求めており、事象の社内報告と対応を含みますが、法令に基づく通知期限はありません。期限は法律（NIS2、GDPR）、契約、業界ごとの規則から生じます。
データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。
関連記事
分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。
分析 · 2026-10-27Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比英国の Cyber Essentials とオーストラリアの Essential Eight はどちらも一般的な攻撃を対象としていますが、カバーする領域は異なります。何が重なり、何が重ならないのか、そしてその理由を解説します。
分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。