ISO 27001からNIS2へ：実践的なギャップ解消計画

ISO 27001をすでに取得している組織にとって、NIS2は主に拡張作業です。ENISAのマッピングでは、NIS2実施規則のすべての技術的対策とISO 27001との対応関係が示されており、項目ごとの分析でその詳細を説明しています。しかし「対応付けられる」ことは「対応完了」ではありません。ISOがカバーしていない部分こそ、規制当局が最初に確認するポイントです。以下は、私たちが推奨する作業の順序です。

NIS2 の 49 件の要件ポイントのうち、49 件（100%）は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

フェーズ1：確認と登録（1〜4週目）

1. 適用範囲と分類の確認：サービスを提供する各EU加盟国の国内法に基づき、セクター、規模、基幹的事業者か重要事業者かを確認します。
2. 登録：必要な場合は所管当局に登録します。期限や様式は国によって異なります。
3. 適用範囲の比較：ISO認証の範囲が組織の一部のみを対象としている場合があります。NIS2は事業体全体が対象です。ISMSの適用範囲の拡張を計画してください。

フェーズ2：ガバナンス（1〜2か月目）

1. 経営層への説明：第20条に基づく経営機関の義務（対策の承認、監督、研修の受講）について説明します。承認と研修の記録を残してください。
2. ISMSへのNIS2の追加：法的要求事項の一覧に含め（A.5.31）、リスクアセスメントに組み込み、適用宣言書にNIS2の参照を追加します。

フェーズ3：報告（1〜3か月目）

1. 重大インシデント報告手順の構築：重大性を判断する者、CSIRTまたは当局へ通知する者、24時間以内の早期警告、72時間以内の通知、1か月以内の最終報告をどう満たすかを定めます。手順の構築については、当サイトの記事で段階的に解説しています。
2. テストの実施：営業時間外を含めて検証します。

フェーズ4：技術的対策の深化（2〜6か月目）

1. 要件ごとの比較の実施：ISO 27001 → NIS2 ギャップレポートを用いて要件ごとに比較し、各項目を充足、一部充足、未充足のいずれかに分類します。
2. よくあるギャップの優先対応：サプライチェーンのセキュリティ（サプライヤー基準と契約条件）、脆弱性への対応と調整された開示、暗号化ポリシー、有効性の評価（第21条(2)(f)）。
3. 既存のISO管理策にNIS2の詳細を組み込む：並行して別の管理策を作るのではなく、既存の管理策に反映させます。

フェーズ5：有効性の実証（継続的）

1. 内部監査と経営層によるレビューにNIS2を含める。
2. 有効性の証跡を保管する：指標、テスト結果、監査指摘事項などです。監督当局は対策が存在することだけでなく、機能していることの証明を求めるためです。
3. 国内ガイダンスの監視：当局は現在も期待事項やテンプレートを公表し続けています。

担当者の役割

このような計画には、ISMSマネージャーだけでなく多くの関係者が必要です：

• 経営機関：対策を承認し、研修を受講し、定期報告を受け取ります。
• 法務・コンプライアンス：国内法に基づく適用範囲を確認し、登録を担当し、国内ガイダンスを追跡します。
• セキュリティオペレーション：報告手順、重大性の判断、訓練を担当します。
• 調達：サプライヤー選定基準とセキュリティ条項を契約に組み込みます。
• エンジニアリング・IT：脆弱性開示、暗号化、有効性指標などの技術的ギャップを解消します。
• ISMSマネージャー：全体を調整し、マッピングと証跡を最新の状態に保ち、内部監査を実施します。

最初にこれらの役割を明確にしておくことで、最も多い失敗を防げます。それは、NIS2プログラムをセキュリティチームだけで運営し、自ら対策を承認したり調達契約を改定したりできない状態です。

重要なポイント

• ISO認証取得組織にとって、NIS2は新たなプログラムではなく拡張です。
• 適用範囲、登録、経営層の義務、報告から着手します。
• その後、サプライチェーン、脆弱性への対応、暗号化を深めます。

避けるべき落とし穴

NIS2を文書化の作業として扱うことです。ISO認証取得組織は多くの場合、すでにポリシーを持っています。監督当局が問うのは、報告手順が午前2時にも機能するか、経営層が実際に研修を受けたか、サプライヤー要件が実際の契約に含まれているかです。まずそこに力を注いでください。

詳細はNIS2ガイドとISO 27001とNIS2の比較をご覧ください。

よくある質問

ISO 27001からNIS2への移行にはどのくらいかかりますか？

適用範囲と検出されたギャップによって異なりますが、ほとんどの技術的対策は対応付けられるため、作業は主にガバナンス、報告、サプライヤーのセキュリティ、特定の管理策の深化となり、多くの場合、新たな複数年プログラムではなく数か月の作業になります。

NIS2のためにISO 27001を再認証する必要がありますか？

いいえ。NIS2への適合は認証機関ではなく、国内の所管当局が判断します。NIS2の要求事項をISMSに取り込めば、既存の監査でそれらも確認されます。

ENISAのマッピングには拘束力がありますか？

いいえ。ENISAによる実施規則のISO 27001およびNIST CSF 2.0へのマッピングはガイダンスです。適合の判断は国内法に基づき各国の所管当局が行います。