NIS2の24時間・72時間の期限に対応する、インシデント報告手順の構築

NIS2のArticle 23は、重大インシデントに関する3つの報告期限を定めています。認識から24時間以内の早期警告、72時間以内のインシデント通知、そして1か月以内の最終報告です。ISO 27001やほとんどのフレームワークはインシデント管理を求めていますが、この期限に沿って規制当局へ通知することを求めるものはありません。これに対応する手順の構築方法を以下に示します。

3つの報告

報告	期限	内容
早期警告	認識から24時間	インシデントが悪意あるものと疑われるかどうか、また越境影響の可能性があるかどうか
インシデント通知	認識から72時間	最新情報、重大性と影響に関する初期評価、入手可能な場合は侵害の痕跡（IOC）
最終報告	通知から1か月後	詳細な説明、推定される根本原因、適用済みおよび進行中の緩和策、越境影響

当局は中間報告の更新を求めることもあります。また、1か月時点でインシデントが依然として継続している場合は、進捗報告を行い、対応完了から1か月以内に最終報告を提出する必要があります。

ステップ1：自組織にとっての「重大」を定義する

Article 23(3)の基準は広範です。深刻な業務中断や財務損失、または他者への重大な損害が対象となります。特定のデジタルプロバイダーについては、実施規則がより具体的な基準を定めています。これらを簡潔な判断チェックリストにまとめ、当直責任者が数分で適用できるよう具体例を添えてください。また、判断に迷う場合は早期警告を提出することを明記してください。

ステップ2：担当者を明確にする

• 重大性を判断する担当者（時間帯を問わず代理者も含む）。
• CSIRTや当局へ提出する担当者。報告ポータルへのアクセスは事前にテストしておく。
• 内容を承認する担当者。ただし承認がボトルネックにならないようにする。早期警告に必要な詳細はわずかです。
• 経営層に報告する担当者。Article 20のもと、経営層は説明責任を負います。

ステップ3：インシデント対応プロセスと連携させる

既存のインシデント対応計画に、報告の判断ポイントを追加してください。トリアージの段階で「これは重大である可能性があるか？」を確認し、その時点で期限の計測を開始して記録します。認識時刻は慎重に記録してください。すべての期限はこの時刻を起点に計算されます。

ステップ4：他の期限との調整

重大インシデントは、複数の義務を同時に発生させることがよくあります。

• GDPR：個人データの侵害がある場合、72時間以内に監督当局へ通知（Article 33）。
• 契約：顧客への通知条項。多くは24〜72時間です。
• その他の規制：カード情報に関するペイメントブランド、業界の規制当局、金融事業者向けのDORAなど。

1人の調整担当者が一覧を管理し、他チームが自分の担当ではないと思い込んだために期限を見落とすことがないようにしてください。

ステップ5：テンプレートと訓練

3つの報告それぞれについて、必要な項目を備えたテンプレートを用意し、会社情報は事前に記入しておきます。そのうえで、少なくとも年に1回は訓練を実施してください。理想的には金曜日の夕方に開始し、所要時間を計測します。

訓練シナリオ

手順を検証するため、次のような短い訓練を実施してください。理想的には金曜日の遅い時間に開始します。

1. 0時間目：監視システムが、顧客向けサービスを支えるファイルサーバーで通常とは異なる暗号化の動きを検知。
2. 2時間目：当直エンジニアが、複数のサーバーでランサムウェアを確認。一部の顧客でサービスが低下。
3. 判断ポイント：これは重大か。チェックリストを適用し、判断内容と時刻を記録する。
4. 24時間以内：テンプレートを使って早期警告を提出。疑われる悪意ある活動と、想定される越境影響を記載する。
5. 72時間以内：初期評価と侵害の痕跡を含む通知を提出。
6. 並行する期限：個人データが関わるためGDPR通知が必要か。契約上、顧客への通知が必要か。

各ステップの所要時間を計測してください。判明したギャップ（誰がポータルへのアクセス権を持つか、誰が承認できるか、テンプレートの保管場所など）こそが、手順の本当の弱点です。

記録を残す

重大性を評価したすべてのインシデントを、報告しないと判断したものも含め、理由とともに記録してください。監督当局が問うのは、何を報告したかだけでなく、どのように判断したかです。

インシデント対応と報告のトピックページでは、フレームワーク間の要件を比較しています。また、NIS2ガイドでは、規制のその他の内容を扱っています。

よくある質問

NIS2における重大インシデントとは何ですか？

Article 23(3)に基づき、事業者に深刻な業務中断や財務損失を引き起こした、または引き起こし得るインシデント、あるいは他者に重大な物的または非物的損害を与えた、または与え得るインシデントです。特定のデジタルプロバイダーについては、実施規則がより具体的な基準値を定めています。

NIS2では、どこに報告すればよいですか？

加盟国のNIS2法に基づき指定された国内のCSIRT、または所管当局です。国によっては、単一の報告窓口を設けています。