NIS2とISO 27001の比較：ISMSで十分でしょうか？

Paul Gillet 別 · 更新日 2026-10-17

NIS2（指令（EU）2022/2555）は、EU全域の基幹（essential）事業体および重要（important）事業体に対し、サイバーセキュリティのリスクマネジメント措置の実施と重大インシデントの報告を求めています。欧州委員会実施規則（EU）2024/2690は、デジタルインフラおよびICTサービスプロバイダー（DNS、クラウド、データセンター、マネージドサービスプロバイダーおよびマネージドセキュリティサービスプロバイダー、オンラインプラットフォームなど）向けに、これらの措置を詳細に定めています。ENISAの技術的な実装ガイダンスでは、その各要件をISO/IEC 27001:2022にマッピングしています。

そのマッピングがあるため、ISO 27001をすでに保有している場合、以下のNIS2の各項目はすべて対応済みと表示されます。ENISAは各項目を特定のISO条項または附属書A管理策に紐付けています。ISO 27001のISMSは、NIS2の技術的な準備に至る最も直接的な経路であり、多くの加盟国はこれを有力な証拠として扱っています。

ただしENISAは、マッピングされた規格を実装しても「コンプライアンスを前提とするものではない」と明言しています。NIS2にはISOにはない義務もあります。経営機関の説明責任と研修（Article 20）、CSIRTまたは当局への期限付きインシデント報告（Article 23：24時間以内の早期警告、72時間以内の通知、1か月以内の最終報告）、各国当局への登録、そして国ごとに異なる国内法化の詳細です。

NIS2からISOへ移行する場合、残る作業は認証可能なマネジメントシステムの整備です。具体的には、適用範囲、リーダーシップ、文書化した情報、内部監査、マネジメントレビューです。

概要一覧

ISO 27001では得られないもの

• 報告期限: インシデントが重大かどうかを判断し、24時間および72時間以内に通知するための、テスト済みの手順。時間外も含む。
• 経営層の研修と責任: Article 20では、経営機関が研修を受け、措置を承認することが求められています。
• 登録: 国の当局への登録。
• 個別の技術要件: 実施規則の一部の項目（例：暗号化、脆弱性対応、サプライチェーンセキュリティ）は、対応する附属書A管理策よりも規定的です。
• 適用範囲: ISO認証は組織の一部のみを対象とする場合がありますが、NIS2は事業体全体に適用されます。

ISO 27001を基盤として活用する

認証を取得している場合は、適用宣言書（SoA）をもとに、実施規則の附属書（または国内法に基づくArticle 21）に対するギャップ評価を実施し、必要に応じてISMSの適用範囲を事業体全体に拡大し、報告手順と経営層の研修をISMSに追加して、他の要素と一緒に監査対象とします。コンプライアンスを判断するのは認証機関ではなく当局ですが、有効に機能するISMSは、措置の有効性を示す有力な証拠となります。

必要な対象

NIS2は、列挙された分野で活動する基幹事業体および重要事業体に義務付けられており、一般的にはEU域内で事業を行う中規模以上の組織、およびDNSや信頼サービスプロバイダーなど一部の小規模プロバイダーが対象です。ISO 27001は任意ですが、顧客から求められることが多いものです。NIS2の対象であり、同時に企業向けに販売している、または公共調達に入札している組織は、通常両方を持つことになります。NIS2は法律で要求されるため、ISO 27001は顧客が認証を求めるためです。

コストと労力

すでにISO 27001を保有している組織にとって、NIS2のコストの大半はテクノロジーよりもガバナンスとプロセスにあります。具体的には、経営層の研修と承認、テスト済みの重大インシデント報告手順、契約に盛り込む供給者へのセキュリティ要件、登録、そして措置が機能していることの証跡です。技術面のギャップは存在するものの、通常はより限定的です。脆弱性開示、暗号ルール、特定のサプライチェーン措置などです。ゼロから始める組織にとっては、認証を取得するかどうかにかかわらず、ISO型のISMSを構築することが、NIS2のArticle 21の措置を満たす最も効率的な方法であることが多いです。

期間

ISO認証を取得している組織は、通常3か月から6か月でNIS2固有のギャップを解消できます。具体的には、まず登録と経営層の研修、次に第1四半期中の報告手順、そして供給者のセキュリティとより個別の技術措置です。ISO 27001からNIS2への計画では、その順序を詳しく説明しています。ISOを取得していない場合は、初回のISMS構築に通常かかる6か月から12か月を見込んでください。監督当局が最初に確認するため、報告とガバナンスを優先してください。

事例：マネージドサービスプロバイダーの場合

EU域内の従業員200名のマネージドサービスプロバイダーは、ホスティングとサポートサービスについてISO 27001を取得しています。マネージドサービスプロバイダーとしてNIS2の対象となり、実施規則の詳細な措置が直接適用されます。

ENISAのマッピングでは、実施規則の各項目が、すでに運用しているISO管理策に紐付けられていることが示されます。そのため、同社のギャップ対応は次の点に重点を置きます。ISMSの適用範囲を2つのサービスラインから事業体全体に拡大すること。経営委員会を研修し、措置の承認を記録すること。時間外対応を含む24時間以内の重大インシデント報告手順を構築すること。自社の供給者契約にセキュリティ要件とインシデント通知条項を追加すること。そして、調整された脆弱性開示ポリシーを公表すること。6か月以内に、同社は国の当局に対して、監査済みで機能している措置一式を示すことができ、ISMSがArticle 21(2)(f)で求められる有効性の証拠を提供します。

よくある誤り

• 認証があれば解決すると考えること。 監督当局はNIS2への準拠を評価しますが、認証機関は評価しません。
• 適用範囲を狭いままにすること。 1つのサービスラインのみを対象とするISO適用範囲では、事業体全体に課される法的義務はカバーされません。
• テストされていない報告手順を作成すること。 特に時間外は、24時間のクロックを満たすことが最も困難なため重要です。
• 国内法を無視すること。 登録、監督、および一部の詳細は加盟国ごとに異なります。
• 経営層の研修を一度行って放置すること。 Article 20では、研修は1回限りではなく継続的に維持されることが求められています。

要点

• ISO 27001 → NIS2：技術的措置の大部分はカバー済み。Article 23の報告手順、経営層の研修、および国内登録を追加してください。
• 各国の国内法化を確認してください。要件と監督の実務は加盟国ごとに異なります。
• サプライチェーンセキュリティ（CIR第5節）は、方針だけでなく証跡によって裏付けられていることを確認してください。

この比較をダウンロード（CSV） ギャップ分析で開く →