比較

NIS2とNIST CSF 2.0の比較：NIST の視点で見たEUの法的要件

NIST Cybersecurity Framework 2.0 · NIS2 Implementing Regulation (EU) 2024/2690 · データ 2026-10-27

NIST CSF 2.0 をセキュリティプログラムの基盤としている組織、特に本社が米国にありEU拠点を持つ企業にとって、問題はCSFがNIS2への対応にどの程度役立つかです。ENISAの技術的な実装ガイダンスは、実施規則（EU）2024/2690の各要件を、ISO/IEC 27001と並べてCSF 2.0のサブカテゴリにもマッピングしています。

結論として、技術的対策についてはおおむね対応可能です。NIS2の要件のほぼすべてはCSFの成果で網羅されており、緩やかに関連するにとどまるものが少数あります。CSFに対応づけられていないのは、雇用終了時の資産の返却または削除に関する1項目のみで、ENISAはこれをISOにはマッピングしていますがCSFにはマッピングしていません。

NIS2からCSFの方向で見ると、対応づけられないCSFの成果は、主にNIS2が明文化していない戦略的なガバナンス項目です。具体的には、組織のミッションと戦略の見直し、リスク選好の方向性、リスクに関するコミュニケーション経路、本人確認（アイデンティティ・プルーフィング）などが該当します。

ISOの場合と同様に、マッピングは適合（コンプライアンス）そのものではありません。NIS2の法的義務（経営陣の責任と研修、第23条に基づくインシデント報告期限、登録、各国法への移管）は、いずれの管理策フレームワークの範囲外にあります。

要点

NIS2にマッピングされたサブカテゴリを含むCSFのターゲットプロファイルは、NIS2の実装計画として有効です。
EU固有の義務は明示的に追加してください。CSIRTへの報告期限、経営陣の研修、各国での登録がこれに当たります。
認証も必要な場合はISO/IEC 27001が適切な経路です。CSFは認証の対象になりません。

この比較をダウンロード（CSV）ギャップ分析で開く →

NIST CSF 2.0 を保有、NIS2 が必要

49 要件

45 件対応付け済み · · 1 件は対応なしギャップビューで開く →

NIS2 Implementing Regulation (EU) 2024/2690 の要件 49 件のうち、45 件は NIST CSF 2.0 の何らかの項目にマッピングされ、3 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。

ここでの NIS2 とは、実施規則（EU）2024/2690 の技術的対策を指し、デジタルインフラおよび ICT サービス提供者に直接適用されます。その他の NIS2 対象事業者は、第21条の各国国内法制化に従います。インシデント報告の期限（第23条）は対象外です。ENISA のマッピングは拘束力を持ちません。

新規対応が必要と見込まれる項目: NIST CSF 2.0 へのマッピングがない NIS2 の要件 (1)

NIS2	要件	一致	NIST CSF 2.0	証跡
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIST CSF 2.0 へのマッピングがありません。

要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (3)

NIS2	要件	一致	NIST CSF 2.0	証跡
6. Security in acquisition, development and maintenance · 1
6.4	Change management, repairs and maintenance	緩やかに関連	ID.RA-07	CSF ID.RA-07 のみを共有: 関連はあるがマッピングではありません
10. Human resources security · 2
10.1	Human resources security	緩やかに関連	GV.RR-04 PR.AT-02	CSF GV.RR-04, PR.AT-02 のみを共有: 関連はあるがマッピングではありません
10.3	Termination or change of employment procedures	緩やかに関連	GV.RR-04	CSF GV.RR-04 のみを共有: 関連はあるがマッピングではありません

マッピング済み (45)

NIS2	要件	一致	NIST CSF 2.0	証跡
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	対応表	GV.PO-01 GV.PO-02	同じトピック：ガバナンスポリシー
1.2	Roles, responsibilities and authorities	対応表	GV.RR-01 GV.RR-02 GV.RR-03	同じトピック：役割と責任
2. Risk management policy · 3
2.1	Risk management framework	対応表	GV.RM-01 GV.RM-02 GV.RM-03+5	同じトピック：リスクマネジメント
2.2	Compliance monitoring	対応表	GV.OC-03 GV.OV-03	同じトピック：コンプライアンス
2.3	Independent review of information and network security	編集	GV.OC-03 GV.OV-03	同じトピック：コンプライアンス (編集部のおすすめ)
3. Incident handling · 6
3.1	Incident handling policy	対応表	ID.IM-04 RS.MA-01 RS.MA-02+2	同じトピック：インシデント対応
3.2	Monitoring and logging	対応表	DE.AE-02 DE.AE-03 DE.AE-06+5	同じトピック：侵入検知, ログ記録と監査, SIEM / SOC
3.3	Event reporting	対応表	RS.CO-02	同じトピック：報告
3.4	Event assessment and classification	対応表	DE.AE-02 DE.AE-03 DE.AE-04+3	同じトピック：異常検知, SIEM / SOC
3.5	Incident response	対応表	ID.IM-04 RS.AN-03 RS.AN-06+7	同じトピック：インシデント対応, フォレンジック
3.6	Post-incident reviews	対応表	ID.IM-03 RC.RP-06	同じトピック：教訓の反映
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	対応表	GV.OC-04 ID.IM-04 PR.IR-03+4	同じトピック：事業継続, 復旧計画, ディザスタリカバリ
4.2	Backup management	対応表	PR.DS-11 PR.IR-03 RC.RP-02+2	同じトピック：バックアップと復旧, ディザスタリカバリ
4.3	Crisis management	対応表	GV.OC-04 PR.IR-03 RC.CO-03+4	同じトピック：事業継続, 連絡と復旧
5. Supply chain security · 2
5.1	Supply chain security policy	対応表	DE.CM-06 GV.SC-01 GV.SC-03+7	同じトピック：ベンダーリスク管理, サプライチェーンリスク
5.2	Directory of suppliers and service providers	対応表	DE.CM-06 GV.SC-04 GV.SC-06+2	同じトピック：ベンダーリスク管理
6. Security in acquisition, development and maintenance · 9
6.1	Security in acquisition of ICT services, ICT systems or ICT products	対応表	DE.CM-06 GV.SC-01 GV.SC-03+10	同じトピック：ベンダーリスク管理, サプライチェーンリスク
6.2	Secure development life cycle	対応表	PR.PS-06	同じトピック：セキュア開発
6.3	Configuration management	対応表	PR.PS-01	同じトピック：安全な構成
6.5	Security testing	対応表	ID.RA-01 ID.RA-08	同じトピック：脆弱性管理
6.6	Security patch management	対応表	PR.PS-02	同じトピック：パッチ管理
6.7	Network security	対応表	ID.AM-03 PR.IR-01	同じトピック：ファイアウォール / ネットワークセグメンテーション
6.8	Network segmentation	対応表	ID.AM-03 PR.AA-03 PR.AA-04+2	同じトピック：ファイアウォール / ネットワークセグメンテーション, ゼロトラスト
6.9	Protection against malicious and unauthorised software	対応表	DE.CM-09 PR.DS-02 PR.PS-05	同じトピック：エンドポイント保護, メールセキュリティ
6.10	Vulnerability handling and disclosure	対応表	ID.RA-01 ID.RA-08	同じトピック：脆弱性管理
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	対応表	GV.RM-01 GV.RM-02 GV.RM-03+1	同じトピック：リスクマネジメント
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	対応表	PR.AT-01 PR.AT-02	同じトピック：意識向上とトレーニング
8.2	Security training	対応表	PR.AT-01 PR.AT-02	同じトピック：意識向上とトレーニング
9. Cryptography · 1
9.1	Cryptography	対応表	PR.DS-01 PR.DS-02	同じトピック：暗号化
10. Human resources security · 2
10.2	Verification of Background	対応表	DE.CM-03 GV.RR-04	同じトピック：内部脅威
10.4	Disciplinary process	対応表	DE.CM-03 GV.RR-04	同じトピック：内部脅威
11. Access control · 7
11.1	Access control policy	対応表	PR.AA-01 PR.AA-03 PR.AA-04+2	同じトピック：アクセス制御, ゼロトラスト
11.2	Management of access rights	対応表	PR.AA-01 PR.AA-05	同じトピック：アクセス制御
11.3	Privileged accounts and system administration accounts	対応表	PR.AA-05	同じトピック：特権アクセス
11.4	Administration systems	対応表	PR.AA-05	同じトピック：特権アクセス
11.5	Identification	対応表	PR.AA-01 PR.AA-05	同じトピック：アクセス制御
11.6	Authentication	対応表	PR.AA-03 PR.AA-04 PR.AA-05+1	同じトピック：多要素認証, ゼロトラスト
11.7	Multi-factor authentication	対応表	PR.AA-03	同じトピック：多要素認証
12. Asset management · 4
12.1	Asset classification	対応表	ID.AM-05 ID.AM-07	同じトピック：データ分類
12.2	Handling of assets	対応表	PR.DS-01 PR.DS-02 PR.DS-10	同じトピック：データ保護
12.3	Removable media policy	対応表	PR.DS-01 PR.DS-02 PR.DS-10	同じトピック：データ保護, DLP
12.4	Asset inventory	対応表	ID.AM-01 ID.AM-02 ID.AM-04+1	同じトピック：資産管理
13. Environmental and physical security · 3
13.1	Supporting utilities	対応表	DE.CM-02 PR.AA-06 PR.IR-02	同じトピック：物理的セキュリティ
13.2	Protection against physical and environmental threats	対応表	DE.CM-02 PR.AA-06 PR.IR-02	同じトピック：物理的セキュリティ
13.3	Perimeter and physical access control	対応表	DE.CM-02 PR.AA-06 PR.IR-02	同じトピック：物理的セキュリティ

NIS2 を保有、NIST CSF 2.0 が必要

106 要件

85 件対応付け済み · · 9 件は対応なしギャップビューで開く →

NIST Cybersecurity Framework 2.0 の要件 106 件のうち、85 件は NIS2 の何らかの項目にマッピングされ、12 件は緩やかに関連するのみで、9 件は当サイトのデータにマッピングがありません。

新規対応が必要と見込まれる項目: NIS2 へのマッピングがない NIST CSF 2.0 の要件 (9)

NIST CSF 2.0	要件	一致	NIS2	証跡
Govern (GV) · 5
GV.OC-01	The organizational mission is understood and informs cybersecurity risk management	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
GV.OV-01	Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
GV.RM-04	Strategic direction that describes appropriate risk response options is established and communicated	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
GV.RM-05	Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
GV.RM-07	Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
Identify (ID) · 2
ID.IM-01	Improvements are identified from evaluations	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
ID.IM-02	Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
Protect (PR) · 2
PR.AA-02	Identities are proofed and bound to credentials based on the context of interactions	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。
PR.IR-04	Adequate resource capacity to ensure availability is maintained	当サイトのデータにはマッピングがありません	—	当サイトのデータには NIS2 へのマッピングがありません。

要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (12)

NIST CSF 2.0	要件	一致	NIS2	証跡
Detect (DE) · 1
DE.AE-07	Cyber threat intelligence and other contextual information are integrated into the analysis	緩やかに関連	4.3	CSF DE.AE-07 のみを共有: 関連はあるがマッピングではありません
Govern (GV) · 6
GV.OC-02	Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered	緩やかに関連	1.1	CSF GV.OC-02 のみを共有: 関連はあるがマッピングではありません
GV.OC-05	Outcomes, capabilities, and services that the organization depends on are understood and communicated	緩やかに関連	5.1 5.2 13.1	CSF GV.OC-05 のみを共有: 関連はあるがマッピングではありません
GV.OV-02	The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks	緩やかに関連	2.2 2.3	CSF GV.OV-02 のみを共有: 関連はあるがマッピングではありません
GV.SC-02	Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally	緩やかに関連	1.2	CSF GV.SC-02 のみを共有: 関連はあるがマッピングではありません
GV.SC-08	Relevant suppliers and other third parties are included in incident planning, response, and recovery activities	緩やかに関連	3.1 4.1	CSF GV.SC-08 のみを共有: 関連はあるがマッピングではありません
GV.SC-10	Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement	緩やかに関連	5.1	CSF GV.SC-10 のみを共有: 関連はあるがマッピングではありません
Identify (ID) · 2
ID.RA-02	Cyber threat intelligence is received from information sharing forums and sources	緩やかに関連	2.1 6.10	CSF ID.RA-02 のみを共有: 関連はあるがマッピングではありません
ID.RA-07	Changes and exceptions are managed, assessed for risk impact, recorded, and tracked	緩やかに関連	6.4	CSF ID.RA-07 のみを共有: 関連はあるがマッピングではありません
Protect (PR) · 1
PR.PS-03	Hardware is maintained, replaced, and removed commensurate with risk	緩やかに関連	6.10	CSF PR.PS-03 のみを共有: 関連はあるがマッピングではありません
Respond (RS) · 2
RS.AN-08	An incident's magnitude is estimated and validated	緩やかに関連	3.6	CSF RS.AN-08 のみを共有: 関連はあるがマッピングではありません
RS.MA-05	The criteria for initiating incident recovery are applied	緩やかに関連	3.1	CSF RS.MA-05 のみを共有: 関連はあるがマッピングではありません

マッピング済み (85)

NIST CSF 2.0	要件	一致	NIS2	証跡
Detect (DE) · 10
DE.AE-02	Potentially adverse events are analyzed to better understand associated activities	対応表	3.2 3.4	同じトピック：侵入検知, 異常検知
DE.AE-03	Information is correlated from multiple sources	対応表	3.2 3.4	同じトピック：ログ記録と監査, SIEM / SOC
DE.AE-04	The estimated impact and scope of adverse events are understood	対応表	3.4	同じトピック：異常検知
DE.AE-06	Information on adverse events is provided to authorized staff and tools	対応表	3.2 3.4	同じトピック： SIEM / SOC
DE.AE-08	Incidents are declared when adverse events meet the defined incident criteria	対応表	3.2 3.4	同じトピック： SIEM / SOC
DE.CM-01	Networks and network services are monitored to find potentially adverse events	対応表	3.2	同じトピック：継続的モニタリング, 侵入検知
DE.CM-02	The physical environment is monitored to find potentially adverse events	対応表	13.1 13.2 13.3	同じトピック：物理的セキュリティ
DE.CM-03	Personnel activity and technology usage are monitored to find potentially adverse events	対応表	3.2 10.2 10.4	同じトピック：継続的モニタリング, 内部脅威
DE.CM-06	External service provider activities and services are monitored to find potentially adverse events	対応表	5.1 5.2 6.1	同じトピック：ベンダーリスク管理
DE.CM-09	Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events	対応表	3.2 3.4 6.9	同じトピック：継続的モニタリング, 異常検知, エンドポイント保護, メールセキュリティ
Govern (GV) · 20
GV.OC-03	Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed	対応表	2.2 2.3	同じトピック：コンプライアンス
GV.OC-04	Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated	対応表	4.1 4.3	同じトピック：事業継続
GV.OV-03	Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed	対応表	2.2 2.3	同じトピック：コンプライアンス
GV.PO-01	Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced	対応表	1.1	同じトピック：ガバナンスポリシー
GV.PO-02	Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission	対応表	1.1	同じトピック：ガバナンスポリシー
GV.RM-01	Risk management objectives are established and agreed to by organizational stakeholders	対応表	2.1 7.1	同じトピック：リスクマネジメント
GV.RM-02	Risk appetite and risk tolerance statements are established, communicated, and maintained	対応表	2.1 7.1	同じトピック：リスクマネジメント
GV.RM-03	Cybersecurity risk management activities and outcomes are included in enterprise risk management processes	対応表	2.1 7.1	同じトピック：リスクマネジメント
GV.RM-06	A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated	対応表	2.1 7.1	同じトピック：リスクマネジメント
GV.RR-01	Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving	対応表	1.2	同じトピック：役割と責任
GV.RR-02	Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced	対応表	1.2	同じトピック：役割と責任
GV.RR-03	Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies	対応表	1.2	同じトピック：役割と責任
GV.RR-04	Cybersecurity is included in human resources practices	対応表	10.2 10.4	同じトピック：内部脅威
GV.SC-01	A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders	対応表	5.1 6.1	同じトピック：サプライチェーンリスク
GV.SC-03	Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes	対応表	5.1 6.1	同じトピック：サプライチェーンリスク
GV.SC-04	Suppliers are known and prioritized by criticality	対応表	5.1 5.2 6.1	同じトピック：ベンダーリスク管理
GV.SC-05	Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties	対応表	5.1 6.1	同じトピック：サプライチェーンリスク
GV.SC-06	Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships	対応表	5.1 5.2 6.1	同じトピック：ベンダーリスク管理
GV.SC-07	The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship	対応表	5.1 5.2 6.1	同じトピック：ベンダーリスク管理
GV.SC-09	Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle	対応表	5.1 6.1	同じトピック：サプライチェーンリスク
Identify (ID) · 17
ID.AM-01	Inventories of hardware managed by the organization are maintained	対応表	12.4	同じトピック：資産管理
ID.AM-02	Inventories of software, services, and systems managed by the organization are maintained	対応表	12.4	同じトピック：資産管理
ID.AM-03	Representations of the organization's authorized network communication and internal and external network data flows are maintained	対応表	6.7 6.8	同じトピック：ファイアウォール / ネットワークセグメンテーション
ID.AM-04	Inventories of services provided by suppliers are maintained	対応表	6.1 12.4	同じトピック：クラウドセキュリティ, 資産管理
ID.AM-05	Assets are prioritized based on classification, criticality, resources, and impact on the mission	対応表	12.1	同じトピック：データ分類
ID.AM-07	Inventories of data and corresponding metadata for designated data types are maintained	対応表	12.1	同じトピック：データ分類
ID.AM-08	Systems, hardware, software, services, and data are managed throughout their life cycles	対応表	12.4	同じトピック：資産管理
ID.IM-03	Improvements are identified from execution of operational processes, procedures, and activities	対応表	3.6	同じトピック：教訓の反映
ID.IM-04	Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved	対応表	3.1 3.5 4.1	同じトピック：インシデント対応, 復旧計画
ID.RA-01	Vulnerabilities in assets are identified, validated, and recorded	対応表	6.5 6.10	同じトピック：脆弱性管理
ID.RA-03	Internal and external threats to the organization are identified and recorded	対応表	2.1	同じトピック：リスクアセスメント
ID.RA-04	Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded	対応表	2.1	同じトピック：リスクアセスメント
ID.RA-05	Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization	対応表	2.1	同じトピック：リスクアセスメント
ID.RA-06	Risk responses are chosen, prioritized, planned, tracked, and communicated	対応表	2.1	同じトピック：リスクアセスメント
ID.RA-08	Processes for receiving, analyzing, and responding to vulnerability disclosures are established	対応表	6.5 6.10	同じトピック：脆弱性管理
ID.RA-09	The authenticity and integrity of hardware and software are assessed prior to acquisition and use	対応表	5.1 6.1	同じトピック：サプライチェーンリスク
ID.RA-10	Critical suppliers are assessed prior to acquisition	対応表	5.1 5.2 6.1	同じトピック：ベンダーリスク管理
Protect (PR) · 19
PR.AA-01	Identities and credentials for authorized users, services, and hardware are managed by the organization	対応表	11.1 11.2 11.5	同じトピック：アクセス制御
PR.AA-03	Users, services, and hardware are authenticated	対応表	6.8 11.1 11.6+1	同じトピック：ゼロトラスト, 多要素認証
PR.AA-04	Identity assertions are protected, conveyed, and verified	対応表	6.8 11.1 11.6	同じトピック：ゼロトラスト
PR.AA-05	Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties	対応表	6.8 11.1 11.2+4	同じトピック：ゼロトラスト, アクセス制御
PR.AA-06	Physical access to assets is managed, monitored, and enforced commensurate with risk	対応表	13.1 13.2 13.3	同じトピック：物理的セキュリティ
PR.AT-01	Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind	対応表	8.1 8.2	同じトピック：意識向上とトレーニング
PR.AT-02	Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind	対応表	8.1 8.2	同じトピック：意識向上とトレーニング
PR.DS-01	The confidentiality, integrity, and availability of data-at-rest are protected	対応表	9.1 12.2 12.3	同じトピック：暗号化, データ保護, DLP
PR.DS-02	The confidentiality, integrity, and availability of data-in-transit are protected	対応表	6.9 9.1 12.2+1	同じトピック：メールセキュリティ, 暗号化, データ保護
PR.DS-10	The confidentiality, integrity, and availability of data-in-use are protected	対応表	12.2 12.3	同じトピック：データ保護, DLP
PR.DS-11	Backups of data are created, protected, maintained, and tested	対応表	4.2	同じトピック：バックアップと復旧
PR.IR-01	Networks and environments are protected from unauthorized logical access and usage	対応表	6.1 6.7 6.8+2	同じトピック：クラウドセキュリティ, ファイアウォール / ネットワークセグメンテーション, ゼロトラスト
PR.IR-02	The organization's technology assets are protected from environmental threats	対応表	13.1 13.2 13.3	同じトピック：物理的セキュリティ
PR.IR-03	Mechanisms are implemented to achieve resilience requirements in normal and adverse situations	対応表	4.1 4.2 4.3	同じトピック：事業継続, ディザスタリカバリ
PR.PS-01	Configuration management practices are established and applied	対応表	6.1 6.3	同じトピック：クラウドセキュリティ, 安全な構成
PR.PS-02	Software is maintained, replaced, and removed commensurate with risk	対応表	6.6	同じトピック：パッチ管理
PR.PS-04	Log records are generated and made available for continuous monitoring	対応表	3.2	同じトピック：ログ記録と監査
PR.PS-05	Installation and execution of unauthorized software are prevented	対応表	6.9	同じトピック：エンドポイント保護
PR.PS-06	Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle	対応表	6.2	同じトピック：セキュア開発
Recover (RC) · 8
RC.CO-03	Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders	対応表	4.3	同じトピック：連絡と復旧
RC.CO-04	Public updates on incident recovery are shared using approved methods and messaging	対応表	4.3	同じトピック：連絡と復旧
RC.RP-01	The recovery portion of the incident response plan is executed once initiated from the incident response process	対応表	4.1	同じトピック：復旧計画
RC.RP-02	Recovery actions are selected, scoped, prioritized, and performed	対応表	4.1 4.2	同じトピック：復旧計画, ディザスタリカバリ
RC.RP-03	The integrity of backups and other restoration assets is verified before using them for restoration	対応表	4.2	同じトピック：バックアップと復旧
RC.RP-04	Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms	対応表	4.1 4.3	同じトピック：事業継続
RC.RP-05	The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed	対応表	4.1 4.2 4.3	同じトピック：ディザスタリカバリ, 連絡と復旧
RC.RP-06	The end of incident recovery is declared based on criteria, and incident-related documentation is completed	対応表	3.6	同じトピック：教訓の反映
Respond (RS) · 11
RS.AN-03	Analysis is performed to establish what has taken place during an incident and the root cause of the incident	対応表	3.5	同じトピック：フォレンジック
RS.AN-06	Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved	対応表	3.5	同じトピック：フォレンジック
RS.AN-07	Incident data and metadata are collected, and their integrity and provenance are preserved	対応表	3.5	同じトピック：フォレンジック
RS.CO-02	Internal and external stakeholders are notified of incidents	対応表	3.3	同じトピック：報告
RS.CO-03	Information is shared with designated internal and external stakeholders	対応表	4.3	同じトピック：コミュニケーション
RS.MA-01	The incident response plan is executed in coordination with relevant third parties once an incident is declared	対応表	3.1 3.5	同じトピック：インシデント対応
RS.MA-02	Incident reports are triaged and validated	対応表	3.1 3.5	同じトピック：インシデント対応
RS.MA-03	Incidents are categorized and prioritized	対応表	3.1 3.5	同じトピック：インシデント対応
RS.MA-04	Incidents are escalated or elevated as needed	対応表	3.1 3.5	同じトピック：インシデント対応
RS.MI-01	Incidents are contained	対応表	3.5	同じトピック：緩和策
RS.MI-02	Incidents are eradicated	対応表	3.5	同じトピック：緩和策

トピック別

両方でカバー（43）：

ガバナンスポリシー意識向上とトレーニングリスクマネジメントサプライチェーンリスク役割と責任コンプライアンス資産管理リスクアセスメントデータ分類脆弱性管理アクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティゼロトラストクラウドセキュリティ DLP 継続的モニタリングログ記録と監査侵入検知異常検知 SIEM / SOC インシデント対応フォレンジックコミュニケーション緩和策報告復旧計画事業継続教訓の反映連絡と復旧ディザスタリカバリ内部脅威ベンダーリスク管理物理的セキュリティ

NIST CSF 2.0 のみ（7）:

事業環境脅威インテリジェンス Web セキュリティモバイルセキュリティ DNSセキュリティ WAF API セキュリティ

要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。

対応表公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · 緩やかに関連 CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。方法論 · データをダウンロード · 誤りを報告.