NIS2対応：実践ガイド

Paul Gillet 別 · 更新日 2026-10-17

NIS2は、EUの主要なサイバーセキュリティ法であるDirective (EU) 2022/2555です。指令（Directive）であるため、各加盟国の国内法を通じて実施されます。その履行期限は17 October 2024でした。中核となる義務はどの加盟国でも同じですが、登録、監督、罰則、その他の細部は国によって異なります。事業を行う国の国内法を必ず確認してください。

適用対象かどうかの確認

NIS2は18の分野の事業者を対象とします。附属書Iには高い重要性を持つ分野が挙げられており、エネルギー、運輸、銀行、金融市場インフラ、保健、飲料水、排水、デジタルインフラ、企業間ICTサービス管理、公共行政、宇宙が含まれます。附属書IIにはその他の重要分野が挙げられており、郵便・宅配サービス、廃棄物管理、化学、食品、製造（医療機器、電子機器、機械、車両を含む）、デジタルプロバイダー、研究が含まれます。

原則として、EU域内でこれらの分野のいずれかで事業を行い、かつ中規模以上（従業員50人以上、または年間売上高と貸借対照表の合計が1000万ユーロ超）である事業者が対象となります。DNSサービスプロバイダー、トップレベルドメインのレジストリ、信頼サービスプロバイダー、公衆電子通信ネットワークの提供者など、規模にかかわらず対象となる事業者もあります。事業者はessentialまたはimportantに分類されます。両者は同じ対策を満たす必要がありますが、監督の方法と罰金の上限は異なります。

NIS2の要求事項

• ガバナンス（第20条）：経営機関はリスク管理対策を承認し、その実施を監督し、サイバーセキュリティの研修を受けなければなりません。対策の不備について経営層が責任を問われることがあります。
• リスク管理対策（第21条）：あらゆるハザードを対象とする手法で、(a) リスク分析とセキュリティポリシー、(b) インシデント対応、(c) 事業継続、バックアップ、災害復旧、危機管理、(d) サプライチェーンのセキュリティ、(e) 調達、開発、保守におけるセキュリティ（脆弱性の取扱いと開示を含む）、(f) これらの対策の有効性の評価、(g) 基本的なサイバー衛生と研修、(h) 暗号と暗号化、(i) 人的資源のセキュリティ、アクセス制御、資産管理、(j) 多要素認証または継続的認証と保護された通信、を網羅します。
• インシデント報告（第23条）：重大インシデントについては、認識してから24時間以内にCSIRTまたは所管当局へ早期警戒を行い、72時間以内にインシデント通知を行い、1か月以内に最終報告を行う必要があります。
• 登録：ほとんどの事業者は国の当局に登録しなければなりません。

実施規則

一部のデジタルプロバイダーについては、欧州委員会が実施規則（EU）2024/2690において第21条の対策を具体化しています。対象は、DNSサービスプロバイダー、TLDレジストリ、クラウドコンピューティングおよびデータセンターサービス、コンテンツ配信ネットワーク、マネージドサービスおよびマネージドセキュリティサービスプロバイダー、オンラインマーケットプレース、検索エンジン、ソーシャルネットワーキングプラットフォーム、信頼サービスプロバイダーです。その附属書は第21条自体よりもはるかに具体的です。当サイトのNIS2要件は、この附属書の各項目を、ENISAの見出しおよびENISAが公表しているISO 27001・NIST CSF 2.0との公式対応表に基づいて整理したものです。その他の事業者は国内法に従いますが、附属書とENISAの実施ガイダンスは、あらゆる事業者にとって有用な参考資料です。

進め方

1. 事業を行う各国の国内法に基づき、適用範囲と分類を確認し、必要な場合は登録を行います。
2. 経営機関への説明：経営機関は対策を承認し、研修を修了しなければならないため、まずここから始めてください。
3. 第21条、または自社に適用される場合は実施規則の附属書に対してギャップ分析を実施します。ISO 27001を保有している場合は、ISO 27001 → NIS2 比較から始めてください。
4. 不足している対策を実装します。通常、サプライチェーンのセキュリティと脆弱性の取扱いに最も多くの新たな作業が必要です。
5. 報告手順を構築します。インシデントが重大かどうかを判断する担当者を決め、時間外を含め、24時間および72時間の期限を守る訓練を行ってください。
6. 有効性の証跡を保管します（第21条(2)(f)）。対策が機能していることを示す監査、テスト、指標を含みます。

ISO 27001があればNIS2に準拠できますか？

ISO 27001だけでは準拠できませんが、かなりの部分をカバーできます。ENISAの対応表は、実施規則の各項目をISO 27001の箇条またはAnnex Aの管理策に結び付けています。そのため、ISO認証を取得している組織は、技術的および組織的な対策の大部分を備えていることになります。一方、ISOでは次の点はカバーされません：報告期限、経営層の研修と責任、登録、そして附属書の一部の項目がAnnex Aより詳細に定める個別の技術要件。準拠しているかどうかを判断するのは認証機関ではなく、国の所管当局です。

監督と罰則

国の所管当局は、essential事業者に対しては事前に監督を行い（監査、検査、セキュリティスキャン）、important事業者に対しては主にインシデントや苦情をきっかけに事後的に監督します。罰金の上限は、essential事業者の場合は少なくとも1000万ユーロ（€10 million）または全世界の年間売上高の2%のいずれか高い方、important事業者の場合は700万ユーロ（€7 million）または売上高の1.4%のいずれか高い方です。

当サイトの活用方法

ここにあるNIS2の各要件は、ENISAの対応表を通じてISO 27001およびNIST CSF 2.0にリンクされ、さらにそこからその他のフレームワークにもつながっています。以下の表では、お持ちのフレームワークがNIS2のどこまでをカバーしているかを示しています。

別のフレームワークもお持ちですか？

すでに従っている可能性のあるフレームワークの要求事項が、NIS2 の要求事項にいくつ対応するかを示しています。要求事項ごとの一覧は、ギャップレポートを開いてご確認ください。

対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · 緩やかに関連 CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 件数は ギャップ分析 と同じデータに基づきます。マッピングとは関連する要求事項があることを意味し、一方が他方を満たしていることを証明するものではありません。

よくある質問

NIS2はいつから適用されましたか？

加盟国は2024年10月18日（18 October 2024）からNIS2の国内法を適用しなければなりませんでした。遅れた国もあるため、事業を行う国の状況を確認してください。

NIS2のインシデント報告期限はどのようになっていますか？

重大インシデントを認識してから24時間以内に早期警戒、72時間以内にインシデント通知、1か月以内に最終報告を行います。

NIS2はEU域外の企業にも適用されますか？

適用される場合があります。EU域内でサービスを提供していながらEU内に拠点を持たない一部のデジタルプロバイダーは、加盟国内に代理人を指定しなければなりません。

法律または準拠に関する助言ではありません。利用に先立ち、正式な原文と、監査人、評価者、規制当局にご確認ください。