NIS2指令とは｜日本企業への影響と対応に向けた5つの確認ポイント｜ブログ

NIS2指令とは｜日本企業への影響と対応に向けた5つの確認ポイント

ランサムウェアによる業務停止やサプライチェーンを経由した侵害など、サイバー攻撃が企業活動に与える影響は年々大きくなっています。こうした状況のなか、サイバーセキュリティはIT部門だけの課題ではなく、事業継続や企業価値に直結する経営課題として捉えられるようになりました。

EUで制定されたNIS2指令（Network and Information Systems Directive 2）^[i]は、このような環境変化を背景に整備されたサイバーセキュリティ規制です。

NIS2指令はEUの規制ではあるものの、日本企業にとっても無関係ではありません。EU域内に拠点を持つ企業だけでなく、提供するサービスや欧州企業との取引、サプライチェーンを通じて関係する可能性があるためです。

本記事では、NIS2指令の概要と、日本企業が理解しておきたいポイントを解説します。

[i]NIS2指令（Network and Information Systems Directive 2）：2016年に発効した初代NIS指令に代わる後継指令で、EUにおけるサイバーセキュリティに関する法規制の一つ。域内の重要分野の事業者に対して、サイバーセキュリティリスク管理体制の整備やインシデント報告などを義務付けるよう、加盟国の国内法の整備を求めている。

NIS2指令とは何か

本章では、NIS2指令の位置付けと特徴を整理します。

NIS2指令の前身となるNIS指令は、EU域内のネットワーク・情報システムのセキュリティ水準向上を目的として整備されたサイバーセキュリティ指令です。NIS2指令（Directive (EU) 2022/2555）は、NIS指令の枠組みを基礎としながら、対象範囲の拡大やインシデント報告、監督・執行、経営層の責任などを見直したもので、2022年12月に採択され、2023年1月に発効しました。

NIS2指令の特徴は、技術的なセキュリティ対策だけでなく、サイバーリスク管理、インシデント対応、サプライチェーン管理、経営層による監督までを対象としている点です。サイバーセキュリティをIT部門の運用課題にとどめず、組織全体で取り組むべき経営課題として位置付けていると言えます。

NIS2指令は、対象事業者に求めるサイバーセキュリティ対策の大枠を定めており、具体的な対応内容を検討する際には関連文書も参考になります。対象事業者のうち、クラウドコンピューティングサービス提供者やマネージドセキュリティサービス提供者など一部の対象事業者については、欧州委員会実施規則（EU）2024/2690によって、具体的にどのような対策を講じる必要があるかが詳細化されています。

さらに、EUのサイバーセキュリティ機関であるENISA（European Union Agency for Cybersecurity）^[ii]は、同実施規則への対応を実務面から支援するTechnical Implementation Guidanceを公表しています。同ガイダンスには、実践的な助言や証跡の例などが整理されており、具体的な対応を検討する際の参考となります。

2026年1月、欧州委員会はNIS2指令の適用範囲や対象分野の定義の明確化、コンプライアンス負担の簡素化などを目的とする改正案を公表しました。改正案は現在EUの立法手続きの中で審議されており、改正が成立し各加盟国の国内法に反映されるまでは、現行の制度に基づく義務が引き続き適用されます。本記事は2026年10月時点の現行制度をもとに解説します。

[ii]ENISA（European Union Agency for Cybersecurity）：欧州連合サイバーセキュリティ庁。EU域内のサイバーセキュリティ強化を目的に、各種ガイドラインやベストプラクティスを公表している。

日本企業にも影響する理由

NIS2指令はEUの規制ですが、日本企業もさまざまな形で関係する可能性があります。

例えば、EU加盟国に現地法人を持つ製造業（医療機器・電子機器・機械・自動車などの特定分野）や、EU向けにクラウドサービスやSaaSを提供する事業者、EU域内の企業向けシステムの開発・運用を受託するIT企業などが代表的な例です。ただし、これらの企業がNIS2指令の直接の適用対象となるかどうかは、事業内容や企業規模、提供するサービスなどによって異なります。

なお、EU域内に拠点を持たない事業者であっても、EU域内でクラウドコンピューティングサービス、データセンターサービス、マネージドサービス、マネージドセキュリティサービスなどを提供し、NIS2指令の対象となる場合、EU域内に代理人を指定することが求められます。SaaSなどの自社サービスがこれらに該当するかどうかは、サービスの内容に応じて個別に確認する必要があります。

また、自社がNIS2指令の直接の適用対象ではない場合でも、EU域内の企業との取引を通じて対応を求められる可能性があります。特にサプライチェーンリスク管理を重視する企業では、セキュリティ管理体制やインシデント対応体制の説明を求める動きが広がりつつあります。

そのため、NIS2指令はEUの法規制である一方で、企業間取引における新たなセキュリティ要求として捉えることもできます。

NIS指令から何が変わったのか

NIS2指令では、適用対象、制裁、報告義務、ガバナンスの観点で大きな見直しが行われました。

項目	NIS2指令での主な変更
適用対象	対象業種を拡大し、事業体区分を整理
制裁	行政制裁金の上限額に最低基準を設定
報告	段階的なインシデント報告を規定
ガバナンス	経営層の責任を明文化

以下で詳しく見ていきます。

①適用対象が拡大し、事業体区分が整理された

NIS指令と比較した際の大きな変化の一つが、対象範囲の拡大です。

従来は重要インフラ事業者や一部のデジタルサービス提供者が中心でしたが、NIS2指令では製造業、食品、化学、郵便・宅配、研究機関なども対象分野に含まれ、データセンターやマネージドサービスなど、デジタル関連サービスの対象も拡大しました。サイバーリスクを社会インフラだけの問題ではなく、経済活動全体を支える企業の問題として捉える方向へと変化したことが分かります。

対象分野が拡大した一方で、そこに属するすべての事業者が適用対象となるわけではありません。原則として中規模以上の事業者が対象となりますが、公衆向けの電気通信サービスやDNSサービスの提供者など、事業者の種類によっては、企業規模にかかわらず対象となる場合もあります。

また、NIS2指令では、対象分野を「附属書I（高度に重要な分野）」と「附属書II（その他の重要な分野）」に分けて定めています。そのうえで、対象事業者を「Essential Entities（主要事業体）」と「Important Entities（重要事業体）」に区分しています。この区分は、対象分野や事業規模、提供サービスなどに基づいて判断されます。

区分	基本的な区分の考え方	主な対象分野・事業体の例
Essential Entities （主要事業体）	原則として、附属書Iの対象分野に属する大規模事業者など	エネルギー、運輸、銀行、金融市場インフラ、医療、飲料水、廃水、デジタルインフラ、ICTサービス管理、中央政府機関など
Important Entities （重要事業体）	原則として、附属書Iの対象分野に属する中規模事業者、または附属書IIの対象分野に属する中規模・大規模事業者など	製造業、食品、化学、郵便・宅配、デジタルプロバイダー（オンラインマーケットプレイス、検索エンジン、SNSプラットフォーム）、研究機関など

重要なのは、どちらもNIS2指令の対象である点です。両区分とも、サイバーセキュリティリスク管理措置や重大インシデントの報告など、基本的な要求事項は共通しています。主な違いは「何を実施するか」ではなく、「どのように監督されるか」にあります。

Essential Entitiesに対しては、重大なインシデントや違反が発生していない場合でも、所管当局による定期的・対象を絞ったセキュリティ監査や、オンサイト検査・オフサイト監督などが行われる可能性があります。一方、Important Entitiesについては、NIS2指令への違反が疑われる証拠や情報などを所管当局が得た場合に、事後的な監督が行われます。

②制裁が強化された

NIS2指令では、サイバーセキュリティリスク管理措置やインシデント報告に関する要求事項への違反について、加盟国が一定水準以上の行政制裁制度を設けることが求められています。企業にとっては金銭面だけでなく、レピュテーションや取引先との関係にも影響を及ぼす可能性があります。

サイバーインシデントが発生したという事実そのものが、直ちに制裁金につながるわけではありません。重要なのは、組織が事前にリスクを把握し、それに応じた適切な対策を講じていたか、また、インシデント発生時には必要な報告を行うなど、求められる責任を果たしていたかという点です。

つまり、「インシデントを完全に防げたか」だけではなく、「防ぐために適切な取り組みを行い、その取り組みを説明できる状態にしていたか」が重要になります。

なお、リスク管理措置や報告義務に違反した場合の制裁金の上限は、事業体の区分によって異なります。NIS2指令は、加盟国が定める上限額を、Essential Entitiesでは少なくとも1,000万ユーロまたは前年度の全世界年間売上高の2%のいずれか高い額、Important Entitiesでは少なくとも700万ユーロまたは前年度の全世界年間売上高の1.4%のいずれか高い額とするよう求めています。

区分	行政制裁金の上限額（NIS2指令が定める最低基準）
Essential Entities	1,000万ユーロまたは前年度の全世界年間売上高の2%のいずれか高い額
Important Entities	700万ユーロまたは前年度の全世界年間売上高の1.4%のいずれか高い額

③インシデント報告が厳格化された

NIS2指令では、重大インシデント発生時の報告プロセスが明確化されています。NIS2指令の特徴は、すべての調査が完了してからではなく、その時点で把握している情報に基づいて段階的に報告する点にあります。

まず重大インシデントを認識してから24時間以内にEarly Warning（早期警告）を行い、72時間以内にはインシデントの深刻度や影響について初期評価を報告します。その後も当局の要請に応じて状況の更新を行い、最終的には原因や影響、実施した緩和策などをFinal Report（最終報告）として報告します。

このように、インシデントの初動段階から当局への情報共有が求められるため、平時から「誰が・何を・いつまでに報告するか」を整理し、迅速に報告できる体制を整えておくことが重要です。

報告区分	主な内容	期限
Early Warning （早期警告）	悪意ある攻撃の可能性や越境影響の有無などを速報	認識から24時間以内
Incident Notification （インシデント通知）	深刻度や影響範囲の初期評価を報告	認識から72時間以内
Intermediate Report （中間報告）	状況変化や追加情報を報告	当局要請時
Final Report （最終報告）	原因、影響、緩和策などを報告	インシデント通知後1か月以内^[iii]

[iii]最終報告の期限時点でインシデントが継続している場合、進捗報告を提出し、対応完了後1か月以内に最終報告を提出する。

④経営層の責任が明確になった

NIS2指令の大きな特徴の一つが、経営層の責任を明文化したことです。NIS2指令では、経営層がサイバーセキュリティリスク管理措置を承認し、その実施状況を継続的に監督することが求められています。

また、自らリスクを理解し、組織の対策を適切に評価できるよう、サイバーセキュリティ研修を受け、必要な知識を習得することも求められています。これは、サイバーセキュリティをIT部門だけの課題として扱うのではなく、経営の意思決定に組み込むことを意味します。

どこに投資し、どのリスクを優先して管理するのかを判断することも、経営層の重要な役割になります。

NIS2指令対応で企業が見直すべきこと

NIS2指令が求めているのは、新しいセキュリティ製品の導入そのものではありません。

企業に問われているのは、リスクを把握し、その重要度に応じて対策を講じ、継続的に改善できているかという点です。また、その取り組みを説明できる状態を維持しているかも重要になります。

①自社とNIS2指令との接点を整理する

まず確認したいのは、自社がどのような形でNIS2指令と関係するのかという点です。EU域内に拠点を持つ企業やEU向けサービスを提供する企業だけでなく、EU域内の企業のサプライチェーンに含まれる企業も影響を受ける可能性があります。自社が直接の適用対象ではない場合でも、取引先からセキュリティ管理体制に関する説明を求められるケースは十分考えられます。

確認しておきたい項目の例を整理すると次のようになります。

確認観点	主な確認内容
EU拠点	EU域内に現地法人や支店が存在するか
提供サービス	EU向けにクラウドサービスやデジタルサービスを提供しているか
取引関係	EU域内の企業のサプライチェーンに含まれているか
契約要件	セキュリティ要求や報告義務が契約に含まれているか

EU拠点や提供サービスで接点がある場合は、対象分野や事業規模の基準に照らして、自社が直接の適用対象となるかを確認します。

②リスク管理体制は機能しているか

NIS2指令では、対策の有無だけでなく、リスク管理が継続的に機能していることが重視されています。例えば、以下の内容を確認しておく必要があります。

•自社の重要システムや重要情報を特定できているか
•リスク評価を定期的に実施しているか
•リスクに応じた優先順位付けが行われているか
•評価結果が経営判断につながっているか

ポリシーや手順が存在すること自体よりも、それらが実際に機能し、リスク低減につながっているかが重要になります。

③インシデント報告体制は機能するか

NIS2指令では、重大インシデントを認識してから24時間以内にEarly Warning（早期警告）を実施することが求められます。

そのため、報告様式を準備しているだけでは十分ではありません。実際には、以下を事前に決めておく必要があります。

•何をもって重大インシデントと判断するのか
•誰が判断するのか
•どのタイミングで経営層へ報告するのか
•誰が対外報告を行うのか

また、机上演習やインシデント対応訓練を通じて、実際に期限内に判断・報告できるかを確認しておくことも重要です。

④サプライチェーン管理は十分か

近年のサイバーインシデントでは、自社だけでなく委託先やサービス提供者を起点として被害が拡大するケースも少なくありません。NIS2指令でもサプライチェーンリスク管理は重要なテーマとして位置付けられています。

サプライチェーンリスクは、自社単独では管理できません。調達部門、法務部門、IT部門、事業部門が連携して取り組む必要があります。確認しておきたい項目の例を整理すると次のようになります。

確認項目	主な確認内容
委託先評価	セキュリティ評価を実施しているか
契約管理	セキュリティ要件や監査権が契約で明確になっているか
通知義務	インシデント発生時の報告ルールが定義されているか
再委託管理	再委託先まで含めて管理できているか