NIS2の要件に準拠するには

NIS2指令は、2020年12月にEU連合によって正式に採択されました。現在、EU加盟国はこの指令を自国の法律へと移行（トランスポーズ）しています。
組織は、自国政府による実施スケジュールを継続的に確認し、期限が近づくにつれてコンプライアンスの準備を進める必要があります。

NIS2への準拠は、エネルギー、輸送、医療、デジタルサービスなどの重要インフラ分野に属する中規模および大規模企業に義務付けられています。EU域内で事業を展開している、またはEU市場にサービスを提供している組織は、規模に関係なくNIS2の対象となります。これには、食品供給や宇宙関連サービスなどの新たな産業も含まれます。

NIS2に準拠しない場合、罰則として多額の罰金が科される可能性があります。これらの罰金は通常、組織の年間収益の割合に基づいて算出され、数百万ユーロに達することもあります。さらに、組織は評判の失墜や業務上の制限を受ける可能性もあります。

NIS2 は最初の NIS1 指令に基づいて拡大されました。NIS2 では、広範囲にわたる必要不可欠なサービスが対象となり、セキュリティ要件の厳格化とインシデント報告義務の強化が導入されています。

NIST（米国国立標準技術研究所）は主に、米国連邦政府機関およびその請負業者向けのサイバーセキュリティ基準およびガイドラインを策定しています。一方、NIS2 は、加盟国全体の必要不可欠なサービス事業者に対して特定のサイバーセキュリティ対策を義務付ける EU 指令です。 NIST コンプライアンスの詳細をご覧ください。

NIS2は、さまざまな分野における重要かつ不可欠な事業体に対するサイバーセキュリティ要件を主に対象としています。一方、DORA（デジタル業務レジリエンス法）は金融業界に特化しており、デジタル脅威に対する業務レジリエンスの強化に重点を置いています。 DORA コンプライアンスの詳細をご覧ください。

NIS2では、インシデントの検知・報告・対応に関する明確な手順を含むインシデント対応計画を、組織が策定することを義務付けています。また、重大なインシデントが検知された場合には、24時間以内に関係当局へ報告する必要があります。

組織は、ネットワークシステムおよび情報システムに対するリスクを評価および管理すること、適切なセキュリティ対策を導入すること、インシデントを報告すること、サイバーセキュリティトレーニングに参加することが求められています。コンプライアンス義務には、定期的な監査とリスク評価を実施し、継続的なコンプライアンスを確保することも含まれています。

NIS2 に相当する米国の規制は、アメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁（CISA）のガイドラインなどのフレームワークのほか、NIST サイバーセキュリティフレームワークなどの部門固有の規制があります。これらは、重要インフラストラクチャ部門全体のサイバーセキュリティを強化することを目的としています。詳細については、追加のリソースをご覧ください。