お知らせ詳細

EU理事会は、11月28日、EU全体のレジリエンス及びインシデント対応能力を強化することを目的とするネットワーク情報セキュリティ（NIS）指令の改正案（NIS2）を承認した。NIS2はこの承認により成立し、近日中に官報掲載される。官報掲載から20日経過後に施行され、加盟国は施行から21か月以内に必要な国内法制度整備を行う必要がある。NIS2は、指令の対象となる全ての分野（エネルギー、交通、医療及びデジタルインフラ等）におけるリスク管理措置及び報告義務の基準を定めるもので、異なる加盟国間のサイバーセキュリティ要件及び措置の調和を狙いとしている。これを実現するため、規制枠組みの最小限のルールを定め、各加盟国の関係組織との効果的な協力のためのメカニズムを敷設するほか、規制対象分野の更新や、救済及び制裁措置の提供を行う。NIS2により、大規模なサイバセキュリティ・インシデント、危機発生時の協調管理を支援する「欧州サイバー危機連絡調整ネットワーク（EU-CyCLONe）」が正式に設置される。

現行のNISでは、規制を受けるエッセンシャル・サービス提供事業者への該当性の判断は加盟国に委ねられていたが、NIS2においてはサイズキャップルールが導入され、対象分野における全ての中・大規模事業者が規制の対象となる。なお、防衛、国家安全保障、公共安全及び法執行の分野で活動を行う事業者のほか、司法、国会及び中央銀行に対してNIS2は適用されないが、中央・地方政府には適用される。NIS2は、金融セクターのデジタル・レジリエンス強化を目的とした規制（DORA）やクリティカル企業のレジリエンス指令（CER）などのセクター固有の法律とNIS2の内容について矛盾が生じないよう、法的に明確にし、調整を行っている。