NIS2 - EUにおけるサイバーセキュリティの強化

組織は、リスク管理に対する体系的で積極的なアプローチを可能にする情報セキュリティ管理システムを構築し、維持することが必要です。

組織は、サイバー攻撃を防止し、抑止するための適切な能力を備えることが求められています。これを効果的に実施するために、以下を特定する必要があります。

• 最も重大な脆弱性
  
• 脆弱性悪用のリスクを最小化するために必要なサイバーセキュリティ対策
  
• 組織がどのようにインシデントを検知し、対応するか

同指令は、「必要不可欠で重要な事業体」に対し、「事業体の業務やサービス提供のために使用するネットワークや情報システムのセキュリティにもたらされるリスクを管理し、事業体のサービスの受け手や他のサービスに対するインシデントの影響を防止または最小化するために、適切かつ相応の技術的、運用的、組織的措置を講じる」ことを明確に求めている。

組織は、攻撃への対応方法を計画する必要があります。利害関係者を訓練し、事業継続に影響を及ぼすインシデントに対処し、混乱や潜在的なダウンタイムから回復するための計画を立案する必要があります。

組織は、サプライチェーンに内在する脆弱性によってもたらされるリスクを評価し、管理することが求められます。この要件は、組織がサプライヤーと協力し、供給されるものが何かにかかわらず、すべての当事者がサプライチェーンに関わるリスクを理解するように促しています。

組織のネットワーク内の脆弱性は開示されなければなりません。組織は、脆弱性管理に関して透明性を保ち、脆弱性を広く一般に告知する手段を提供し、関連部門が情報に基づいて行動できるようにする必要があります。

この透明性により、他の組織はその情報に基づいて行動でき、既知の脆弱性を悪用されないようにすることができます。

NIS2では、組織が「重大な」インシデントに気付いてから24時間以内に早期警告を行い、72時間以内にインシデント通知を行い、インシデント通知後1か月以内に以下の内容を含む最終報告書を提出することを義務付けています:

• 重大性と影響を含むインシデントの詳細な説明
• インシデントを引き起こしたと考えられる脅威または根本原因の種類
• 適用され、継続中の緩和措置
• 該当する場合、国境を越えたインシデントの影響

「重大な」インシデントとは、サービスにおける重大な運用上の混乱または関係するエンティティの財務上の損失を招いた、もしくは招く可能性があるインシデントを指します。あるいは、相当な物質的または非物質的損害を引き起こすことにより、他の自然人もしくは法人に影響を与えた、または与える可能性があるインシデントを指します。

NIS2は、加盟国間の緊密な協力とEUレベルのデータの共有を奨励しています。これにより、国レベルとEUレベルの両方で、サイバーインシデントに対する効率的かつ協調的な対応が可能になります。NIS2はまた、加盟国によるネットワークや情報システムのセキュリティに関連する欧州および国際規格や技術仕様を使用することを奨励し、それによって優れたセキュリティ慣行が構築される方法を調和させます。