April 18, 2024

NIS2とは何か、および最低限のコンプライアンス要件について

今日のデジタル環境において、堅牢なサイバーセキュリティ対策はもはや選択肢ではなく、必須です。この重要性を認識して、欧州連合（EU）は以前に施行されたネットワークおよび情報セキュリティ指令（NIS1）を拡充・発展させ、より新しく包括的な「NIS2」と呼ばれるバージョンを導入しました。

このブログ記事では、NIS2およびEU内で事業を展開する企業に与える影響について詳細に解説します。対象となる企業の範囲、指令が定める主要な要件の内容、および企業がコンプライアンスを達成するためのガイダンスについてもご紹介します。

さらに、コンプライアンス違反による潜在的な影響についても考察し、企業が新たな規制環境を適切に乗り切り、機密データを効果的に保護できるよう支援します。

NIS2とは何ですか？

NIS2（ネットワークおよび情報セキュリティ指令）は、EU加盟国全体におけるサイバーセキュリティを大幅に強化するための広域的な法的枠組みです。これは厳格な法的枠組みを規定し、エネルギー、医療、交通など重要なサービスを含む、より幅広い分野に適用範囲を拡大しています。

NIS2は、2016年7月に初めて施行された前身の指令であるNIS1を発展させたものです。NIS1が重要分野におけるサイバーセキュリティ基準の整備に向けた基礎を築いたのに対し、NIS2は適用範囲の拡大、要件の強化、執行体制の強化により、さらに一歩進んでいます。

NIS2指令の適用対象は誰ですか？

以下の2つのセクターがNIS2の義務の対象となります。

重要分野：組織が以下に明示されている重要分野のいずれかで活動している場合、自動的にNIS2の対象となり、必須のコンプライアンス要件が適用されます。重要分野には以下が含まれます：

エネルギー（電力、ガス、石油）

輸送（空港、鉄道、海運）

医療（病院、薬局）

金融（銀行、投資会社、保険）

廃棄物管理（水道、廃棄物処理）

郵便サービス

デジタルインフラ（データセンター、インターネット交換）

重要セクター：組織が「重要」と分類されるセクターで活動している場合、コンプライアンスの要否は規模、利用者数、社会への影響といった特定の基準に依存します。重要セクターの例としては以下が挙げられます：

プラットフォーム運営者（オンラインマーケットプレイス、ソーシャルメディア）

製造業（化学薬品、医薬品）

食品・飲料

公共行政

詳細な概要については、組織のNIS2準拠要件を評価するための無料のステップバイステップPDFガイドをダウンロードしてください：https://axcrypt.net/information/regulatory-compliance/nis2/

NIS2の最低限のコンプライアンス手順は何ですか？

NIS2はヨーロッパ全域でサイバーセキュリティの水準を引き上げるものですが、その要件は組織の規模、社会的機能、およびリスクの露出度によって異なります。中小企業にはある程度の柔軟性が認められていますが、大規模な組織はより厳しい義務が課されます。

ただし、要件に差異があるものの、関係するすべての企業が遵守すべき最低限の措置が存在し、それらを実施することでコンプライアンスを確保できます。AxCryptの暗号化ソフトウェアは、これらの一部を達成するのに役立ちます。

以下は、NIS2においてあらゆる組織に求められる最低限の要件です。

リスク評価およびセキュリティポリシー：

定期的なリスク評価と明確なセキュリティポリシーを策定し、サイバー脅威を特定して防御体制を構築します。

インシデント対応計画：

セキュリティインシデントを迅速かつ効果的に対処するための計画を策定します。

事業継続計画：

攻撃後も業務を円滑に継続できるよう、事業継続計画を策定します。AxCryptは、クラウド上での安全で自動的な暗号化バックアップを支援します。

安全なサプライチェーン：

サードパーティベンダーに関連するリスクを管理します。

セキュリティ対策の有効性の測定：

セキュリティ対策の有効性を定期的に評価し、脆弱性を特定して対処します。

安全なシステム調達および開発：

調達したシステムおよび自社の開発プロセスにおける脆弱性の対処および報告に関するポリシーを実施します。

サイバーセキュリティ研修および衛生管理：

従業員に対してサイバーセキュリティの研修を提供し、基本的なサイバー衛生習慣の実践を促進します。

暗号化：

機密データを保護するために暗号技術および暗号化を活用するためのポリシーと手順を実施します。AxCryptは、AES-256を用いた安全なファイル暗号化および共有ソリューションを提供しています。

従業員のセキュリティ：

機密データにアクセスできる従業員に対してセキュリティ手順を確立し、関連するすべての資産の概要を維持します。

多要素認証（MFA）：

可能な限りMFAおよびその他の高度な認証ソリューションを導入します。

注：これらは、組織がNIS2ガイドラインに準拠し始めるために最低限取るべきステップです。組織固有の包括的な対応策を講じるには、コンプライアンス担当者への相談を推奨します。

NIS2でコンプライアンス違反した場合の罰則は何ですか？

期限までにNIS2指令に準拠しなかった場合、財務面、評判、さらには法的地位にまで重大な影響を組織に及ぼす可能性があります。以下に知っておくべき内容を示します：

財務的制裁：

最大1,000万ユーロ、または年間全世界売上高の2％（いずれか高い方）の罰金 ― これは特に中小企業にとって大きな負担となります。

その他の行政制裁： これには一時的な営業停止、データ処理の制限、さらには公表による非難が含まれます。

覚えておくべき重要な日付：

2019年： NIS2の開発が開始。

2022年12月： NIS2が正式に採択。

2024年10月17日： 適合期限

期限までにNIS2ガイドラインに準拠し、課せられる高額な罰金や制裁を回避するには、積極的なアプローチを取ることが重要であることを覚えておくことが重要です。

AxCryptは貴組織のコンプライアンスをどのように支援しますか？

AxCryptは、AES-256ビット暗号化アルゴリズムを使用して機密ファイルを保護する、受賞歴のあるファイルおよびデータ暗号化ソフトウェアです。AxCryptは2016年以降9年連続で、PCMagから「最優秀暗号化ソフトウェア」に1位として選ばれ続けています。

AxCryptは強力な暗号化により、機密文書や写真、動画その他のファイルを保護します。Windows、Mac、iPhone、Android向けに提供されており、Google Drive、OneDrive、Dropbox、iCloudと連携することで、ファイルを自動的に暗号化・同期し、安全なバックアップを実現します。

以下は、AxCryptが前述のNIS2の最低要件に直接準拠するお手伝いをする方法です。

✅ 第3項. ビジネス継続計画： 機密ファイルはAES-256で保護され、主要なクラウドストレージプロバイダーにバックアップされます。これにより、侵害が発生した場合でも、円滑な業務運営とビジネス継続が保証されます。

✅ 第7項. サイバーセキュリティ研修と衛生管理： AxCryptは、データセキュリティおよびサイバーセキュリティに関する継続的で高品質な教育とガイダンスの提供に取り組んでいます。使いやすいブログやWebサイトのコンテンツを通じて、データを効果的に保護するためのベストプラクティスに関する知見を得ることができます。

✅ 第8項. 暗号化： AxCryptの受賞歴ある暗号化技術は、常に機密ファイルを保護します。ファイルは暗号化されたまま、任意のデバイスから安全に共有・開くこと、編集することが可能です。

結論

NIS2は欧州全体のサイバーセキュリティの基準を引き上げています。特定の要件は組織の規模や業種によって異なる場合がありますが、NIS2の基本原則を理解することで、データとインフラを保護するための積極的な対策を講じる力を得ることができます。

期限が迫るまで待ってはいけません。今日からNIS2のコンプライアンスに積極的に取り組みましょう。無料のNIS2コンプライアンスガイドをダウンロードして、受賞歴のあるAxCryptの暗号化ソフトウェアが、貴組織のサイバーセキュリティ体制をどのように強化できるかをご確認ください。安全なデジタル未来を築くには、今日から強固なサイバーセキュリティ対策を優先することが重要です。