NIS2指令（NIS2）

概要

NIS2指令は、ネットワーク・情報システムのセキュリティ水準をEU全体で引き上げるための指令です。旧NIS指令（2016/1148）を置き換え、加盟国は2024年10月17日までに国内法化することとされました（第41条）。CRAが製品を規制するのに対し、NIS2は事業者（組織）を規制します。

対象となる事業者

対象セクターは附属書I（高い重要性を持つセクター：エネルギー、運輸、銀行、医療、飲料水、デジタルインフラ、ICTサービス管理など）と、附属書II（その他の重要セクター：郵便、廃棄物管理、化学品、食品、製造業、デジタルプロバイダ、研究）に列挙されています。

製造業では、医療機器、コンピュータ・電子・光学製品、電気機器、機械（他に分類されないもの）、自動車、その他輸送機器の製造が附属書IIに含まれます。原則として中規模以上（従業員50人以上、または年間売上高1,000万ユーロ超）の事業者が対象です（第2条）。事業者は「essential entities（重要エンティティ）」と「important entities（重要度の高いエンティティ）」に分けられ、監督の方法が異なります（第3条）。

主な義務

日本企業への影響

EU域内に製造拠点や販売子会社を持つ企業は、その拠点がNIS2の対象になる可能性があります。また、対象事業者は第21条のサプライチェーンセキュリティの一環として、取引先にセキュリティ対策を求めるため、EU企業に部品やソフトウェアを納入する企業も間接的に影響を受けます。

関連法令

サイバーレジリエンス法、データ法。