Directive (EU) 2022/2555 ／ 第IV章 サイバーセキュリティリスク管理措置及び報告義務
第21条 サイバーセキュリティリスク管理措置
Article 21 — Cybersecurity risk-management measures
1. 加盟国は、必須事業体及び重要事業体が、その運営又はサービスの提供のために使用するネットワーク及び情報システムのセキュリティに対してもたらされるリスクを管理し、並びにそのサービスの受領者及びその他のサービスに対するインシデントの影響を防止し、又は最小化するため、適切かつ比例的な技術的、運用的及び組織的措置を講じることを確保する。
1. Member States shall ensure that essential and important entities take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of network and information systems which those entities use for their operations or for the provision of their services, and to prevent or minimise the impact of incidents on recipients of their services and on other services.
第1段に規定する措置は、技術水準及び該当する場合には関連する欧州規格及び国際規格並びに実施費用を考慮して、もたらされるリスクに見合ったネットワーク及び情報システムのセキュリティ水準を確保するものでなければならない。当該措置の比例性を評価する際には、事業体のリスクへのばく露の程度、事業体の規模並びにインシデントの発生可能性及びその深刻度（社会的及び経済的影響を含む。）を十分に考慮する。
Taking into account the state-of-the-art and, where applicable, relevant European and international standards, as well as the cost of implementation, the measures referred to in the first subparagraph shall ensure a level of security of network and information systems appropriate to the risks posed. When assessing the proportionality of those measures, due account shall be taken of the degree of the entity’s exposure to risks, the entity’s size and the likelihood of occurrence of incidents and their severity, including their societal and economic impact.
2. 第1項に規定する措置は、ネットワーク及び情報システム並びに当該システムの物理的環境をインシデントから保護することを目的とするオールハザード・アプローチに基づくものとし、少なくとも次のものを含める。
2. The measures referred to in paragraph 1 shall be based on an all-hazards approach that aims to protect network and information systems and the physical environment of those systems from incidents, and shall include at least the following:
(a)リスク分析及び情報システムのセキュリティに関する方針
(a)policies on risk analysis and information system security;
(b)インシデント対応
(b)incident handling;
(c)バックアップ管理及び災害復旧等の事業継続、並びに危機管理
(c)business continuity, such as backup management and disaster recovery, and crisis management;
(d)サプライチェーンのセキュリティ（各事業体とその直接の供給者又はサービス提供者との関係に関するセキュリティ関連の側面を含む。）
(d)supply chain security, including security-related aspects concerning the relationships between each entity and its direct suppliers or service providers;
(e)ネットワーク及び情報システムの取得、開発及び保守におけるセキュリティ（脆弱性の対応及び開示を含む。）
(e)security in network and information systems acquisition, development and maintenance, including vulnerability handling and disclosure;
(f)サイバーセキュリティリスク管理措置の有効性を評価するための方針及び手続
(f)policies and procedures to assess the effectiveness of cybersecurity risk-management measures;
(g)基本的なサイバー衛生の慣行及びサイバーセキュリティ研修
(g)basic cyber hygiene practices and cybersecurity training;
(h)暗号技術及び適切な場合には暗号化の使用に関する方針及び手続
(h)policies and procedures regarding the use of cryptography and, where appropriate, encryption;
(i)人的資源のセキュリティ、アクセス制御の方針及び資産管理
(i)human resources security, access control policies and asset management;
(j)適切な場合には、多要素認証又は継続的認証のソリューション、安全な音声、映像及びテキストの通信、並びに事業体内の安全な緊急通信システムの使用
(j)the use of multi-factor authentication or continuous authentication solutions, secured voice, video and text communications and secured emergency communication systems within the entity, where appropriate.
3. 加盟国は、事業体が、本条第2項(d)に規定するいずれの措置が適切であるかを検討する際に、各直接の供給者及びサービス提供者に固有の脆弱性、並びにその供給者及びサービス提供者の製品及びサイバーセキュリティ慣行の全体的な品質（その安全な開発手順を含む。）を考慮することを確保する。加盟国は、また、事業体が、同号に規定するいずれの措置が適切であるかを検討する際に、第22条(1)に従って行われた重要なサプライチェーンの協調的なセキュリティリスク評価の結果を考慮することを義務付けられることを確保する。
3. Member States shall ensure that, when considering which measures referred to in paragraph 2, point (d), of this Article are appropriate, entities take into account the vulnerabilities specific to each direct supplier and service provider and the overall quality of products and cybersecurity practices of their suppliers and service providers, including their secure development procedures. Member States shall also ensure that, when considering which measures referred to in that point are appropriate, entities are required to take into account the results of the coordinated security risk assessments of critical supply chains carried out in accordance with Article 22(1).
4. 加盟国は、第2項に定める措置を遵守していないことを認めた事業体が、不当に遅滞することなく、必要で、適切かつ比例的なすべての是正措置を講じることを確保する。
4. Member States shall ensure that an entity that finds that it does not comply with the measures provided for in paragraph 2 takes, without undue delay, all necessary, appropriate and proportionate corrective measures.
5. 欧州委員会は、2024年10月17日までに、DNSサービス提供者、TLD名レジストリ、クラウドコンピューティングサービス提供者、データセンターサービス提供者、コンテンツデリバリーネットワーク提供者、マネージドサービス提供者、マネージドセキュリティサービス提供者、オンラインマーケットプレイス、オンライン検索エンジン及びソーシャルネットワーキングサービスプラットフォームの提供者並びにトラストサービス提供者に関して、第2項に規定する措置の技術的及び方法論的要件を定める実施法令を採択する。
5. By 17 October 2024, the Commission shall adopt implementing acts laying down the technical and the methodological requirements of the measures referred to in paragraph 2 with regard to DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers, managed service providers, managed security service providers, providers of online market places, of online search engines and of social networking services platforms, and trust service providers.
欧州委員会は、本項第1段に規定するもの以外の必須事業体及び重要事業体に関して、必要に応じて、第2項に規定する措置の技術的及び方法論的要件並びに部門別の要件を定める実施法令を採択することができる。
The Commission may adopt implementing acts laying down the technical and the methodological requirements, as well as sectoral requirements, as necessary, of the measures referred to in paragraph 2 with regard to essential and important entities other than those referred to in the first subparagraph of this paragraph.
本項第1段及び第2段に規定する実施法令の作成に当たり、欧州委員会は、可能な範囲で、欧州規格及び国際規格並びに関連する技術仕様に従う。欧州委員会は、第14条(4)(e)に従い、実施法令の案について協力グループ及びENISAと助言を交換し、及び協力する。
When preparing the implementing acts referred to in the first and second subparagraphs of this paragraph, the Commission shall, to the extent possible, follow European and international standards, as well as relevant technical specifications. The Commission shall exchange advice and cooperate with the Cooperation Group and ENISA on the draft implementing acts in accordance with Article 14(4), point (e).