Directive (EU) 2022/2555 ／ 第IV章 サイバーセキュリティリスク管理措置及び報告義務
第23条 報告義務
Article 23 — Reporting obligations
1. 各加盟国は、必須事業体及び重要事業体が、第3項に規定するそのサービスの提供に重大な影響を及ぼすインシデント（重大インシデント）について、第4項に従い、不当に遅滞することなく、そのCSIRT又は該当する場合にはその所管当局に通知することを確保する。適切な場合には、関係事業体は、そのサービスの提供に悪影響を及ぼすおそれのある重大インシデントについて、不当に遅滞することなく、そのサービスの受領者に通知する。各加盟国は、当該事業体が、特に、CSIRT又は該当する場合には所管当局がインシデントの国境を越えた影響を判断することを可能にする情報を報告することを確保する。通知を行ったという事実のみをもって、通知した事業体の責任が加重されることはない。
1. Each Member State shall ensure that essential and important entities notify, without undue delay, its CSIRT or, where applicable, its competent authority in accordance with paragraph 4 of any incident that has a significant impact on the provision of their services as referred to in paragraph 3 (significant incident). Where appropriate, entities concerned shall notify, without undue delay, the recipients of their services of significant incidents that are likely to adversely affect the provision of those services. Each Member State shall ensure that those entities report, inter alia, any information enabling the CSIRT or, where applicable, the competent authority to determine any cross-border impact of the incident. The mere act of notification shall not subject the notifying entity to increased liability.
関係事業体が第1段に基づき重大インシデントを所管当局に通知する場合には、加盟国は、当該所管当局が通知を受領した時点でCSIRTに転送することを確保する。
Where the entities concerned notify the competent authority of a significant incident under the first subparagraph, the Member State shall ensure that that competent authority forwards the notification to the CSIRT upon receipt.
国境を越える又は部門横断的な重大インシデントの場合には、加盟国は、その単一連絡窓口に対し、第4項に従って通知された関連情報が適時に提供されることを確保する。
In the case of a cross-border or cross-sectoral significant incident, Member States shall ensure that their single points of contact are provided in due time with relevant information notified in accordance with paragraph 4.
2. 該当する場合には、加盟国は、必須事業体及び重要事業体が、重大なサイバー脅威による影響を受ける可能性のあるそのサービスの受領者に対し、当該脅威に対応して受領者が講じることができる措置又は救済策を、不当に遅滞することなく伝達することを確保する。適切な場合には、事業体は、当該受領者に重大なサイバー脅威自体についても情報提供する。
2. Where applicable, Member States shall ensure that essential and important entities communicate, without undue delay, to the recipients of their services that are potentially affected by a significant cyber threat any measures or remedies that those recipients are able to take in response to that threat. Where appropriate, the entities shall also inform those recipients of the significant cyber threat itself.
3. インシデントは、次の場合には、重大とみなす。
3. An incident shall be considered to be significant if:
(a)当該インシデントが、関係事業体にとって、サービスの深刻な運用上の途絶又は財務上の損失を引き起こし、又は引き起こしうる場合
(a)it has caused or is capable of causing severe operational disruption of the services or financial loss for the entity concerned;
(b)当該インシデントが、相当な物質的又は非物質的損害を引き起こすことにより、他の自然人又は法人に影響を及ぼし、又は及ぼしうる場合
(b)it has affected or is capable of affecting other natural or legal persons by causing considerable material or non-material damage.
4. 加盟国は、第1項に基づく通知のため、関係事業体がCSIRT又は該当する場合には所管当局に対し、次のものを提出することを確保する。
4. Member States shall ensure that, for the purpose of notification under paragraph 1, the entities concerned submit to the CSIRT or, where applicable, the competent authority:
(a)不当に遅滞することなく、かついかなる場合にも重大インシデントを認識してから24時間以内に、早期警告。早期警告には、該当する場合には、当該重大インシデントが違法な若しくは悪意ある行為により引き起こされた疑いがあるか否か、又は国境を越えた影響を及ぼしうるか否かを示す。
(a)without undue delay and in any event within 24 hours of becoming aware of the significant incident, an early warning, which, where applicable, shall indicate whether the significant incident is suspected of being caused by unlawful or malicious acts or could have a cross-border impact;
(b)不当に遅滞することなく、かついかなる場合にも重大インシデントを認識してから72時間以内に、インシデント通知。インシデント通知には、該当する場合には、(a)に規定する情報を更新し、並びに当該重大インシデントの深刻度及び影響を含む初期評価並びに入手可能な場合には侵害の痕跡（IoC）を示す。
(b)without undue delay and in any event within 72 hours of becoming aware of the significant incident, an incident notification, which, where applicable, shall update the information referred to in point (a) and indicate an initial assessment of the significant incident, including its severity and impact, as well as, where available, the indicators of compromise;
(c)CSIRT又は該当する場合には所管当局の要請に応じて、関連する状況の更新に関する中間報告
(c)upon the request of a CSIRT or, where applicable, the competent authority, an intermediate report on relevant status updates;
(d)(b)に基づくインシデント通知の提出後1か月以内に、次の事項を含む最終報告
(d)a final report not later than one month after the submission of the incident notification under point (b), including the following:
(i)深刻度及び影響を含む、インシデントの詳細な説明
(i)a detailed description of the incident, including its severity and impact;
(ii)インシデントを引き起こした可能性が高い脅威の種類又は根本原因
(ii)the type of threat or root cause that is likely to have triggered the incident;
(iii)適用済み及び実施中の緩和措置
(iii)applied and ongoing mitigation measures;
(iv)該当する場合には、インシデントの国境を越えた影響
(iv)where applicable, the cross-border impact of the incident;
(e)(d)に規定する最終報告の提出時点でインシデントが継続中である場合には、加盟国は、関係事業体がその時点で進捗報告を提出し、インシデントへの対応から1か月以内に最終報告を提出することを確保する。
(e)in the event of an ongoing incident at the time of the submission of the final report referred to in point (d), Member States shall ensure that entities concerned provide a progress report at that time and a final report within one month of their handling of the incident.
第1段(b)の規定にかかわらず、トラストサービス提供者は、そのトラストサービスの提供に影響を及ぼす重大インシデントに関して、不当に遅滞することなく、かついかなる場合にも重大インシデントを認識してから24時間以内に、CSIRT又は該当する場合には所管当局に通知する。
By way of derogation from the first subparagraph, point (b), a trust service provider shall, with regard to significant incidents that have an impact on the provision of its trust services, notify the CSIRT or, where applicable, the competent authority, without undue delay and in any event within 24 hours of becoming aware of the significant incident.
5. CSIRT又は所管当局は、不当に遅滞することなく、かつ可能な場合には第4項(a)に規定する早期警告の受領から24時間以内に、通知した事業体に対し、重大インシデントに関する初期のフィードバック及び当該事業体の要請に応じて可能な軽減措置の実施に関する手引又は運用上の助言を含む回答を提供する。CSIRTが第1項に規定する通知の最初の受領者でない場合には、手引は、所管当局がCSIRTと協力して提供する。CSIRTは、関係事業体の要請がある場合には、追加の技術的支援を提供する。重大インシデントが犯罪の性質を有する疑いがある場合には、CSIRT又は所管当局は、当該重大インシデントを法執行当局に報告することに関する手引も提供する。
5. The CSIRT or the competent authority shall provide, without undue delay and where possible within 24 hours of receiving the early warning referred to in paragraph 4, point (a), a response to the notifying entity, including initial feedback on the significant incident and, upon request of the entity, guidance or operational advice on the implementation of possible mitigation measures. Where the CSIRT is not the initial recipient of the notification referred to in paragraph 1, the guidance shall be provided by the competent authority in cooperation with the CSIRT. The CSIRT shall provide additional technical support if the entity concerned so requests. Where the significant incident is suspected to be of criminal nature, the CSIRT or the competent authority shall also provide guidance on reporting the significant incident to law enforcement authorities.
6. 適切な場合、特に重大インシデントが二以上の加盟国に関係する場合には、CSIRT、所管当局又は単一連絡窓口は、不当に遅滞することなく、影響を受ける他の加盟国及びENISAに当該重大インシデントについて情報提供する。当該情報には、第4項に従って受領した種類の情報を含める。その際、CSIRT、所管当局又は単一連絡窓口は、連合法又は国内法に従い、事業体のセキュリティ及び商業上の利益並びに提供された情報の秘密性を保持する。
6. Where appropriate, and in particular where the significant incident concerns two or more Member States, the CSIRT, the competent authority or the single point of contact shall inform, without undue delay, the other affected Member States and ENISA of the significant incident. Such information shall include the type of information received in accordance with paragraph 4. In so doing, the CSIRT, the competent authority or the single point of contact shall, in accordance with Union or national law, preserve the entity’s security and commercial interests as well as the confidentiality of the information provided.
7. 重大インシデントを防止し、若しくは継続中の重大インシデントに対処するために公衆の認識が必要である場合、又は重大インシデントの開示がその他の理由で公共の利益にかなう場合には、加盟国のCSIRT又は該当する場合にはその所管当局、及び適切な場合には関係する他の加盟国のCSIRT又は所管当局は、関係事業体と協議した後、当該重大インシデントについて公衆に情報提供し、又は当該事業体にそうするよう求めることができる。
7. Where public awareness is necessary to prevent a significant incident or to deal with an ongoing significant incident, or where disclosure of the significant incident is otherwise in the public interest, a Member State’s CSIRT or, where applicable, its competent authority, and, where appropriate, the CSIRTs or the competent authorities of other Member States concerned, may, after consulting the entity concerned, inform the public about the significant incident or require the entity to do so.
8. 単一連絡窓口は、CSIRT又は所管当局の要請に応じて、第1項に従い受領した通知を、影響を受ける他の加盟国の単一連絡窓口に転送する。
8. At the request of the CSIRT or the competent authority, the single point of contact shall forward notifications received pursuant to paragraph 1 to the single points of contact of other affected Member States.
9. 単一連絡窓口は、本条第1項及び第30条に従って通知された重大インシデント、インシデント、サイバー脅威及びニアミスに関する匿名化され、かつ集約されたデータを含む要約報告書を、3か月ごとにENISAに提出する。比較可能な情報の提供に貢献するため、ENISAは、要約報告書に含める情報の項目に関する技術的手引を採択することができる。ENISAは、6か月ごとに、受領した通知に関するその調査結果を協力グループ及びCSIRTネットワークに報告する。
9. The single point of contact shall submit to ENISA every three months a summary report, including anonymised and aggregated data on significant incidents, incidents, cyber threats and near misses notified in accordance with paragraph 1 of this Article and with Article 30. In order to contribute to the provision of comparable information, ENISA may adopt technical guidance on the parameters of the information to be included in the summary report. ENISA shall inform the Cooperation Group and the CSIRTs network about its findings on notifications received every six months.
10. CSIRT又は該当する場合には所管当局は、指令(EU) 2022/2557に基づき重要インフラ事業体として特定された事業体により本条第1項及び第30条に従って通知された重大インシデント、インシデント、サイバー脅威及びニアミスに関する情報を、指令(EU) 2022/2557に基づく所管当局に提供する。
10. The CSIRTs or, where applicable, the competent authorities shall provide to the competent authorities under Directive (EU) 2022/2557 information about significant incidents, incidents, cyber threats and near misses notified in accordance with paragraph 1 of this Article and with Article 30 by entities identified as critical entities under Directive (EU) 2022/2557.
11. 欧州委員会は、本条第1項及び第30条に従って提出される通知並びに本条第2項に従って提出される伝達の情報の種類、様式及び手続を更に明確化する実施法令を採択することができる。
11. The Commission may adopt implementing acts further specifying the type of information, the format and the procedure of a notification submitted pursuant to paragraph 1 of this Article and to Article 30 and of a communication submitted pursuant to paragraph 2 of this Article.
欧州委員会は、2024年10月17日までに、DNSサービス提供者、TLD名レジストリ、クラウドコンピューティングサービス提供者、データセンターサービス提供者、コンテンツデリバリーネットワーク提供者、マネージドサービス提供者、マネージドセキュリティサービス提供者並びにオンラインマーケットプレイス、オンライン検索エンジン及びソーシャルネットワーキングサービスプラットフォームの提供者に関して、第3項に規定するインシデントが重大とみなされる場合を更に明確化する実施法令を採択する。欧州委員会は、その他の必須事業体及び重要事業体に関しても、当該実施法令を採択することができる。
By 17 October 2024, the Commission shall, with regard to DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers, managed service providers, managed security service providers, as well as providers of online marketplaces, of online search engines and of social networking services platforms, adopt implementing acts further specifying the cases in which an incident shall be considered to be significant as referred to in paragraph 3. The Commission may adopt such implementing acts with regard to other essential and important entities.