Directive (EU) 2022/2555 ／ 第VII章 監督及び執行
第33条 重要事業体に関する監督及び執行措置
Article 33 — Supervisory and enforcement measures in relation to important entities
1. 重要事業体がこの指令、特にその第21条及び第23条を遵守していないとされる証拠、兆候又は情報が提供された場合には、加盟国は、所管当局が、必要な場合には事後の監督措置を通じて行動をとることを確保する。加盟国は、当該措置が、個々の事案の状況を考慮して、効果的、比例的かつ抑止的であることを確保する。
1. When provided with evidence, indication or information that an important entity allegedly does not comply with this Directive, in particular Articles 21 and 23 thereof, Member States shall ensure that the competent authorities take action, where necessary, through ex post supervisory measures. Member States shall ensure that those measures are effective, proportionate and dissuasive, taking into account the circumstances of each individual case.
2. 加盟国は、所管当局が、重要事業体に関する監督任務を遂行する際、当該事業体を少なくとも次のものに服させる権限を有することを確保する。
2. Member States shall ensure that the competent authorities, when exercising their supervisory tasks in relation to important entities, have the power to subject those entities at least to:
(a)訓練を受けた専門家が行う立入検査及び現地外での事後の監督
(a)on-site inspections and off-site ex post supervision conducted by trained professionals;
(b)独立機関又は所管当局が行う対象を絞ったセキュリティ監査
(b)targeted security audits carried out by an independent body or a competent authority;
(c)客観的、非差別的、公正かつ透明なリスク評価基準に基づくセキュリティスキャン（必要な場合には関係事業体の協力を得て行う。）
(c)security scans based on objective, non-discriminatory, fair and transparent risk assessment criteria, where necessary with the cooperation of the entity concerned;
(d)文書化されたサイバーセキュリティ方針を含む、関係事業体が採択したサイバーセキュリティリスク管理措置、並びに第27条に従い所管当局に情報を提出する義務の遵守を事後に評価するために必要な情報の要求
(d)requests for information necessary to assess, ex post, the cybersecurity risk-management measures adopted by the entity concerned, including documented cybersecurity policies, as well as compliance with the obligation to submit information to the competent authorities pursuant to Article 27;
(e)その監督任務を遂行するために必要なデータ、文書及び情報へのアクセスの要求
(e)requests to access data, documents and information necessary to carry out their supervisory tasks;
(f)資格を有する監査人が行ったセキュリティ監査の結果及びその基礎となる証拠等、サイバーセキュリティ方針の実施の証拠の要求
(f)requests for evidence of implementation of cybersecurity policies, such as the results of security audits carried out by a qualified auditor and the respective underlying evidence.
第1段(b)に規定する対象を絞ったセキュリティ監査は、所管当局若しくは監査対象事業体が行ったリスク評価、又はその他の利用可能なリスク関連情報に基づくものとする。
The targeted security audits referred to in the first subparagraph, point (b), shall be based on risk assessments conducted by the competent authority or the audited entity, or on other risk-related available information.
対象を絞ったセキュリティ監査の結果は、所管当局が利用できるものとする。独立機関が行う当該対象を絞ったセキュリティ監査の費用は、正当に立証された場合で所管当局が別段の決定をするときを除き、監査対象事業体が支払う。
The results of any targeted security audit shall be made available to the competent authority. The costs of such targeted security audit carried out by an independent body shall be paid by the audited entity, except in duly substantiated cases when the competent authority decides otherwise.
3. 第2項(d)、(e)又は(f)に基づく権限を行使する際、所管当局は、要求の目的を述べ、要求する情報を特定する。
3. When exercising their powers under paragraph 2, point (d), (e) or (f), the competent authorities shall state the purpose of the request and specify the information requested.
4. 加盟国は、所管当局が、重要事業体に関する執行権限を行使する際、少なくとも次の権限を有することを確保する。
4. Member States shall ensure that the competent authorities, when exercising their enforcement powers in relation to important entities, have the power at least to:
(a)関係事業体によるこの指令の違反について警告を発すること
(a)issue warnings about infringements of this Directive by the entities concerned;
(b)特定された欠陥又はこの指令の違反を是正するよう関係事業体に求める拘束力のある指示又は命令を採択すること
(b)adopt binding instructions or an order requiring the entities concerned to remedy the deficiencies identified or the infringement of this Directive;
(c)関係事業体に対し、この指令に違反する行為を停止し、当該行為を繰り返さないよう命じること
(c)order the entities concerned to cease conduct that infringes this Directive and desist from repeating that conduct;
(e)関係事業体に対し、重大なサイバー脅威による影響を受ける可能性のある、当該事業体がサービスを提供し、又は活動を行う相手方である自然人又は法人に、当該脅威の性質及び当該自然人又は法人が当該脅威に対応して講じることができる可能な保護措置又は是正措置について情報提供するよう命じること
(e)order the entities concerned to inform the natural or legal persons with regard to which they provide services or carry out activities which are potentially affected by a significant cyber threat of the nature of the threat, as well as of any possible protective or remedial measures which can be taken by those natural or legal persons in response to that threat;
(f)関係事業体に対し、セキュリティ監査の結果として提供された勧告を合理的な期限内に実施するよう命じること
(f)order the entities concerned to implement the recommendations provided as a result of a security audit within a reasonable deadline;
(g)関係事業体に対し、この指令の違反の側面を指定された方法で公表するよう命じること
(g)order the entities concerned to make public aspects of infringements of this Directive in a specified manner;
(h)本項(a)から(g)までに規定するいずれかの措置に加えて、国内法に従い、第34条に基づく行政制裁金を科し、又は関係機関、裁判所若しくは審判所にその賦課を要請すること
(h)impose, or request the imposition by the relevant bodies, courts or tribunals, in accordance with national law, of an administrative fine pursuant to Article 34 in addition to any of the measures referred to in points (a) to (g) of this paragraph.
5. 第32条(6)、(7)及び(8)は、重要事業体について本条に定める監督及び執行措置に準用する。
5. Article 32(6), (7) and (8) shall apply mutatis mutandis to the supervisory and enforcement measures provided for in this Article for important entities.
6. 加盟国は、この指令に基づくその所管当局が、規則(EU) 2022/2554に基づく関係加盟国の関係所管当局と協力することを確保する。特に、加盟国は、この指令に基づくその所管当局が、規則(EU) 2022/2554第31条に従い重要なICT第三者サービス提供者として指定された重要事業体によるこの指令の遵守を確保することを目的とする監督及び執行権限を行使する際、同規則第32条(1)に従い設置された監督フォーラムに情報提供することを確保する。
6. Member States shall ensure that their competent authorities under this Directive cooperate with the relevant competent authorities of the Member State concerned under Regulation (EU) 2022/2554. In particular, Member States shall ensure that their competent authorities under this Directive inform the Oversight Forum established pursuant to Article 32(1) of Regulation (EU) 2022/2554 when exercising their supervisory and enforcement powers aimed at ensuring compliance of an important entity that is designated as a critical ICT third-party service provider pursuant to Article 31 of Regulation (EU) 2022/2554. with this Directive.