トム・ミービス弁護士 Law & More
サイバーセキュリティはもはや単なる技術的な問題ではない。あらゆる規模の組織に影響を与える、法的およびガバナンス上の問題でもある。
欧州のNIS2指令とオランダのサイバーセキュリティ法により、デジタルレジリエンスに関する責任は経営陣に明確に移行します。オランダのサイバーセキュリティ法は2026年8月15日に施行されます。そのため、事業主、取締役、コンプライアンス担当者は、速やかに以下の事項を確立する必要があります。
- 彼らの組織が新しい規則の適用範囲に含まれるかどうか。
- それらから生じる義務とは何か。
- どのような対策が必要か。
- そして、組織がそれらの義務をどのように果たすことができるか。
この記事では、NIS2とオランダのサイバーセキュリティ法の主な要素、すなわち適用範囲、注意義務、通知義務、取締役会の責任、執行、そして組織が今すぐ講じることができる措置について説明します。
NIS2とは何ですか?
NIS2は、指令（EU）2022/2555の正式名称です。これは、一般にNIS1と呼ばれる最初の欧州ネットワークおよび情報セキュリティ指令の後継となります。
加盟国は、2024年10月17日までにNIS2を国内法に移行することが義務付けられていた。2024年10月18日からは、NIS2が正式に以前の指令に取って代わった。
その目的は、欧州連合におけるサイバーレジリエンスのレベルを高め、より整合性を図ることである。これは主に2つの柱に基づいている。第一に、適用範囲の拡大：NIS1の下ではなかった多くの組織が規則の対象となる。第二に、監督の強化と執行の厳格化、より幅広いツールキットの提供、そして取締役の責任の明確化である。
NIS1では、生活必需サービス事業者とデジタルサービスプロバイダーが区別されていたのに対し、NIS2では、生活必需事業体と重要事業体が区別される。この区別は単なる用語上の問題ではなく、とりわけ監督の厳格さや科される可能性のある罰金の額を左右する。
NIS2の対象となる組織はどれですか？
NIS2は、重要度の高い分野とその他の重要分野に分類される、指定された18の分野で活動する組織に適用されます。
重要度の高い分野には、エネルギー、運輸、銀行、金融市場インフラ、医療、飲料水および廃水処理、デジタルインフラ、企業向けICTサービス管理、公共行政、宇宙などが含まれる。
その他の重要なセクターには、郵便・宅配サービス、廃棄物管理、化学、食品、製造、デジタルプロバイダー、研究機関などが含まれる。
サイズしきい値
これらの分野における主なルールは、組織が中規模または大規模企業に該当する場合、NIS2に該当するという点です。基準は、従業員数が50人以上、または年間売上高もしくは貸借対照表総額が10万ユーロを超えることです。
この基本原則には例外があります。規模に関わらず、特定の組織は対象範囲に含まれます。なぜなら、その組織が提供するサービスは特に重要だと考えられるからです。
- 公共の電子通信ネットワークおよびサービスを提供する事業者。
- 信頼できるサービスプロバイダー。
- ドメイン名登録サービスプロバイダー
- トップレベルドメイン名レジストリ。
- 公共部門の機関。
2026年8月15日から、この新たな義務はオランダ国内の8,000以上の組織に適用される。これは、現行のネットワークおよび情報システムセキュリティ法で対象となっている組織数と比べて、大幅な拡大となる。
これまで重要産業分野に該当しないと考えていた組織も、中規模製造業者、食品生産者、研究機関、デジタルサービスプロバイダーなどを含め、対象となる可能性がある。重要なのは、組織自身が対象範囲に該当するかどうかを判断する責任を負っているということである。監督機関からその旨を通知する書簡が届くことはない。
注意義務：どのような措置が求められるのか？
NIS2およびオランダサイバーセキュリティ法の核心は、注意義務である。重要かつ不可欠な事業体は、ネットワークおよび情報システムに対するリスクを管理するために、適切かつ相応な技術的、運用上、組織的な措置を講じなければならない。
これらの規則は、いかなる場合でも政策が対処しなければならない事項を定めている。
- リスク分析および情報セキュリティポリシー
- インシデント対応
- 事業継続性、バックアップ管理、災害復旧。
- サプライチェーンのセキュリティ
- サイバー衛生対策と従業員研修。
- 脆弱性対応ポリシー
- 多要素認証
- 安全な通信。
- 暗号化;
- 対策の効果を定期的に評価する。
対策は、組織の規模と実際にさらされているリスクに見合ったものでなければならない。したがって、規模の小さい重要な組織は、高リスク分野における規模の大きい不可欠な組織と同じ対策を講じる必要はない。
だからといって、注意義務が任意になるわけではない。組織は、特定したリスク、講じた対策、そしてそれらの対策が適切である理由を立証できなければならない。対策そのものだけでなく、対策の評価、記録、定期的な見直し方法も監督の対象となる。
事件発生後の通知義務
NIS2は、注意義務に加えて、重大な事故に対する段階的な通知義務を課しています。事故がサービスの継続性に重大な影響を与えている、または与える可能性がある場合、概ね以下の期限が適用されます。
- 24時間以内に、国家コンピュータセキュリティインシデント対応チームまたは管轄当局に早期警告を発する。
- 72時間以内に、被害の深刻度と影響に関する初期評価を含む正式な通知を行う。
- 遅くとも1ヶ月以内に、事件の内容、考えられる根本原因、講じられた措置、および国境を越えた影響を記述した最終報告書を提出すること。
これらの期限があるため、事前に明確な手順を定めておく必要がある。組織は、いつインシデントを報告すべきか、誰が報告権限を持つのか、どのような情報を用意する必要があるのか、誰が調整を行うのか、そして取締役会と監督者にどのように報告するのかを把握しておかなければならない。
事件発生時に初めて通知プロセスを構築しようとする組織は、タイムリーかつ完全な報告ができないという大きなリスクを抱えることになる。
取締役会の責任
NIS2の重要な要素の一つは、サイバーリスク管理の責任が経営委員会に明確に委ねられている点である。経営委員会は、セキュリティ対策を承認し、その実施を監督し、組織のサイバーリスクを評価できる能力を持ち、かつ十分な研修を受ける必要がある。
したがって、サイバーセキュリティはもはやIT部門だけの責任として扱うことはできません。これはガバナンス上の課題であり、日常的な意思決定とリスク管理の一部として組み込まれるべきです。
この指令は、組織が指令を遵守しなかった場合の経営幹部の個人的責任についても明確に規定しています。取締役会の関与については、実施された研修、取締役会の決定、承認された方針、リスク評価、報告、実施状況の監督などを文書化するなどして、適切に記録してください。
オランダでの実施
オランダにおけるNIS2の導入は大幅に遅れている。2024年10月17日の移行期限は守られなかった。
2026年7月8日、欧州委員会は、オランダが国内法への移行措置を通知しなかったとして、アイルランド、スペイン、フランスとともに、オランダを欧州連合司法裁判所に付託することを決定した。これにより、オランダは欧州連合における4つの遅れた国の一つとなった。
そのタイミングは注目に値する。その前日、2026年7月7日には、上院はサイバーセキュリティ法と重要施設レジリエンス法を承認していた。付託が送付される前にこの法律が採択されたという事実が、訴訟手続きの結果に影響を与えるかどうかはまだ不明であり、それは裁判所が判断することとなる。
両法は2026年8月15日に施行される。サイバーセキュリティ法はNIS2指令を、重要インフラのレジリエンスを目的とした重要施設レジリエンス法は欧州CER指令を実施するものである。後者の対象となる組織は、2026年8月15日から正式に重要施設として指定される。
施行と同時に、現行のネットワークおよび情報システムセキュリティ法（Wbni）は失効します。既に同法の適用を受けている組織にとっては、より重い義務が課せられることを意味し、初めて適用対象となる組織にとっては、全く新しい制度が適用されます。
NCSCへの登録
重要な新たな義務として、国家サイバーセキュリティセンターへの登録が挙げられます。重要かつ不可欠な組織は、国家組織登録簿に登録する必要があります。この登録は2026年8月15日から義務化され、MijnNCSCポータルを通じて行われます。一般組織はeHerkenning、公共機関はSSOnRijkを使用します。登録データの変更は14日以内に報告する必要があります。
登録は単なる事務手続きではありません。登録が完了すると、組織はCSIRTのサービスに接続できるようになり、CSIRTは回復力を高めるための製品やサービス、そしてインシデント発生時のサポートを提供します。施行後に導入が始まることにならないよう、登録は余裕をもって準備してください。
監督と執行
サイバーセキュリティ法は、異なる監督体制を規定している。重要事業体は、事前の監督を受ける。監督当局は、特定の事案や兆候がなくても、継続的かつ自主的に検査を行うことができる。重要事業体は、事後的な監督を受ける。監督当局は、原則として、事案、苦情、またはその他の具体的な兆候に対応して行動する。
監督業務は複数の機関に分かれています。2026年8月15日以降、オランダデジタルインフラ庁は9つの分野の組織を監督し、その他の分野については別の監督機関が指定されています。貴組織にとって管轄の監督機関を確認してください。
執行手段は多岐にわたり、以下のものが含まれる。
- セキュリティスキャンまたはセキュリティ監査。
- 拘束命令。
- 行政執行命令、または罰金支払いの対象となる命令。
- 侵害行為の公表。
- 行政罰金。
- 重要な組織の場合：認証、認可、または役員の停止。
重要事業体に対する罰金の上限は、10万ユーロまたは全世界年間売上高の2%のいずれか高い方となります。重要事業体に対する罰金の上限は、7万ユーロまたは全世界年間売上高の1.4%のいずれか高い方となります。最終的な罰金額は、違反行為の性質、重大性、期間、過失の程度、および講じられた措置など、事案の状況によって異なります。
あなたの組織は今、何ができるでしょうか？
- 自己評価を実施してください。組織が指定された分野で活動しているか、また規模の基準を満たしているかを確認してください。
- 適切なカテゴリーを決定してください。組織が不可欠な組織または重要な組織に該当するかどうか、また、どの監督者が有能であるかを確認してください。
- 登録の準備を行います。MijnNCSC を介して、NCSC への登録に必要なデータを収集します。
- 注意義務に関する措置を検証する。リスク分析、インシデント対応、事業継続性、サプライチェーンセキュリティ、サイバー衛生、脆弱性、多要素認証、暗号化に関する既存の措置を評価する。
- 通知プロセスを確立する。インシデントが通知対象となるかどうかを誰が判断するか、誰が通知を行うか、そして24時間、72時間、1ヶ月の期限がどのように守られるかを記録する。
- 取締役会を明確かつ積極的に関与させる。取締役会が下した決定、実施された研修、および実施状況の監督方法を記録する。
- サプライチェーン全体を含めてください。脆弱性の大部分は、組織自体ではなく、サプライヤーやサービスプロバイダーで発生します。セキュリティ対策、通知義務、監査権に関する契約内容を見直してください。
締めくくりに
サイバーセキュリティ法および重要施設レジリエンス法は、サイバーセキュリティに関する義務を大幅に強化するものです。適用範囲の拡大、具体的な注意義務措置、厳格な通知期限、取締役の個人的責任、そして充実した執行ツールキットなどにより、組織はこの問題を軽視することはできません。2026年8月15日の施行を控えているため、準備期間は限られています。
Law & More 企業、取締役、コンプライアンス担当者が、NIS2およびオランダサイバーセキュリティ法に基づく自社の立場を判断し、注意義務措置を設定およびテストし、NCSCへの登録を準備し、サイバーセキュリティポリシーを法的に組み込むことを支援します。
貴社が新規則の下でどのような立場にあるか、評価を受けてみませんか？お気軽にお問い合わせください。ご相談は無料です。
よくある質問
以下では、この件に関してよく寄せられる質問にお答えします。
オランダのサイバーセキュリティ法はいつ施行されますか？
2026年8月15日。上院は2026年7月7日にサイバーセキュリティ法と重要機関レジリエンス法を承認した。これらの法律が施行されると、現行のネットワークおよび情報システムセキュリティ法（Wbni）は失効する。
私の所属する組織はNIS2の対象となりますか？
それは、事業分野と規模によって異なります。NIS2は18の指定分野を対象としており、これらの分野において、原則として従業員数が50人以上、または年間売上高もしくは貸借対照表総額が1,000万ユーロを超える組織が対象となります。ただし、規模に関わらず対象となる組織もあります。
私の所属する組織が対象範囲に含まれる場合、通知されますか？
いいえ。組織自身がサイバーセキュリティ法の適用対象となるかどうかを判断する責任があります。判断を遅らせると、評価が行われる前に義務が適用されるリスクがあります。
本質的な存在と重要な存在の違いは何ですか？
これは、監督の厳格さと潜在的な罰金のレベルを決定するものです。重要な事業体は、監督者が自らの判断で確認を行う積極的な監督の対象となります。重要な事業体は、事件、苦情、その他の兆候をきっかけとした事後的な監督の対象となります。
注意義務とは具体的にどのようなものですか？
ネットワークおよび情報システムに対するリスクを管理するために、リスク分析、インシデント対応、事業継続性、サプライチェーンセキュリティ、サイバー衛生、脆弱性、多要素認証、暗号化などの事項を網羅した、適切かつ相応な技術的、運用的、組織的措置を講じる必要があります。選択した措置が適切である理由を立証できなければなりません。
インシデント発生後、どのような通知期限が適用されますか？
24時間以内の早期警告、72時間以内の深刻度と影響の初期評価を含む正式通知、そして遅くとも1ヶ月以内の最終報告。通知プロセスを事前に設定しておくこと。
私の組織は登録する必要がありますか？
はい。2026年8月15日からは、国家機関登録簿への登録が義務付けられており、MijnNCSCを通じてeHerkenning、または公共機関の場合はSSOnRijkを使用して登録手続きが行われます。変更事項は14日以内に報告する必要があります。登録が完了すると、CSIRTのサービスに接続できるようになります。
取締役会にはどのような責任があるのか？
取締役会は、セキュリティ対策を承認し、その実施を監督し、サイバーリスクを評価できる能力を持ち、自らも研修を受ける必要がある。この指令は、コンプライアンス違反に対する上級管理職の個人的責任を規定しているため、決定事項、研修、監督状況を明確に記録する必要がある。
罰金はいくらですか？
重要事業体については、少なくとも10万ユーロまたは全世界年間売上高の2%、重要事業体については、少なくとも7万ユーロまたは1.4%のいずれか高い方を罰金とする。最終的な罰金額は、違反行為の性質、重大性、期間、および過失の程度などの要因によって決定される。
コンプライアンスを監督するのは誰ですか？
それは分野によって異なります。2026年8月15日以降、オランダデジタルインフラ庁は9つの分野の組織を監督します。その他の分野については、別の監督機関が指定されています。貴組織にとって管轄の監督機関を確認してください。
なぜオランダは欧州司法裁判所に提訴されたのか？
NIS2の法改正の遅延について。2026年7月8日、欧州委員会は、オランダが法改正措置を通知しなかったとして、アイルランド、スペイン、フランスとともにオランダを欧州司法裁判所に付託することを決定した。サイバーセキュリティ法が1日早く採択されたという事実だけでは、これらの訴訟手続きは終了しない。
これは私の仕入先にも適用されますか？
サプライチェーンのセキュリティは、注意義務の対象となる事項の一つです。脆弱性の大部分は、サプライヤーやサービスプロバイダーの段階で発生します。セキュリティ対策、通知義務、監査権に関する契約内容を見直してください。
