nis2-directive-specialist

NIS2 指令スペシャリスト

EU 全域で高い共通レベルのサイバーセキュリティを実現するための措置に関する EU 指令 2022/2555（NIS2 指令）のツールとガイダンスです。

---

目次

• NIS2 の概要
• 適用範囲と適用対象
• 10 の最低限のセキュリティ対策
• インシデント報告要件
• 経営陣の説明責任
• サプライチェーンセキュリティ
• 罰則
• NIS2 と NIS1 の比較
• インフラストラクチャセキュリティチェック
• ツール
• リファレンスガイド
• コンプライアンス評価ワークフロー
• NIS2 実施ロードマップ

---

NIS2 の概要

NIS2 指令（EU 2022/2555）は、旧 NIS 指令（EU 2016/1148）に代わる、EU のサイバーセキュリティに関する最新の枠組みです。2023 年 1 月 16 日に発効し、加盟国は2024 年 10 月 17 日までに国内法に移行することが求められています。

主な目的：

• EU 全域で高い共通レベルのサイバーセキュリティを確立する
• サイバーセキュリティ要件と執行を調和させる
• 適用範囲を拡大し、より多くのセクターと事業体を対象にする
• インシデント報告義務を強化する
• サイバーセキュリティに関する経営陣の説明責任を導入する
• サプライチェーンセキュリティ要件を強化する

**法的根拠：**TFEU 第 114 条（域内市場の調和）

他の枠組みとの関係：

枠組み	関係
ISO 27001	NIS2 の対策は ISO 27001 の管理策と密接に対応しています
GDPR	NIS2 は処理のセキュリティに関して GDPR を補完します
CER 指令	重要事業体のレジリエンス — 物理的セキュリティを補完します
DORA	金融セクターの事業体に対する特別法です
サイバーレジリエンス法	ハードウェア／ソフトウェアの製品セキュリティ要件です

---

適用範囲と適用対象

重要事業体（附属書 I — 高重要度セクター）

セクター	サブセクター
エネルギー	電力（DSO、TSO、発電事業者、蓄電事業者）、石油（パイプライン、生産、製油所、貯蔵）、ガス（DSO、TSO、LNG、貯蔵）、水素、地域冷暖房
運輸	航空（航空会社、空港、航空交通管理）、鉄道（インフラ管理者、運行事業者）、水運（内陸水運、海運、港湾運営者）、道路（交通管理、ITS 運営者）
銀行	規則（EU）No 575/2013 で定義される信用機関
金融市場インフラ	取引所、中央清算機関
医療	医療提供者、EU リファレンスラボ、医薬品を製造する事業体、公衆衛生上の緊急事態において重要とみなされる医療機器を製造する事業体
飲料水	人間の消費を目的とする水の供給者および配水事業者
廃水	都市廃水、家庭廃水、または産業廃水を収集、処分、または処理する事業体
デジタルインフラストラクチャ	IXP、DNS プロバイダー、TLD レジストリ、クラウドコンピューティングプロバイダー、データセンター運営者、CDN プロバイダー、トラストサービスプロバイダー、公衆電子通信ネットワーク、公衆に利用可能な電子通信サービス
ICT サービス管理（B2B）	マネージドサービスプロバイダー、マネージドセキュリティサービスプロバイダー
行政機関	中央政府の事業体、NUTS レベル 1 および 2 の地方政府の事業体
宇宙	宇宙ベースのサービスを支える地上インフラストラクチャの運営者

重要エンティティ（附属書 II — その他の重要セクター）

セクター	サブセクター
郵便および宅配サービス	宅配サービスを含む郵便サービスのプロバイダー
廃棄物管理	廃棄物管理を行うエンティティ（廃棄物管理が主たる経済活動ではないエンティティを除く）
化学	化学物質および混合物を製造、生産、または販売するエンティティ
食品	卸売流通、工業生産、および加工に従事する食品事業者
製造	医療機器および体外診断用医療機器、コンピューター／電子／光学製品、電気機器、機械および装置、自動車／トレーラー、その他の輸送機器
デジタルプロバイダー	オンラインマーケットプレイス、オンライン検索エンジン、ソーシャルネットワーキングサービスのプラットフォーム
研究	研究機関

規模の基準値

カテゴリー	従業員数	年間売上高	年間貸借対照表
中規模企業	50～249	€10M～€50M	€10M～€43M
大規模企業	250以上	€50M以上	€43M以上

規模にかかわらず自動的に対象となるもの：

• トラストサービスプロバイダー
• TLDの名称レジストリ
• DNSサービスプロバイダー
• 公共電子通信ネットワーク／サービス
• 公共行政機関
• 加盟国におけるサービスの唯一のプロバイダー
• 混乱が公共の安全、セキュリティ、または健康に重大な影響を及ぼす可能性のあるエンティティ
• 混乱がシステミックリスク（特に国境を越えるリスク）を引き起こす可能性のあるエンティティ

除外対象：

• 小規模企業および零細企業（特に指定されていない限り、通常は除外）
• 国家安全保障、公共の安全、国防、法執行
• 司法機関、議会、中央銀行

---

10 最低限のセキュリティ対策（第21条）

すべての重要エンティティおよび本質的エンティティは、サイバーセキュリティリスクを管理するため、適切かつ相応の技術的、運用上、および組織的な対策を実施する必要があります。これらの対策はあらゆる危険を想定したアプローチに基づき、最低限、以下を対象とする必要があります。

1. リスク分析および情報システムセキュリティポリシー

すべての情報システムを対象とする包括的なリスク分析プロセスおよび情報セキュリティポリシーを確立し、維持します。

要件：

• 正式なリスク評価手法
• 資産のインベントリおよび分類
• セキュリティポリシーの枠組み（経営機関による承認済み）
• 定期的なポリシー見直しサイクル（少なくとも年1回）
• リスク選好度および許容度の定義
• 文書化されたリスク対応計画

2. インシデント対応

サイバーセキュリティインシデントの検知、管理、および対応の手順を実施します。

要件：

• インシデント検知能力
• インシデントの分類およびトリアージ手順
• インシデント対応計画およびプレイブック
• インシデントのエスカレーション手順
• インシデント発生後のレビュー手順
• CSIRTへの報告との統合（インシデント報告のセクションを参照）

3. 事業継続および危機管理

サイバーセキュリティインシデントの発生中および発生後も、サービスの継続性を確保します。

要件：

• 事業影響分析（BIA）
• 事業継続計画（BCP）
• 災害復旧計画（DRP）
• バックアップ管理ポリシー
• 危機管理手順
• 継続計画の定期的なテスト（少なくとも年1回）
• 目標復旧時間（RTO）および目標復旧時点（RPO）

4. サプライチェーンセキュリティ

直接のサプライヤーおよびサービスプロバイダーとの関係におけるセキュリティリスクに対処します。

要件：

• サプライヤーリスク評価プロセス
• サプライヤーとの契約におけるセキュリティ要件
• サプライヤーのセキュリティ態勢の監視
• サプライヤーのインシデント通知要件
• サプライチェーン全体のリスク評価
• サプライヤーの製品／サービスの品質およびサイバーセキュリティ慣行

5. ネットワークおよび情報システムの取得、開発、保守におけるセキュリティ

システムのライフサイクル全体にわたってセキュリティを統合します。

要件：

• セキュアな開発ライフサイクル（SDLC）の実践
• 脆弱性管理手順
• セキュリティテスト（SAST、DAST、ペネトレーションテスト）
• パッチ管理プロセス
• セキュリティレビューを伴う変更管理
• セキュアな構成管理

6. 有効性を評価するためのポリシーと手順

サイバーセキュリティリスク管理措置が有効かどうかを評価します。

要件：

• セキュリティ指標と KPI
• 定期的なセキュリティ評価と監査
• ペネトレーションテストプログラム
• 脆弱性スキャン
• コンプライアンス監視
• 継続的改善プロセス

7. 基本的なサイバーハイジーンの実践とサイバーセキュリティトレーニング

すべての職員が十分なサイバーセキュリティ意識とスキルを備えていることを確認します。

要件：

• 全職員を対象としたサイバーセキュリティ意識向上トレーニング
• 技術職員を対象とした役割別セキュリティトレーニング
• 経営陣向けサイバーセキュリティトレーニング（第20条に基づき必須）
• フィッシングシミュレーション演習
• セキュリティ意識向上キャンペーン
• トレーニング記録と効果測定

8. 暗号化および暗号技術の使用に関するポリシーと手順

暗号制御を通じてデータの機密性と完全性を保護します。

要件：

• 暗号技術ポリシー
• 保存中および転送中のデータに対する暗号化標準
• 鍵管理手順
• 証明書管理
• 暗号アルゴリズムの選択に関するガイダンス
• 暗号技術の実装の定期的なレビュー

9. 人的資源のセキュリティ、アクセス制御ポリシー、資産管理

人員、アクセス、資産を安全に管理します。

要件：

• 雇用前の身元調査とセキュリティ確認
• 雇用契約におけるセキュリティ上の責任
• 退職時の手順（アクセス権の取り消し）
• 役割ベースのアクセス制御（RBAC）
• 特権アクセス管理（PAM）
• 資産のインベントリと所有権
• 許容される使用に関するポリシー

10. 多要素認証、セキュアな通信、緊急時の通信

強固な認証とセキュアな通信チャネルを導入します。

要件：

• すべてのリモートアクセスと特権アカウントに対する MFA
• 重要なシステムへのアクセスに対する MFA
• 適切な場合の継続的な認証
• 暗号化された通信（TLS 1.2 以上を最低要件とする）
• セキュアな緊急通信チャネル
• 帯域外通信機能
• セキュアな音声およびビデオ通信

---

インシデント報告要件

NIS2 では、重大なインシデントに対する複数段階のインシデント報告制度が導入されています。次の事態を引き起こす、または引き起こす可能性のあるインシデントは重大とみなされます。

• 深刻な業務の中断または金銭的損失
• 他者への相当な有形または無形の損害

報告期限

段階	期限	内容
初期警告	認識してから24時間以内	インシデントが違法行為または悪意ある行為によって引き起こされた疑いがあるかどうか、国境を越える影響があり得るかどうか
インシデント通知	認識してから72時間以内	初期警告の更新、重大度と影響の初期評価、該当する場合は侵害の兆候
中間報告	CSIRT／当局の要請時	インシデントの処理と対応状況の更新
最終報告	インシデント通知から1か月以内	インシデントと根本原因の詳細な説明、実施中および継続中の緩和策、該当する場合は国境を越える影響

追加要件

• 重大なインシデントがサービスの提供に悪影響を及ぼす可能性がある場合、事業体は不当な遅延なく、サービスの利用者に通知しなければなりません
• 加盟国は、事業体に特定のプラットフォームやテンプレートの使用を義務付けることができます
• CSIRT は、早期警告を受け取ってから 24 時間以内にフィードバックとガイダンスを提供しなければなりません
• アクティブなサイバー脅威については、対処措置と併せてサービスの利用者に報告しなければなりません

---

経営陣の説明責任（第 20 条）

NIS2 は、経営機関の個人的な説明責任を導入しています。これは NIS1 からの大きな変更です。

主な要件：

1. 承認と監督：経営機関は、サイバーセキュリティリスク管理措置を承認し、その実施を監督しなければなりません
2. 責任：経営機関は、第 21 条への違反について責任を問われる場合があります
3. トレーニング：経営機関のメンバーはサイバーセキュリティのトレーニングを受け、従業員にも同様のトレーニングを受けるよう促さなければなりません
4. 十分な知識：経営機関は、サイバーセキュリティリスクと管理慣行を評価するために十分な知識とスキルを備えていなければなりません

不遵守の結果：

• 加盟国は、重要な事業体において CEO または法定代理人のレベルで経営責任を担う自然人に対し、一時的な禁止措置を科すことができます
• 行政罰金およびその他の執行措置
• 遵守を怠った経営機関メンバーの個人的責任

---

サプライチェーンセキュリティの詳細

サプライチェーンセキュリティは、NIS2 における最も影響の大きい新要件の一つです。

要件

事業体は、以下を考慮しなければなりません。

1. 各直接のサプライヤーおよびサービスプロバイダーに固有の脆弱性
2. 製品の全般的な品質とサプライヤーのサイバーセキュリティ慣行（セキュアな開発手順を含む）
3. 重要なサプライチェーンに関する協調的なセキュリティリスク評価の結果（第 22 条に基づく）
4. サプライヤーとの契約上の取り決め（以下を含む）：
   • セキュリティ要件と認証
   • 監査権
   • インシデント通知義務
   • 下請業者のセキュリティ要件

実施フレームワーク

ティア 1 — 重要なサプライヤー：

• 登録前に完全なセキュリティ評価を実施
• 年次セキュリティ監査または認証確認（ISO 27001、SOC 2）
• リアルタイムのインシデント通知要件
• 監査権に関する条項
• 撤退戦略とデータポータビリティ要件

ティア 2 — 重要度の高いサプライヤー：

• セキュリティ質問票と自己評価
• 定期的なセキュリティレビュー（半年ごと）
• 契約上のセキュリティ要件
• 48 時間以内のインシデント通知

ティア 3 — 標準的なサプライヤー：

• 基本的なセキュリティ質問票
• セキュリティ態勢の年次レビュー
• 標準的な契約上のセキュリティ条項

協調的リスク評価（第 22 条）

NIS 協力グループは、以下を考慮し、重要なサプライチェーンの協調的リスク評価を実施することがあります。

• 技術的および非技術的なリスク要因
• 依存関係と潜在的な障害点
• サプライチェーンに対する EU 域外からの影響によるリスク

---

罰則

行政罰金

事業体の種類	罰金の上限
重要な事業体	€10,000,000 または 全世界の年間総売上高の 2% のいずれか高い方
重要度の高い事業体	€7,000,000 または 全世界の年間総売上高の 1.4% のいずれか高い方

その他の執行措置

重要な事業体の場合（第 32 条）：

• 拘束力のある指示
• セキュリティ監査の勧告を実施する命令
• 措置を遵守させる命令
• 認証または認可の一時停止
• 責任を負う自然人の経営責任の一時的な禁止

重要度の高い事業体の場合（第 33 条）：

• 拘束力のある指示
• セキュリティ監査の勧告を実施する命令
• 措置を遵守させる命令
• 行政罰金

監督体制の違い

項目	重要エンティティ	重要エンティティ
監督	事前（予防的）	事後（事後対応／苦情ベース）
監査	定期的なセキュリティ監査	正当な理由がある場合に監査
立ち入り検査	あり	合理的な要請があった場合
経営者への業務禁止命令	あり（一時的）	なし

---

NIS2とNIS1の比較

項目	NIS1 (2016/1148)	NIS2 (2022/2555)
対象範囲	7セクター、約10,000のエンティティ	18セクター、約160,000のエンティティ
エンティティの分類	OESおよびDSP	重要エンティティおよびその他の重要エンティティ
セキュリティ対策	一般的な要件	10項目の具体的な最低限の対策
インシデント報告	具体的な期限なし	24時間／72時間／1か月の段階的な報告
経営者の説明責任	規定なし	必須のトレーニング、個人責任
サプライチェーン	対象外	明確な要件
罰則	加盟国が設定	調和化：€10M／2%または€7M／1.4%
監督	各国で異なる	事前／事後監督の調和化
ピアレビュー	限定的	強化されたピアレビューの仕組み
脆弱性の開示	対象外	協調的な脆弱性開示
規模のしきい値	加盟国による指定	明確な規模の基準
執行	不十分で一貫性に欠ける	強力で調和化

---

インフラストラクチャのセキュリティチェック

DNSセキュリティ

• NIS2の下では、DNSサービスプロバイダーおよびTLDレジストリに対するDNSSECの実装は事実上必須です
• すべてのゾーンでDNSSECの信頼チェーンを検証します
• DNSの監視と異常検知を実装します
• 内部名前解決にはDNS-over-HTTPS（DoH）またはDNS-over-TLS（DoT）の使用を検討します
• DNSトンネリングとデータ流出を監視します

ネットワークの監視とセグメンテーション

• 異常検知のためのネットワーク監視を導入します（第21条(2)(b)）
• 重要システムと非重要システムの間にネットワークセグメンテーションを実装します
• データセンター内の東西トラフィックを監視します
• ネットワークベースの侵入検知／防止システムを導入します
• フォレンジック分析のためにネットワークフローログを保持します

エンドポイント検知と対応

• 重要システムにアクセスするすべてのエンドポイントにEDRソリューションを導入します
• 自動化された脅威検知と対応を設定します
• エンドポイントの状態を含むインベントリを維持します
• 重要システムにアプリケーションの許可リストを実装します
• エンドポイントのコンプライアンススキャンを定期的に実施します

MFAの適用（第21条(2)(j)）

• すべてのリモートアクセスにMFAを導入します
• 特権アカウントにMFAを適用します
• 重要システムおよびデータへのアクセスにMFAを実装します
• 実現可能な場合はパスワードレス認証を検討します
• 高リスクアカウントではハードウェアセキュリティキー（FIDO2/WebAuthn）をサポートします

暗号化要件

• すべての外部通信でTLS 1.2以上を使用し、TLS 1.3を推奨します
• 保存データをAES-256または同等の方式で暗号化します
• 機密性の高い通信にエンドツーエンド暗号化を実装します
• 証明書の管理と監視を導入します
• 暗号アルゴリズムを定期的に見直します

脆弱性開示の調整

• 協調的脆弱性開示（CVD）ポリシーを策定します
• 脆弱性開示の連絡先を指定します
• ENISAの脆弱性データベースに参加します
• 責任ある開示のプロセスを実装します
• 開示された脆弱性を追跡し、定められた期限内に修正します

重要インフラの物理的セキュリティ

• データセンターおよび重要施設への物理的なアクセス制御
• 環境監視（温度、湿度、水漏れ検知）
• 監視および侵入検知システム
• 来訪者の管理および同行手順
• 全体的なレジリエンス試験の一環として物理的セキュリティ試験を実施します

---

ツール

NIS2 適用範囲アナライザー

組織が NIS2 の適用範囲に該当するかを判定し、必須事業体または重要事業体に分類します。

# Analyze scope interactively
python scripts/nis2_scope_analyzer.py --sector energy --sub-sector electricity --employees 500 --turnover 100

# Full analysis with JSON output
python scripts/nis2_scope_analyzer.py --sector health --sub-sector healthcare_providers --employees 75 --turnover 15 --json

# Generate compliance checklist
python scripts/nis2_scope_analyzer.py --sector digital_infrastructure --sub-sector cloud_computing --employees 200 --turnover 50 --checklist

# Load from config file
python scripts/nis2_scope_analyzer.py --config organization.json --json --output scope_report.json

機能：

• 附属書 I および附属書 II に照らしたセクターとサブセクターの分類
• 規模のしきい値の評価（従業員数、売上高、貸借対照表）
• 自動的な適用対象の検出（DNS プロバイダー、TLD レジストリなど）
• 事業体の種類の判定（必須事業体または重要事業体）
• 適用される義務の概要
• コンプライアンスチェックリストの生成

---

NIS2 コンプライアンスチェッカー

10 項目すべての最低限のセキュリティ対策について、各対策のスコアを含めてコンプライアンスを評価します。

# Run full compliance check
python scripts/nis2_compliance_checker.py --config assessment.json

# Generate assessment template
python scripts/nis2_compliance_checker.py --template > assessment.json

# Check specific measures only
python scripts/nis2_compliance_checker.py --config assessment.json --measures 1 2 4 --json

# Generate gap analysis report
python scripts/nis2_compliance_checker.py --config assessment.json --output gap_report.json --json

機能：

• 第 21 条の 10 項目すべての最低限の対策に照らした評価
• 対策ごとのコンプライアンススコア（0～100）
• 総合コンプライアンススコア
• インシデント報告体制の準備状況の検証
• サプライチェーンセキュリティの評価
• 経営陣の説明責任の検証
• 優先順位を付けた是正措置の推奨を含むギャップ分析

---

参考ガイド

NIS2 要件ガイド

10 項目すべての最低限のセキュリティ対策を網羅し、実装ガイダンス、インシデント報告手順、経営陣の説明責任要件、サプライチェーンセキュリティのフレームワーク、ISO 27001 管理策とのマッピングを記載しています。

NIS2 実装プレイブック

リソース要件、ポリシーテンプレート、技術的管理策のチェックリスト、トレーニング要件、コスト見積もりのフレームワークを含む 12 か月の実装ロードマップです。

---

まず確認すること

評価を実施する前に、以下の入力内容を確定してください。不足している、または曖昧な情報によって結果が変わる場合は質問してください。結果に影響しない場合は、妥当なデフォルト値を使用し、その内容を明記してください。

• 事業体の適用範囲： セクター（附属書 I または附属書 II）、規模のしきい値、自動的な適用対象となる基準（必須事業体または重要事業体の分類と、適用される義務が決まります）。
• タスク： 適用範囲の判定、10 項目の対策に関するコンプライアンスチェック、またはサプライチェーン評価（使用するツールとワークフローが決まります）。
• 加盟国： どの国の国内法化が適用されるか（ツールが評価するのは指令の基本要件であり、各国固有の法律ではありません）。

リスト全体ではなく、この依頼で特に重要な 2～3 項目について質問してください。ユーザーがすぐに結果を求めている場合は、結果を提示し、冒頭に前提を明記してください。

コンプライアンス評価ワークフロー

フェーズ 1：適用範囲の判定

1. Identify sector and sub-sector classification
   → Use NIS2 Scope Analyzer tool
2. Determine entity size (employees, turnover, balance sheet)
3. Check for automatic inclusion criteria
4. Classify as Essential or Important entity
5. Identify applicable Member State transposition requirements

フェーズ 2：ギャップ評価

1. Document current security posture
2. Map existing controls to NIS2 10 minimum measures
   → Use NIS2 Compliance Checker tool
3. Assess incident reporting readiness
4. Evaluate supply chain security maturity
5. Review management accountability compliance
6. Generate gap analysis report

フェーズ 3：是正計画

1. Prioritize gaps by risk and regulatory impact
2. Develop remediation roadmap (see Implementation Playbook)
3. Allocate budget and resources
4. Define project milestones and ownership
5. Establish governance structure

フェーズ 4：実装

1. Implement technical controls
2. Develop and approve policies
3. Deploy monitoring and detection capabilities
4. Establish incident reporting procedures
5. Conduct supply chain security assessments
6. Train management body and staff

フェーズ 5：継続的なコンプライアンス

1. Regular compliance assessments (quarterly minimum)
2. Annual management body training refresh
3. Incident response exercises (biannual)
4. Supply chain security reviews (annual)
5. Policy review and update cycles
6. Audit preparation and execution

---

NIS2 実装ロードマップ

12 か月計画

月	フェーズ	主な活動
1–2	評価	適用範囲の判定、ギャップ分析、現状の文書化
3–4	計画	是正ロードマップ、予算配分、ガバナンス体制の構築、早期に実現できる改善
5–6	基盤整備	中核となるポリシー、リスクフレームワーク、資産インベントリ、経営陣向けトレーニング
7–8	実装	技術的管理策、監視の導入、インシデント対応体制の構築
9–10	サプライチェーン	サプライヤー評価、契約の更新、サードパーティリスクプログラム
11	テスト	インシデント対応訓練、侵入テスト、コンプライアンス検証
12	運用化	最終監査、継続的な監視、継続的なコンプライアンスプログラムの開始

すぐに着手できる改善策（1～3 か月目）

1. すべてのリモートアクセスと特権アカウントで MFA を有効にする
2. 既存のセキュリティポリシーを文書化する
3. 国内 CSIRT とのインシデント報告連絡窓口を確立する
4. 経営陣向けのサイバーセキュリティトレーニングを開始する
5. 重要システムの資産インベントリを作成する
6. バックアップ手順を見直し、更新する

リソースの見積もり

組織規模	必要な FTE	推定予算
中規模（50～249）	専任 1～2 名 ＋ プロジェクトチーム	€200K～€500K
大規模（250～999）	専任 2～4 名 ＋ プロジェクトチーム	€500K～€1.5M
エンタープライズ（1000 以上）	専任 4～8 名 ＋ プロジェクトチーム	€1.5M～€5M+

---

---

トラブルシューティング

問題	考えられる原因	解決策
範囲アナライザーが、対象範囲内であるはずの事業体に対して「範囲外」と返す	自動包含の基準が満たされていない、または規模のしきい値に達していない	自動包含のフラグ（DNS プロバイダー、TLD レジストリ、唯一のプロバイダー）を確認します。--turnover と --employees の値を確認します。--checklist フラグを使ってすべての基準を確認します。
コンプライアンスチェッカーのスコアが予想外に低い	評価 JSON の管理策に関する回答が欠落している、または null になっている	--template を実行して、新しい評価テンプレートを生成します。すべての管理策に関する質問に、ブール値またはスコア値が設定されていることを確認します。
ギャップレポートに 10 項目すべての対策が含まれていない	--measures フラグによって出力が絞り込まれている	--measures フラグを削除して、Article 21 の 10 項目すべての対策を評価します。設定 JSON にすべての対策セクションが含まれていることを確認します。
事業体が「Essential」ではなく「Important」に分類される	セクターが Annex I ではなく Annex II に該当する	セクター／サブセクターの分類を確認します。Annex I のセクターは Essential 事業体に、Annex II のセクターは Important 事業体に分類されます。規模も影響します。
各国の国内法化要件が不明確である	EU 加盟国が NIS2 をまだ完全に国内法化していない	2026 年初頭時点で、EU 加盟国 27 か国のうち 13 か国では国内法化が未完了です。国別の状況については、ECSO NIS2 Transposition Tracker を確認してください。指令の基本要件を適用してください。
サプライチェーン評価のセクションが未完成である	設定にサプライヤーの階層分類が指定されていない	サプライヤーデータに階層レベル（Critical／Important／Standard）を設定し、各階層の契約にセキュリティ要件を含めます。
インシデント報告準備度スコアがゼロである	評価にインシデント対応の管理策が記録されていない	評価 JSON の Measure 2（Incident Handling）に関する管理策を完了します。検知能力、分類手順、CSIRT への報告連携も含めてください。

---

成功基準

• 対象範囲内のすべての事業体が Essential または Important に正しく分類され、分類判断の根拠が文書化されている
• 最初の評価サイクルで、最低限必要な 10 項目すべてのセキュリティ対策について 70％以上のコンプライアンススコアを達成し、12 か月以内に 90％以上を目指して改善している
• インシデント報告手順が、段階的な 24h／72h／1-month のタイムラインに照らしてテスト・検証され、CSIRT の連絡先と報告テンプレートが文書化されている
• 管理機関のメンバーが必須のサイバーセキュリティ研修を修了し、出席記録と知識評価の記録が文書化されている
• サプライチェーンセキュリティプログラムが Tier 1（critical）サプライヤーの 100％を対象とし、契約に品質契約、監査権条項、インシデント通知要件が含まれている
• ギャップ分析によって、特定されたすべてのギャップについて担当者、予算、マイルストーンの日付を割り当てた、優先順位付きの是正ロードマップが作成されている
• 四半期ごとのコンプライアンス再評価によって、測定可能な改善が示され、推移を示す指標が経営陣に報告されている

適用範囲と制限事項

対象範囲：

• NIS2 指令（EU 2022/2555）への準拠評価とギャップ分析
• 附属書 I および附属書 II に基づく事業体の分類（重要事業体と重要事業体）
• 第 21 条の 10 項目すべての最低限のセキュリティ対策の評価
• 多段階の報告制度に照らしたインシデント報告準備状況の評価
• サプライチェーンセキュリティフレームワークの評価（Tier 1／2／3 のサプライヤー）
• 第 20 条に基づく経営陣の説明責任の確認
• ISO 27001 管理策へのクロスフレームワークマッピング

対象外：

• 国内法化の詳細（加盟国によって異なります。このツールは指令の基本要件に照らして評価し、各国固有の施行法には対応しません）
• 技術的な侵入テストや脆弱性スキャン（技術的なチェックには infrastructure-compliance-auditor を使用してください）
• CER 指令（EU 2022/2557）の物理的レジリエンス要件（補完的ですが、別個の規制です）
• 金融セクターの事業体に対する DORA（EU 2022/2554）の要件（特別法には dora-compliance-expert を使用してください）
• 罰則リスクや法的責任に関する法的助言（有資格の法律専門家に相談してください）
• インフラストラクチャのリアルタイム監視や SIEM の導入

---

統合ポイント

スキル	統合
information-security-manager-iso27001	NIS2 の対策は ISO 27001 附属書 A の管理策と密接に対応しています。NIS2 準拠の実装基盤として ISO 27001 ISMS を使用してください
infrastructure-compliance-auditor	NIS2 第 21 条の要件を満たす技術的管理策（DNS、TLS、MFA、暗号化、監視）を検証します
dora-compliance-expert	金融セクターの事業体には DORA が特別法として適用されます。重複を避けるため、NIS2 と DORA の評価を連携させてください
nist-csf-specialist	NIST CSF 2.0 の機能は NIS2 の対策に対応しています。CSF 成熟度評価ツールを使用してサイバーセキュリティ態勢をベンチマークしてください
soc2-compliance-expert	SOC 2 Trust Services Criteria は NIS2 の対策と大きく重複しています。既存の SOC 2 証拠を活用してください
isms-audit-expert	ISO 27001 の監査証拠は、NIS2 準拠の実証を直接支援します

---

ツールリファレンス

nis2_scope_analyzer.py

NIS2 の適用可否と事業体の分類を判定します。

フラグ	必須	説明
--sector	はい（または --config）	セクター識別子（例：energy、health、digital_infrastructure）
--sub-sector	はい（または --config）	サブセクター識別子（例：electricity、healthcare_providers、cloud_computing）
--employees	はい（または --config）	組織の従業員数
--turnover	はい（または --config）	年間売上高（百万ユーロ単位）
--config	いいえ	組織の JSON 設定ファイルへのパス（個別のフラグの代わりに使用）
--json	いいえ	結果を JSON 形式で出力します
--checklist	いいえ	事業体の分類に基づいてコンプライアンスチェックリストを生成します
--output	いいえ	出力レポートファイルの保存先パス

nis2_compliance_checker.py

第 21 条の 10 項目すべての最低限のセキュリティ対策に照らして準拠状況を評価します。

フラグ	必須	説明
--config	はい（または --template）	管理策への回答を含む評価用 JSON ファイルへのパス
--template	いいえ	空の評価テンプレートを生成します（> を使ってファイルにパイプ出力）
--measures	いいえ	評価する対策番号のスペース区切りリスト（例：1 2 4）。省略すると 10 項目すべてを評価します。
--json	いいえ	結果を JSON 形式で出力します
--output	いいえ	ギャップ分析レポートの保存先パス

---

最終更新：2026 年 3 月 指令の参照先：EU 2022/2555 適用開始日：2024 年 10 月 17 日（加盟国の国内法化期限）