NIS2指令:2026年のファイル転送サービスへの影響

NIS2指令（EU 2022/2555）は、ファイル転送サービスを「デジタルインフラ」および「デジタルプロバイダー」の区分に組み込み、2024年10月17日までに各加盟国の国内法へ転換され、2026年を通じて本格的な執行が行われています。対象ベンダーには、第21条に基づくサイバーセキュリティリスク管理の文書化、サプライチェーンのセキュリティ審査、第23条に基づく重大インシデントへの24時間以内の早期警告、管理層の説明責任が求められます。違反には最大1,000万ユーロまたは全世界売上高の2%の制裁金が科されます。これらのサービスを利用するユーザー組織も、サプライチェーン義務を継承します。

NIS2の実際の適用対象

NIS2は旧 NIS 指令の対象範囲を大幅に拡大しました。重要エンティティにはエネルギー、輸送、銀行、医療、飲料水、デジタルインフラ（DNS、TLD レジストリ、クラウドプロバイダー、データセンター、CDN）が含まれます。重要性の高いエンティティには郵便サービス、廃棄物管理、化学、食品、製造、および検索エンジンやオンラインマーケットプレイスなどのデジタルプロバイダーが加わります。ファイル転送サービス自体は、附属書 II の「マネージドサービスプロバイダー（MSP）」または「マネージドセキュリティサービスプロバイダー（MSSP）」の定義に該当することが多く、重要性の高いエンティティとして位置付けられます。規模のしきい値を下回る小規模プロバイダーでも、加盟国が重要と指定した場合は対象に含まれます。

第21条のリスク管理措置

第21条第2項の10の措置は、基本的なセキュリティコントロールセットとして機能します。対象には、リスク分析と情報システムセキュリティ、インシデントハンドリング、事業継続と危機管理、サプライチェーンセキュリティ、ネットワーク・情報システムの取得・開発における安全性、有効性評価のポリシー、基本的なサイバーハイジーンとトレーニング、暗号化、人事セキュリティ・アクセス制御、多要素認証（MFA）が含まれます。ファイル転送サービスへの具体的な適用としては、文書化された ISMS、保存ファイルへの AES-256-GCM、転送時の TLS 1.3、管理者アクセスへの MFA、年次ペネトレーションテスト、開発者・サポートスタッフ向けトレーニングプログラムが挙げられます。

インシデント報告のタイムライン

第23条は、デジタルサービスに対して規制当局がこれまで設けた中で最も厳しい時限を定めています。重大インシデントについては、24時間以内に早期警告、72時間以内に完全なインシデント通知、1か月以内に最終報告書を提出しなければなりません。顧客ファイルが漏洩するファイル転送の侵害は、多数のユーザーに影響を与えたりサービスを中断させたりする場合、通常「重大」と判断されます。ベンダーのインシデント対応手順書には、担当者の指名、24時間対応のエスカレーションチェーン、国家 CSIRT への事前作成済み通知テンプレートが必要です。 ENISA は影響を受けるユーザー数、継続時間、地理的広がりなどの基準を参照した判断基準のガイダンスを公開しています。

双方向のサプライチェーン義務

NIS2 第21条第2項(d)はサプライチェーンセキュリティを明示的に要求しています。重要エンティティおよび重要性の高いエンティティは、直接サプライヤーのサイバーセキュリティを評価しなければなりません。ファイル転送ベンダーを利用する病院は、そのベンダーのセキュリティ慣行を評価し、セキュリティ統制とインシデント通知に関する契約上のコミットメントを取得し、コンプライアンスを監視する必要があります。一方、ベンダー側は自社のサプライヤー（ AWS、OVHcloud、Scaleway、Hetzner などのクラウドホスト、CDN、オブザーバビリティプラットフォーム、アイデンティティプロバイダー）を評価します。欧州委員会と ENISA が公表した EU 協調リスクアセスメントには、分野ごとのサプライチェーン上の懸念が示されています。

管理層の説明責任

第20条は上級管理職を個人的に責任ある立場に置きます。対象エンティティの取締役および役員は、サイバーセキュリティリスク管理措置を承認し、その実施を監督し、定期的なトレーニングを完了しなければなりません。ドイツ（NIS2UmsuCG を通じて）やフランス（LOI PROPRE を通じた転換法）などの加盟国では、重大な過失に対する個人制裁や取締役資格の剥奪も検討されています。重要インフラ顧客にサービスを提供するクラウド・SaaS ベンダーの取締役会は、サイバーセキュリティを定例議題として取り上げ、CISO が直接または監査委員会を通じて報告する体制を整えています。

認証と保証スキーム

NIS2 は、サイバーセキュリティ法（EU 2019/881）に基づくヨーロッパのサイバーセキュリティ認証スキームの活用を促進しています。ICT 製品向けの EUCC スキームと、クラウドサービス向けの EUCS スキームは「基本」「実質的」「高度」のレベルで保証マークを提供します。規制対象の購買者を対象とするファイル転送サービスは、 SOC 2 Type II、ISO 27001、プライバシー向けの ISO 27701、フランスの SecNumCloud やドイツの C5 などの国内認証を取得しようとしています。少なくとも ISO 27001 を持たないベンダーは、EU 全域の規制対象購買者の調達候補から除外されつつあります。

越境調整と管轄

アイルランドに本社を置き EU 全域の顧客にサービスを提供するファイル転送サービスは、デジタルプロバイダーの「主要拠点」ルールに基づき、NIS2 のもとでアイルランドの主要監督当局と連携します。ただし、重大な影響が生じた国の当局への通知も必要になる場合があります。協力グループと CSIRT ネットワークが越境インシデントを調整します。ベンダーは早期に国内 CSIRT との関係を構築することが重要です。最初のインシデント報告の際に連絡手段を調べるのでは遅すぎます。 ENISA の CSIRT ネットワーク連絡先は公開されています。

転送ベンダーと購買者のための実践的ステップ

2026年のベンダーにとって不可欠な対応は以下のとおりです。取締役会がレビューした第21条のギャップアセスメントの文書化、24時間ローテーションを持つインシデント対応責任者の指名、セキュリティ条項を含む審査済みサプライヤーの台帳管理、NIS2 対応を明示した信頼・コンプライアンスページの公開、過去12か月以内の資格ある業者によるペネトレーションテストレポートの取得です。購買者は、ベンダーに対して NIS2 自己評価書、国内 CSIRT の連絡先、サブプロセッサーリスト、侵害通知 SLA、製品の暗号化仕様を書面で求めるべきです。第21条第2項(d)のサプライチェーンセキュリティ措置は、これらの問いをデューデリジェンスの必須事項としています。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。