NIS2 解説：ヨーロッパ全域における要件、期限、LogTotalのユースケース

NIS2とは何か？

NIS2は指令 (EU) 2022/2555であり、エネルギー網、水システム、病院、物流チェーン、食品供給、およびデジタルインフラの維持を行う組織のためのEUの基礎となるサイバーセキュリティ法です。これは元のNIS指令 (EU) 2016/1148 に取って代わり、部門ごとに適用されていた緩やかな体制を共通の義務、共通の報告期限、実際の施行力を持つ単一のフレームワークに転換しました。

では、セキュリティチームにとってNIS2が実際に意味するものは何ですか？3つのことです。まず、規模の閾値と2つの部門付録を通じて対象となる組織を定義し、対象組織を重要および重要なエンティティに分けます。次に、インシデント処理やログ処理からサプライチェーンの安全性や暗号化に至るまで、21条においてリスク管理に関する最小限の管理策を規定しています。そして3つ目に、23条で段階的なインシデント通知プロセスを課し、重大なインシデントを認識してから24時間以内に国のCSIRTまたは適切な当局に通知する必要があります。

NIS2は規則ではなく指令であるため、すべての加盟国は独自の国内法を書きます。主要な義務は共有されていますが、登録ポータル、監督当局、および報告書の形式は、ローマからワルシャワまで異なるため、国レベルの見解が重要です。

無料で始める

NIS2 発行日と遵守への道

この指令は2022年12月27日に官報で公開され、2023年1月16日に施行されました。加盟国は2024年10月17日までにこれを転換する必要があり、2024年10月18日から適用される国の措置が有効になります。時間通りに法律を施行したのは少数であり、イタリアとベルギーはその中の数少ないものでした。

委員会は2024年11月に正式通知書を送り、2025年5月に理由付き意見を出し、2026年7月8日にEUの欧州司法裁判所に残る遅延者を付託しました。によると nisd2.eu 転換トラッカー、2026年10月16日の時点で、27の加盟国のうち24で国内法が施行されています。フランス、アイルランド、およびスペインはまだありません。

NIS2のコンプライアンスにおいて注目すべき点は、時計は欧州ではなく国内であるということです。ドイツのBSIG修正は2025年12月6日以来適用されており、ポーランドのKSC法修正は2026年4月3日、オランダのCyberbeveiligingswetは2026年8月15日、オーストリアのNISG 2026は2026年10月1日以来適用されています。それぞれ独自の登録ウィンドウを設けているため、多国籍のオペレーターはミラノでは適合していてもグダニスクでは遅れている可能性があります。

NIS2指令が求めるもの

NIS2指令は義務を3つのバケツに分けます：ガバナンス、技術的管理、報告。

ガバナンスは第20条にあります。管理機関はサイバーセキュリティリスク管理措置を承認し、その実施を監督し、定期的なトレーニングを完了する必要があります。責任はもはやCISOにだけはとどまりません。

技術的管理は第21条(2)に位置しており、十の最小措置がリストアップされています：リスク分析と情報システムのセキュリティポリシー、インシデント処理、事業継続性、バックアップと危機管理、サプライチェーンセキュリティ、安全な取得、開発と保守、脆弱性の取扱いを含む、制御の有効性の評価、サイバーハイジーンとトレーニング、暗号化、HRのセキュリティ、アクセス制御と資産管理、MFAプラス安全な通信。デジタルインフラおよびICTサービスプロバイダーのために、実施規則(EU)2024/2690がこれらを詳細に説明し、明確な監視およびログの要件を含みます。

報告は第23条にあり、SOCチームはこの部分でプレッシャーを感じます：

• 24時間： 初期警告、インシデントが悪意あるものであるかまたはの国境を超えた影響があると疑われるかどうかを含めて
• 72時間： 初期の深刻度と影響の評価および利用可能な妥協の指標を伴うインシデント通知
• 一ヶ月： 根本原因、緩和および国境を超えた影響を伴う最終報告

24時間の初期警告は、チームが実際に日ではなく時間以内にそのログを読むことができる場合にのみ信頼性があります。

なぜEUはNIS1をNIS2に置き換えたのか

NIS1は一貫性に欠けていました。各加盟国がどの企業が重要なサービスのオペレーターとしてカウントされるかを自分で決定したため、隣接する国の同じ規模の病院が完全に異なる義務に直面する可能性がありました。罰金は低く、適用されることはほとんどなく、インシデント報告の敷居は非常に幅があったため、国境を越えた状況認識はほとんど存在しませんでした。

脅威の状況は法律よりも速く動きました。委員会の2020年12月の提案と最終テキストの間で、ヨーロッパはランサムウェアによって病院ITが停止し、SolarWindsとKaseyaのサプライチェーンの妥協により数千の下流顧客が影響を受け、2022年2月のViasatのKA-SATネットワークへの攻撃でドイツの約5,800台のEnercon風力タービンのリモートモニタリングが停止されました。この最後のケースは非常に明らかな点を示しました：ITサービスプロバイダーへの攻撃は、異なる部門と異なる国において物理的なOTレベルの影響をもたらす可能性があります。

NIS2は広範な適用範囲、調和された最小限の管理措置、明確なサプライチェーンの責任、経営の個人的責任、共通のインシデント時計でこれに応えています。さらに、EU-CyCLONeおよびCSIRTsネットワークを通じた協力を公式化しており、リヨンでの重要なインシデントがもはや純粋にフランスの問題ではなくなっています。

NIS2の罰金と経営責任

第34条は、最低限満たさねばならない全国法が到達する上限を設定しています：

エンティティのタイプ	最大行政罰金	監督モデル
重要	少なくとも1000万ユーロまたは全世界年間売上高の2％、いずれか高い方	事前：監査、現地検査、セキュリティスキャン
重要な	少なくとも700万ユーロまたは全世界年間売上高の1.4％、いずれか高い方	事後：証拠またはインシデントによって引き起こされる

売上高の基準は、現地の子会社ではなく、全体の組織であるため、グループレベルのCFOは今やNIS2の概要に目を通しています。

お金は露出の一部に過ぎません。重要なエンティティについては、第32条は、当局が認証や許可を一時停止し、CEOまたは法定代理人を管理上の機能から改善されるまで一時的に排除することを許可しています。当局はまた、エンティティに対して非準拠を公に開示するよう命じることもできます。

実際には、規制当局は証拠を探します。いつインシデントを検出したのか、どのログを調査したのか、24時間と72時間の結論に至った経緯を示すことができる組織は、事後にタイムラインを再構築する組織よりもはるかに有利です。文書化され、再現可能なログ分析は、これらの罰金の上限に対抗する最も安価な保険です。

NIS2対DORA: どちらが適用されるか？

NIS2指令の要約：批判的な18のセクターに対する横断的なサイバーセキュリティルール、国内で転写されています。DORA、デジタル運用レジリエンス法（規則 (EU) 2022/2554）は、この両方のカウントで反対です。銀行、保険会社、投資会社、支払い機関、暗号資産サービスプロバイダーおよびその重要なICT第三者プロバイダーを特定しており、規則としてそれは2025年1月17日からすべての加盟国で直接適用されています。

2つはNIS2の第4条を介して接続されています。特定のセクター毎のEUの法律がNIS2と同等以上の要求を課す場合、その法律が優先されます。DORAは金融機関のための特別法であり、したがって銀行はNIS2バージョンよりもDORAのICTリスク、テスト、報告ルールに従います。

	NIS2	DORA
法的形式	指令、国内での転写	規則、直接適用
範囲	18セクター、重要および重要なエンティティ	金融機関および重要なICTプロバイダー
初期報告	24時間以内の初期警告	重大インシデントとして分類された後4時間以内の初期通知、検出後24時間以内
テスト	有効性評価	脅威主導のペネトレーションテスト（TLPT）

重複はベンダーにとって重要です。管理されたSOCやクラウドプロバイダーはNIS2の下で重要なエンティティであり、同時にDORA下の契約上のICTプロバイダーであり、2つのセットのログ証拠要求に直面しています。

NIS2対GDPR: サービスの継続性がデータ保護に向き合う

GDPRは人々の個人データを保護します。NIS2は社会が依存するサービスの継続性を保護します。この違いはレポートを引き起こすものに現れます：GDPRの下では、それは個人にリスクを引き起こす可能性がある個人データの違反であり、72時間以内にデータ保護当局に報告されます。NIS2の下では、それはサービス提供に影響を与える重大なインシデントであり、個人データが何も関与しなかったとしても、24時間以内にCSIRTまたは適切な当局に報告されます。

病院へのランサムウェア攻撃は通常、両方を引き起こします。NIS2の第35条は、インシデントが個人データの違反を含む可能性がある場合、サイバーセキュリティ当局がデータ保護当局に通知することを要求し、同じ行為の二重罰を防ぎます。GDPRの上限は、2000万ユーロまたは世界売上高の4％で、依然として高いままです。

SOCチームにとっての摩擦点はログそのものです。セキュリティテレメトリは個人データでいっぱいです：ユーザー名、IPアドレス、メールヘッダー、名前の付いた従業員に結び付けられたホスト名。NIS2の期限を満たすために、生ログを外部アナリスト、MSSP、またはAIサービスに送信することは、データの最小化や転送についてのGDPRの問題を引き起こす可能性があります。ログが組織を離れる前に識別子を偽名化しながら、キーを内部に保つことで、両方の規制を同時に満たすことができます。

NIS2が影響を与える組織

NIS2は、サイズ基準のルールを使用しています：50人以上の従業員または年間売上高が1000万ユーロを超える中規模および大規模の組織、18のセクターで運営している組織。

• 付録I、高い批判性のセクター(11): エネルギー、輸送、銀行、金融市場インフラ、健康、飲料水、廃水、デジタルインフラ、B2B ICTサービス管理、公共行政、宇宙。
• 付録II、他の批判的セクター(7): 郵便および宅配サービス、廃棄物管理、化学、食品生産および流通、製造（医療機器、電子機器、電気機器、機械、自動車およびその他の輸送機器）、デジタルプロバイダー、研究。

付録Iの大規模なエンティティは、従業員が250人以上、または5000万ユーロ以上の売上高がある場合、通常は重要です。残りのほとんどは重要です。サイズに関係なくカバーされるプロバイダーもいくつかあります。DNSサービスプロバイダー、TLDレジストリ、信頼サービスプロバイダー、公共電子通信ネットワークが含まれます。また、加盟国は、批判的サービスの唯一の提供者である小規模なエンティティを指定することができます。

実際の影響範囲はさらに広がります。第21条ではサプライチェーンの安全性を義務としているため、対象のエンティティは契約上の安全要件をサプライヤーに押し付けます。ドイツの自動車メーカーに仕える30人のファームウェア統合業者や、スーパーマーケットチェーンに仕える冷蔵メンテナンスの契約業者などは、規制機関が求めるはるか前に、監査アンケートを通じてNIS2の影響を感じるでしょう。

LogTotalとOTログ: エンジンとエコシステム

LogTotalは、SOC Primeが2026年10月15日に一般リリースしたインシデントタイム版のログ問題に対応するために構築されています。ログセットを選択し、オープンソースの @socprime/logtotal-sanitizer がブラウザー内で資格情報、IPアドレス、ホスト名、ユーザー名を安定したHMACトークンに置き換わり、トークン化されたイベントのみがアップロードされます。通常のハードウェアで1.7百万イベントを1分未満で処理し、分析後は何も保存されず、組織は内部でトークンをマップするキーを保持します。

エンジン自体は形式に依存しません。EVTX、CEF、JSON/NDJSON、およびsyslogを自動検出するため、テキストとして表現できるものは何でも調査できます：産業PCのsyslog、SCADAヒストリアンとHMIイベント、エンジニアリングワークステーションログ、またはModbusおよびBACnetトラフィックは、それがテキストレコードにデコードされた後です。

国別マッピング: NIS2とLogTotalの10市場における使用ケース

NIS2はEUの法律ですが、その影響はサプライヤー、隣接国、ヨーロッパ市場にサービスを提供する候補国にまで及びます。以下のすべての10市場に共通する点は、報告クロックが時間単位で測定されることであり、これが迅速でプライバシーを保護するログトリアージが実用的な必需品ではなく、持っているとよい物ではない理由です。ステータスは2026年10月を反映しています。

国	規制状況	LogTotalが適合する場所
イタリア	D.Lgs. 138/2024が2024年10月16日から施行されています。CSIRTイタリアへのインシデント通知は2026年1月15日から生きており、ACNの基本的な安全対策は2026年10月31日までに施行される予定です。	中型の食品およびエネルギー企業は24/7 SOCを運営することがめったにありません。LogTotalはSIEM統合プロジェクトなしで24時間の事前通知をサポートするための同日トリアージを提供します。
フランス	Loi Résilienceはまだ未決であり、Assemblée nationaleは10月7日と9日の本会議から引き下げました。ANSSIのReCyFフレームワークとMonEspaceNIS2の事前登録はすでに生きています。	CERTFRアラートCERTFR-2026-ALE-012が発表された後、小売業者と冷蔵請負業者はVPN、ジャンプホスト、ファイアウォールのログを相関させて、コントローラ管理インターフェースに到達したのが誰か、どこからなのかを特定できます。
ドイツ	NIS2UmsuCG、BSIGへの修正は2025年12月6日から施行されています。BSIへの登録は2026年3月6日までが期限でした。	自動車および機械工場はエンジニアリングワークステーションからの巨大なEVTXボリュームを生成します。1.7百イベントを1分未満で処理することで、国境を越えたサプライヤー調査を進めることができます。
ウクライナ	法律4336-IXは2025年4月20日から施行され、SSSCIPの監督のもと、NIS2に国内の枠組みと整合しています。CISO義務付けられています。	戦時体制下のリソース制約の中で、LogTotalは通常のハードウェアで動作し、サニタイザCLIはエネルギーおよび農業オペレーターのためにエアギャップ環境で動作します。
イギリス	NIS規則2018はまだ適用されています；サイバーセキュリティとレジリエンス法案は2026年6月10日にコモンズを通過し、現在は上院で審議されています。	EUの顧客にサービスを提供する英国の物流会社およびMSPは、契約によってNIS2のサプライチェーンクロースに直面しています。LogTotalはクロスチャネル物流データが改ざんされていないことを迅速に共有可能な証拠として提供します。
スペイン	まだ置換法なし；王令43/2021 (NIS1) はまだ有効であり、委員会は2026年7月8日にスペインをCJEUに付託しました。	Sekoiaはスペインを冷蔵攻撃に襲われた国の一つとして報告しました。コールドチェーンオペレーターは今、生ネットワークエクスポートで24時間ワークフローのリハーサルを行うことができます。
オランダ	Cyberbeveiligingswetは2026年8月15日から施行され、NCSC-NLおよびRDIの監督下にあります。	ロッテルダムおよびアムステルダムのターミナルオペレーターは、港湾側OT侵入パターンに対してゲートオートメーションおよびコンテナ追跡システムからのsyslogを監査することができます。
ベルギー	2024年4月26日のNIS2法は2024年10月18日から施行されており、CyberFundamentalsを基準フレームワークとしてCCBが監督しています。	HMACトークン化は、ログがCERT.beまたは外部IR会社に行く前に識別子を除去し、組織は再識別キーを保持します。
ポーランド	修正されたKSC法は2026年4月3日から施行されており、自己登録は2026年10月3日に終了しました。	輸送および防衛に関連するオペレーターは、ルーチンのスキャンを国家規模の計略から分離する必要があります。ATT&CKにマッピングされたランク付けされた攻撃チェーンは、そのトリアージを迅速に行います。
スイス	EUではないが、重要なインフラは2025年4月1日からNCSCにサイバー攻撃を24時間以内に報告しなければならず、2025年10月1日からは最大CHF 100,000の罰金が科されます。	ヨーロッパのネットワークと同期された送電網のオペレーターは、送電および変電所のログについてフォーマットに依存しないチェックを、14日間のフォローアップレポートの前に実行できます。