NIS2 解説：ヨーロッパ全域における要件、期限、LogTotalのユースケース

NIS2とは何か？

NIS2は指令 (EU) 2022/2555 であり、エネルギー網、水システム、病院、物流チェーン、食品供給、デジタルインフラを維持する組織に対するEUの基本サイバーセキュリティ法です。これは（EU）2016/1148の元のNIS指令を置き換え、従来のセクタごとのルールを、共通の義務、共通の報告期限、実際の執行権限を持つ単一のフレームワークに統合しました。

では、セキュリティチームにとってNIS2が実際に何を意味するのか？ 3つのことです。まず、対象範囲を規模の基準と2つのセクター別付録により定義し、カバーされる組織を重要なエンティティとそれほど重要ではないエンティティに分けます。次に、リスク管理コントロールの最小セットを第21条で規定しており、事故対応からサプライチェーンセキュリティー、暗号化までを含みます。第三に、第23条では段階的なインシデント通知プロセスを義務付けており、重要なインシデントを認識してから24時間以内に国家のCSIRTまたは所轄当局に最初の信号を送ることになっています。

NIS2は規制ではなく指令であるため、各加盟国は独自の国内法を作成します。基本的な義務は共通していますが、登録ポータル、監督当局、報告書形式はローマからワルシャワまで異なるため、国レベルでの視点が重要です。

LogTotalを無料で試す

NIS2のリリース日とコンプライアンスへの道のり

この指令は2022年12月27日に官報で発行され、2023年1月16日に発効しました。加盟国は2024年10月17日までにこれを組み込む必要があり、2024年10月18日から国内措置が適用されます。時間内に法律を施行したのは、イタリアやベルギーなどほんの一握りの国だけでした。

委員会は2024年11月に正式な通知を行い、2025年5月に理に基づく意見を提出し、2026年7月8日に最後の遅滞国についてEU司法裁判所に付託しました。同 nisd2.eu態勢移行追跡によれば、2026年10月16日の時点で27の加盟国のうち24ヶ国では国内法が施行されています。フランス、アイルランド、スペインにはまだありません。

NIS2のコンプライアンスにおける教訓は、時間は欧州ではなく国家レベルで進行するということです。ドイツのBSIGの修正規則は2025年12月6日から適用され、ポーランドの修正KSC法は2026年4月3日から、オランダのCyberbeveiligingswetは2026年8月15日から、オーストリアのNISG 2026は2026年10月1日から適用されます。それぞれが独自の登録期間を持ち、ある国でのコンプライアンスが完了しているのに、別の国では遅れているということもありえます。

NIS2指令が要求するもの

NIS2指令は、義務をガバナンス、技術的コントロール、報告の3つに分類しています。

ガバナンスは第20条にあります。管理機関は、サイバーセキュリティのリスク管理対策を承認し、その実施を監督し、定期的なトレーニングを完了する必要があります。アカウンタビリティはCISOで終わることはありません。

技術的コントロールは第21条第2項に記載されており、リスク分析と情報システムセキュリティポリシー、インシデントハンドリング、業務継続、バックアップと危機管理、サプライチェーンセキュリティ、安全な調達、開発と保守、脆弱性処理を含む最低限の10の手段が列挙されています。デジタルインフラおよびICTサービスプロバイダー向けに、規制 (EU) 2024/2690がこれを詳細に示し、監視やログ要件を明確に規定しています。

報告は第23条に記載されており、SOCsチームが直面するプレッシャーの原因です：

• 24時間： 初期警告、インシデントが悪意あるものであるかまたは国境を越える影響を持つものと疑われるかを含む
• 72時間： 重大度と影響の初期評価を含むインシデントの通知および利用可能な侵入インジケーター
• 1か月： 原因の究明、緩和策、国境を越える影響を含む最終報告

24時間の初期警戒は、チームが実際に数時間でログを読み取ることができる場合にのみ信頼性があります。

EUがNIS1をNIS2に置き換えた理由

NIS1は一貫性に欠けていました。各加盟国がどの企業を重要サービスの事業者と見なすかを独自に決定していたため、隣国の同じ規模の病院2つが完全に異なる義務に直面する可能性がありました。罰金は少なく、ほとんど適用されず、インシデント報告の基準は大きく異なり、国境を越えた状況認識はほとんど存在しませんでした。

脅威の状況は法律よりも早く変化しました。委員会の2020年12月の提案から最終文までの間に、ヨーロッパは病院ITをダウンさせるランサムウェア、数千の下流顧客に到達するSolarWindsとKaseyaのサプライチェーンの妥協、そして2022年2月のViasatのKA-SATネットワークへの攻撃は、約5800台のドイツのEnercon風力タービンのリモートモニタリングを停止させました。その最後のケースは非常に明確なポイントを示しました: ITサービスプロバイダーへの攻撃が、異なるセクターや異なる国で物理的、OTレベルの結果を生む可能性があります。

NIS2は、範囲を広げ、最低限必要なコントロールを統一し、サプライチェーンの義務を明示し、管理者の個人としてのアカウンタビリティを実現し、共通のインシデントクロックを提供することで応じます。また、EU-CyCLONeとCSIRTsネットワークを通じた協力を公式化し、リヨンでの重大なインシデントはもはや純粋なフランスの問題ではなくなります。

NIS2の罰金と管理責任

第34条に基づき、国内法が最低でも到達しなければならない上限を設定しています：

エンティティタイプ	最大の行政罰金	監督モデル
重要	少なくとも1000万ユーロまたは全世界の年間総売上高の2％のいずれか高い方	予防策：監査、現場検査、セキュリティスキャン
重要でない	少なくとも700万ユーロまたは全世界の年間総売上高の1.4％のいずれか高い方	事後策：証拠またはインシデントをトリガーに

売上高の基準は地元の子会社ではなく、単一事業体全体であり、そのためグループレベルのCFOが今ではNIS2ブリーフィングを読むのです。

資金は露出の一部に過ぎません。重要なエンティティの場合、第32条に基づき、認証または認可を停止し、CEOや法的代理人を不足点が解決されるまで管理機能から一時的に排除する権限があります。さらに、当局はエンティティに対して非コンプライアンスを公に開示するよう命じることもできます。

実際には、規制当局は証拠を求めています。インシデントを検知した時期、調査したログ、その24時間および72時間の結論をどう導き出したかを示せる組織は、事後にタイムラインを再構築する組織よりもはるかに強い立場にあります。文書化された、繰り返し可能なログ分析は、これらの罰金の上限からの最も安価な保険です。

NIS2とDORA：どちらが適用される？

NIS2を一行で要約すると：18の重要セクターに対する水平なサイバーセキュリティ規則であり、各国で転置されます。DORA、デジタル運用強靭性法（規則（EU）2022/2554）はその逆で、銀行、保険、投資会社、支払い機関、暗号資産サービスプロバイダーとその重要なICT第三者プロバイダーを対象としたセクター別規制であり、2025年1月17日からすべての加盟国で直接適用されます。

2つの法律はNIS2の第4条を介して接続します。セクター別のEUの法律がNIS2に少なくとも同等の要件を課す場合、その法律が優先されます。DORAは金融エンティ티のための特別法であり、したがって銀行はNIS2ではなくDORAのICTリスク、テストおよび報告規則に従います。

	NIS2	DORA
法形式	指令、国内転置	規則、直接適用
範囲	18のセクター、重要および特に重要なエンティティ	金融エンティティおよび重要なICTプロバイダー
最初の報告	24時間以内の初期警告	重要と分類されたインシデントについて、24時間以内、4時間以内に初期通知
テスト	効果の評価	重大なエンティティ向け脅威主導の侵入テスト（TLPT）

重複はベンダーにとって重要です。マネージドSOCやクラウドプロバイダーは、同時にNIS2では重要エンティティであり、DORAでは契約上のICTプロバイダーである可能性があり、2つのログの証拠要求に直面します。

NIS2とGDPR：サービスの継続性とデータ保護の交差点

GDPRは個人の個人データを保護します。NIS2は社会が依存するサービスの継続性を守ります。違いは報告を引き起こすものに現れます。GDPRでは、個人にリスクをもたらす可能性が高い個人データ侵害がデータ保護当局に72時間以内に報告されます。NIS2では、24時間以内にCSIRTまたは所轄官庁に報告される、サービス提供に影響を与える重大なインシデントです。そこには個人データが関わっているかどうかに関わらずです。

病院へのランサムウェア攻撃は通常、両方を引き起こします。NIS2の第35条は、インシデントが個人データ侵害を伴う可能性がある場合、サイバーセキュリティ当局がデータ保護当局に知らせることを要求し、同じ行為に対してGDPRの罰金が既に課せられている場合、2重の罰金を防ぎます。GDPRの上限は依然としてより高く、2000万ユーロまたは全世界の売上高の4％です。

SOCsチームの摩擦点はログ自体です。セキュリティの遠隔測定は個人データでいっぱいです：ユーザー名、IPアドレス、メールヘッダー、従業員の名前に関連するホスト名など。NIS2の期限を守るために生データを外部アナリストやMSSP、AIサービスに送ることは、データ最小化や転送に関するGDPRの問題を引き起こす可能性があります。識別子を擬似化してログが組織外に出る前に残し、鍵を内部に維持することで、両方の制度を同時に満たします。

NIS2が影響を与える組織

NIS2はサイズ基準を使用しています：50人以上の従業員または年間売上が1000万ユーロを超える中規模および大規模組織で、18のセクターのいずれかで運営しているものが対象です。

• 付録I、非常に批判的なセクター（11）： エネルギー、運輸、銀行、金融市場インフラ、健康、飲用水、廃水、デジタルインフラ、B2B ICTサービス管理、公共行政、宇宙。
• 付録II、その他の重要セクター（7）： 郵便および宅配便サービス、廃棄物管理、化学、食品生産および流通、製造（医療機器、電子、電気設備、機械、自動車、その他の運送設備）、デジタルプロバイダー、研究。

付録Iの大型エンティティで、従業員が250人以上または売上が5000万ユーロを超えるものは通常重要です。それ以外のほとんどは重要ではないものです。DNSサービスプロバイダー、TLDレジストリ、信頼されたサービスプロバイダー、公衆電子通信ネットワークなど、一部のプロバイダーはサイズに関係なくカバーされ、加盟国が重要サービスの唯一のプロバイダーである小規模なエンティティを指定することがあります。

実際の範囲はさらに広いです。第21条ではサプライチェーンセキュリティが義務とされており、そのため対象組織はサプライヤーに契約上のセキュリティ要件を課すことになります。ドイツの自動車メーカーにサービスを提供する30人のファームウェア統合業者や、スーパーのチェーンにサービスを提供する冷蔵メンテナンス業者は、いずれも規制当局よりも早く監査の質問票に返事することになります。

LogTotalとOTログ：エンジン対エコシステム

LogTotal、SOC Primeが2026年10月15日にパブリックプレビューから一般リリースに移行したものは、インシデントタイム版のログ問題のために構築されています。ログセットを選択し、オープンソース @socprime/logtotal-sanitizer はブラウザー内で資格情報、IPアドレス、ホスト名、ユーザー名を安定したHMACトークンに置き換え、トークン化されたイベントのみがアップロードされます。通常のハードウェアで1分未満で1.7百万イベントを処理し、分析後には何も保存せず、再マップのための鍵は組織が保持します。

エンジン自体はフォーマットに依存しません。EVTX、CEF、JSON/NDJSON、syslogを自動検出するため、テキストとして表現できるものは何でも調査できます：産業用PCのsyslog、SCADAヒストリアンとHMIイベント、エンジニアリングワークステーションのログ、またはテキストレコードにデコードされたModbusおよびBACnetトラフィック。

国別マッピング：10の市場でのNIS2とLogTotalの使用例

NIS2はEU法ですが、その影響はヨーロッパ市場を提供するサプライヤー、近隣国、候補国にまで及びます。以下のすべての10市場に共通するのは、24時間以内に報告が必要で、迅速かつプライバシーを保護するログトリアージが必要不可欠であるということです。ステータスは2026年10月のものです。

国	規制の状況	LogTotalのフィットする場所
イタリア	D.Lgs. 138/2024が2024年10月16日以降施行中。インシデント報告は2026年1月15日よりCSIRTイタリアに行われるようになり、ACNのベースラインセキュリティ対策が2026年10月31日までに要求されます。	中規模の食品およびエネルギー企業は24/7のSOCを運営することが稀です。LogTotalは、それらに24時間の事前通知をサポートするための同日トリアージを提供し、SIEMの統合プロジェクトなしでます。
フランス	Loi Résilienceがまだ保留中。国民議会は10月7日と9日の本会議日程から外しました。ANSSIのReCyFフレームワークとMonEspaceNIS2事前登録はすでに実施されています。	CERT-FRの警告CERTFR-2026-ALE-012後、小売業者と冷蔵契約者はVPN、ジャンプホスト、ファイアウォールのログを関連付けて、管理インタフェースに到達した人や場所を追跡することができます。
ドイツ	NIS2UmsuCGが2025年12月6日から施行中。BSIへの登録は2026年3月6日まででした。	自動車および機械工場はエンジニアリングワークステーションから巨大なEVTXボリュームを生成します。1.7百万イベントを1分以内に処理することで、国境を越えたサプライヤーの調査を進めることができます。
ウクライナ	法第4336-IXが2025年4月20日から施行中。SSSCIPの監督のもと、NIS2に合わせた国内枠組みを調整し、CISOの設置を義務付けています。	戦時中の資源制約の下、LogTotalは通常のハードウェア上で実行され、サニタイズCLIはエネルギーおよび農業運営者のために隔離環境で作業します。
イギリス	NIS規則2018が未だ適用中。サイバーセキュリティおよび強靭化法案が2026年6月10日に下院を通過し、上院で審議中。	EUの顧客にサービスを提供するUKの物流企業とMSPは、契約上NIS2のサプライチェーン条項に直面します。LogTotalは、クロスチャネルの物流データが改ざんされていないことを示す迅速で共有可能な証拠を提供します。
スペイン	まだ転置法はありません。王令第43/2021（NIS1）が引き続き有効であり、委員会は2026年7月8日にスペインをCJEUに申し立てました。	セコイアがスペインを冷蔵攻撃を受けた国の一つとして報告しました。コールドチェーンオペレーターは、今すぐ生ネットワークエクスポート上で24時間ワークフローをリハーサルできます。
オランダ	2026年8月15日から施行中のCyberbeveiligingswet、NCSC-NLおよびRDIが監督しています。	ロッテルダムとアムステルダムのターミナルオペレーターは、港側OT侵入パターンに対するゲートオートメーションとコンテナトラッキングシステムのsyslogを監査できます。
ベルギー	2024年4月26日のNIS2法が2024年10月18日から施行中。CCBが監督を行い、CyberFundamentalsが参照フレームワークです。	HMACによるトークン化は、CERT.beまたは外部IR会社にログが送られる前に識別子を削除します。再識別キーは組織が保持します。
ポーランド	2026年4月3日から施行中の修正KSC法。自主登録は2026年10月3日に終了しました。	輸送および防衛に関連するオペレーターは、日常的なスキャンと国家的な戦術を区別する必要があります。ATT&CKにマッピングされた攻撃チェーンのランク付けが、迅速にトリアージを行います。
スイス	EUの一員ではないが、クリティカルインフラは2025年4月1日からNCSCにサイバー攻撃を24時間以内に報告する必要があり、2025年10月1日から最大100,000CHFの罰金が科せられます。	ヨーロッパネットワークと同期しているグリッドオペレーターは、14日間のフォローアップレポートに先立って変電所ログのフォーマットに依存しないチェックを実行できます。