NIS指令とは、ネットワークおよび情報システム指令（Network and Information Systems Directive）の略で2016年7月6日に成立、同年7月19日に公布され、公布日から20日後の8月8日に施行されました。加盟国には、2018年5月9日までに指令を国内法制化することを義務付けています。背景には、欧州域内ではネットワーク・情報システムが相互に接続されているにも関わらず、リスク対策やインシデントの対処能力については各国の差が大きいという問題があったからです。そこで、EUのネットワーク・情報システムの安全水準向上を掲げて、NIS指令は発行されました。

NIS指令には大きく下記3つの目的があります。（^※１）

1. 各国にCSIRT（Computer Security Incident Response Team）を設置し、国家戦略および国内協力計画を策定することで全ての加盟国が最低限の対処能力を整備
2. 情報共有やインシデントの発見・対応に関する各国の管轄官庁間の協力ネットワークの構築
3. リスク管理手続きおよび重大インシデントの届出義務を既存の法令でカバーされない重要インフラ事業者にも適用すること

法律の構成は下記の通りです。

（出典：※1を基にニュートン・コンサルティングが作成）

目的の3.で掲げた重要インフラ事業者としてNIS指令が規定しているのが、基幹サービス運営者（OES：Operator of Essential Services）とデジタルサービス提供者（DSP：Digital Service Provider）です。基幹サービス運営者に対するセキュリティ対策要求はこれまでも他法律でありましたが、クラウドのようなデジタルサービス提供者にもセキュリティ対策を要求していることがNIS指令のポイントとなります。その具体的な対象者は表2の通りです。（^※2）

次に、基幹サービス運営者（OES）およびデジタルサービス運営者（DSP）には、具体的に何が求められるのか、要求事項を下記整理しました。

留意点として、NIS指令は最低限すべきことを記載した「Directive：指令」止まりということです。NIS指令の目標・目的を達成するために、各国はセキュリティに関する法令を制定するよう求められ、実際の法令制定および運用や強制力は各国の当局に委ねられています。もしデータを漏洩した企業は、下記のような十分なサイバーセキュリティ対策をしていなかった場合、GDPR程高額ではないものの、最高で1700万ポンド（約26億円）の罰金が科されます。（^※３）

要求事項は、主に最新の安全管理措置を実施する義務及びEU内で提供されているサービスへの重要な影響を与えるインシデントの通知義務が課されています。GDPRに比べてNIS指令は、個人データ関係の違反行為に加えてセキュリティやサービスの提供に影響があるインシデントに関する要求事項に含まれます。（^※４）特に真新しい内容ではありませんが、ここでのポイントも今まで遵守対象に含まれていなかったデジタルサービス提供者が対象になっていることがポイントです。
 

NIS指令について紹介してきましたが、自組織がそもそもNIS指令の遵守対象なのか、どこでそのサービスを提供しているのか、加盟国各国における同指令に基づく法律の制定状況を調査し、何をすべきか対応策を練る必要があります。もし、制定されていない場合でも、NIS指令に基づいて国内法がいつ変わり、発行されるのか注視し続けることが必要です。例えばGDPR施行の際、事前準備していた組織がある一方、施行後に着手して対応が後れた事例も往々にしてありました。　NIS指令に限ったことではありませんが、基幹サービス運営者だけでなく、データサービス提供者もセキュリティを高めることが重要です。具体的には、サイバー攻撃者よりも「最新」の情報を入手し、ベストプラクティスを参考にルールの改善や策定を進め、文書化されたプロセスを本当に現場で実施しているのかを確認することが必要でしょう。