EU NIS 2指令：InHand Networksがコンプライアンスとセキュリティ維持をどのように支援するか
ブログ
主なポイント
EU NIS 2 指令: InHand Networks がコンプライアンスとセキュリティの維持をどのようにサポートするか InHand Networks では、NIS 2 を単なる規制ではなく、より強力なデジタル ヨーロッパへのロードマップと捉えています。 リーダーシップの説明責任 (第 2 条) 包括的なサイバーセキュリティ対策 (第 3 条) インシデント報告 (第 4 条)
InHand Networksでは、NIS 2を単なる規制ではなく、より強固なデジタルヨーロッパへのロードマップと捉えています。設計段階からセキュリティを重視した製品ポートフォリオ、世界的に認められた認証、そして透明性の高い製品セキュリティアドバイザリープログラムを通じて、サイバーセキュリティが後付けではなく、当然の前提となる未来に向けて、お客様を支援しています。
NIS 2 入門
NIS 2指令は、EUのサイバーセキュリティにおけるパラダイムシフトを示すものであり、自主的なガイドラインを、加盟国全体で高い共通の回復力レベルを確保するための、義務的なリスクベースの枠組みに置き換えるものである。
この指令は、組織を重要事業体または不可欠な事業体として分類することで、セクターの重要度に基づいた、個別の厳格なサイバーセキュリティリスク管理および報告要件を義務付けています。これにより、エネルギー、医療、デジタルインフラ、公共行政など、重要なサービスが安全かつ円滑に運営され、社会経済への混乱を最小限に抑えることができます。
企業にとって、この指令は単なる法令遵守義務にとどまらず、回復力を強化し、リスクを軽減し、より信頼できるサプライチェーンを構築する機会となる。
遵守義務者：必須事業体と重要事業体
NIS 2指令は、対象範囲をより広範なセクターや組織に拡大し、規模、セクター、重要度に基づいて、それらを「必須」および「重要」な組織に分類する。
両グループとも同じ基本的なサイバーセキュリティ要件を満たす必要があるが、監督と執行のレベルは異なる。
この規則は一般的に、EU勧告で定義されている中規模および大規模企業（通常、従業員50人以上、売上高1,000万ユーロ以上、または貸借対照表総額1,000万ユーロ以上）に適用されますが、特定の事業体は「規模に関係なく」含まれます（例：トップレベルドメインレジストリ、DNSサービスプロバイダー、公共電子通信ネットワークプロバイダー）。
説明 サイズ基準:
- 大きい 従業員数：250名以上 または （売上高 > 5,000万ユーロ） そして 貸借対照表 > 4300万ユーロ）
- 中くらい 従業員数50～249人 そして （売上高≦5,000万ユーロ） そして 貸借対照表（4300万ユーロ以下）
組織にとってのNIS 2コンプライアンスの課題
NIS 2指令は、EU全域におけるサイバーセキュリティ義務の範囲、規模、厳格さを根本的に拡大することで、重大なコンプライアンス上の課題を提起しています。組織は現在、多面的な課題に直面しています。
NIS 2の主な要件
1. 指導者の責任（第20条、第32条(5)）
- サイバーセキュリティは今や トップマネジメントの責任 ―経営幹部はリスク管理措置を承認し、監督しなければならない。
- 経営陣と従業員の両方が受け取る必要がある 定期的なサイバーセキュリティ研修.
- 注意：経営陣は直面する可能性がある 個人賠償責任重要な事業体はリスクにさらされる 一時的な禁止措置 重大な失敗が発生した場合のリーダー向け。
2. 包括的なサイバーセキュリティ対策（第21条）
組織は、以下の完全なセットを採用しなければならない。 技術的、運用上、組織的な安全対策.
これには以下が含まれます。
- リスク分析と情報システムセキュリティポリシー。
- インシデント対応。
- 事業継続性（バックアップ管理、災害復旧、危機管理を含む）。
- サプライチェーンのセキュリティ、およびサプライヤーとの関係におけるセキュリティ関連の側面を含む。
- ネットワークおよび情報システムの取得、開発、保守におけるセキュリティ。脆弱性の処理および開示を含む。
- サイバーセキュリティ対策の有効性を評価するための方針および手順。
- 基本的なサイバー衛生対策とサイバーセキュリティ研修。
- 暗号化に関する方針および手順、ならびに必要に応じて暗号化。
- 人事セキュリティ、資産管理、およびアクセス制御。
- 多要素認証（または継続的認証）、安全な音声・ビデオ・テキスト通信、および安全な緊急通信システムの利用。
（これは、組織全体およびエコシステム全体にわたって「多層防御」を構築することだと考えてください。）
3．事件報告（第23条）
組織は従わなければならない 3段階の報告プロセス:
- 24時間以内に： 送信 早期警戒 事件が悪意のあるもの、または国境を越えたものである可能性がある場合は、CSIRT/当局に報告する。
- 72時間以内： 提供する 詳細なインシデント通知 初回評価から始めます。
- 1ヶ月以内： 届ける 最終報告書 根本原因、影響、および緩和策を含めて。
（カウントダウンは、事件を認識した時点から開始されます。分析が完了した時点ではありません。）
4．監督及び執行（第31条～第36条）
- 必須エンティティ
- 監督： 積極的 → 監査、検査、技術スキャン、セキュリティ評価（第32条）。
- 罰則（第34条）： まで 世界売上高1,000万ユーロまたは21兆3,000億ユーロ （いずれか高い方）
- 追加措置（第32条第4項）：
- 経営幹部（例：CEO、法定代理人）による経営管理業務の遂行を一時的に禁止する。
- 認可または認証の停止。
- 拘束力のある遵守命令。
- 公の場で名前を晒すこと（名指しで非難すること）。
- 経営幹部（例：CEO、法定代理人）による経営管理業務の遂行を一時的に禁止する。
- 監督： 積極的 → 監査、検査、技術スキャン、セキュリティ評価（第32条）。
- 重要な組織
- 監督： 反応型（事後） → 違反行為または違反の証拠によって発動される（第33条）。
- 罰則（第34条）： まで 700万ユーロ、または世界売上高1兆4100億米ドル （いずれか高い方）
- 是正措置： 製本に関する指示と注文。
- 監督： 反応型（事後） → 違反行為または違反の証拠によって発動される（第33条）。
InHand NetworksがNIS 2準拠をサポートする方法
NIS 2指令は、ガバナンス、リスク管理、およびレジリエンスに関して高い期待を掲げています。InHand Networksでは、組織がコンプライアンス要件を満たすだけでなく、持続的なサイバーレジリエンスを構築できるよう支援します。 セキュリティ設計アプローチ, 国際認証、 そして 透明性の高い製品セキュリティ対策 NIS 2に基づく重要かつ不可欠な組織にとって信頼できるパートナーとなる。
1. ガバナンスと説明責任（第20条）
- ISO/IEC 27001認証 これは、体系的な情報セキュリティ管理に対する当社の取り組みを示すものです。
2. サイバーセキュリティリスク管理措置（第21条）
- IEC 62443-4-1認証取得済みのセキュアな開発ライフサイクルInHandのすべての製品は、セキュリティを最優先事項として設計、テスト、保守されていることを保証します。
- IEC 62443-4-2認証取得済みの産業用ルーターおよびIoTエッジゲートウェイエネルギー、輸送、医療などの重要インフラにおける安全な接続のための、信頼性の高い構成要素を提供する。
- EN 18031認証: サイバー攻撃に対する耐性を高めるため、当社製品の堅牢性テストを強化します。
これらの認証は、NIS 2で義務付けられている技術的および組織的な措置を直接的に支援するものです。
3. インシデント対応と脆弱性の開示（第21条および第23条）
- InHand Networksは専用の 製品セキュリティインシデント対応チーム（PSIRT） そして 協調的脆弱性開示（CVD）プロセス.
- 弊社を通じて 製品セキュリティアドバイザリ（PSA） [リンク]により、顧客はタイムリーなアップデート、パッチ、および緩和策に関するガイダンスを受け取ることができ、NIS 2のインシデント対応および脆弱性処理の義務を遵守するのに役立ちます。
4. サプライチェーンセキュリティ（第21条第2項(d)）
- 選択することで NIS 2規格に準拠した国際認証製品組織は、自社のサプライチェーンセキュリティ体制を強化することができる。
- 当社の厳格な開発およびテストプロセスは、サードパーティの依存関係を通じて伝播するリスクを低減します。これは、NIS 2 の下で重要な側面です。
5．監督および執行準備（第31条～第36条）
- InHandソリューションを導入する顧客は、以下のメリットを享受できます。 検証可能で、標準規格に準拠したセキュリティ証拠監査および検査の支援。
- 当社が準拠している規格（ISO 27001、IEC 62443、EN 18031）は、規制当局への適合性を証明するために必要な文書を提供します。
InHand Securityの卓越性を支える4つの柱
NIS 2指令の厳しい要件を満たすには、個別の技術的修正以上のものが必要であり、 包括的かつ持続可能な安全保障の枠組みだからこそ、InHand Networksは セキュリティにおける卓越性の4つの柱これは、ガバナンス、製品の完全性、認証、および運用上の回復力を統合した包括的なモデルであり、統一的なアプローチを採用しています。
世界的に認められた基準に基づいて構築されています。 ISO/IEC 27001 そして IEC 624434つの柱は、安全な開発手法、堅牢な製品エンジニアリング、透明性のある脆弱性管理への長年の投資を反映しています。これらはセキュリティが 単なる機能ではなく、基盤 製品ライフサイクルのあらゆる段階において。
NIS 2 準拠の準備をしている組織にとって、4 つの柱は指令の法的および規制上の要件を 実用的で検証可能な措置各柱は、リーダーシップの責任や安全な製品開発から、インシデント対応やサプライチェーンの保証に至るまで、NIS 2の中核的な義務に直接対応しています。
4つの柱が一体となって、 コンプライアンスとレジリエンスの架け橋組織が規制当局への適合性を実証できるよう支援するとともに、進化し続けるサイバー脅威の状況に対応するための、より強力で信頼性の高いシステムの構築を支援します。
1. 安全な開発
- 構築 IEC 62443-4-1（実践レベル） 安全な開発ライフサイクル手法。
- 明確に定義され、一貫して適用され、プロジェクト全体で繰り返し使用される。
- 埋め込み 設計段階からのセキュリティ、デフォルト設定でのセキュリティ、そして多層防御 エンジニアリングのあらゆる段階に。
- 連続 脅威モデリング、コードレビュー、侵入テスト リリース前に脆弱性を最小限に抑えるため。
2. 安全な製品
- IEC 62443-4-2認証取得済み 重要なOT/IT環境向けの産業用ルーターおよびIoTエッジゲートウェイ。
- EN 18031認証取得済み 堅牢性を確保するため、高度なサイバー攻撃に対するテストを実施済み。
- 信頼できるパフォーマンス エネルギー、運輸、医療、製造、デジタルインフラストラクチャ分野.
3. 認証の安全性
世界的に認められた認証を提供し、 コンプライアンス保証 :
- ISO 27001 －情報セキュリティマネジメントシステム（ISMS）
- IEC 62443-4-1（実践レベル） – 安全な開発ライフサイクルの成熟度。
- IEC 62443-4-2 －産業製品のサイバーセキュリティ。
- EN 18031 ―無線機器に関する共通セキュリティ要件
これらの認証を合わせると、 InHandは、情報および製品セキュリティに関する最高水準の国際基準を遵守しています。.
また、これらの取り組みは、当社のソリューションが厳格なセキュリティおよび品質基準を満たしているという確信を顧客や調達チームに与えるものでもあります。
4. 安全な運用
- ひたむきな PSIRT（製品セキュリティインシデント対応チーム） 脆弱性への対応のため。
- 設立 協調的脆弱性開示（CVD） プロセス。
- 透明 製品セキュリティアドバイザリ（PSA）ポータル: 公共広告を見る.
- ISMSの実践ISO 27001に基づく継続的な監視、リスク評価、および方針の実施。
- 継続中 ライフサイクルサポートとセキュリティメンテナンス 進化し続ける脅威に対して、顧客が常に一歩先を行くようにするため。
結論：コンプライアンスをサイバーレジリエンスに転換する
NIS 2指令はサイバーセキュリティガバナンスの基準を引き上げ、欧州全域の組織に対し、法令遵守だけでなく、進化する脅威に耐え、そこから復旧する能力も実証することを求めている。重要事業体も重要事業体も、経営陣の責任から製品の完全性、サプライチェーンのセキュリティ、インシデントへの備えに至るまで、あらゆるレベルでサイバーセキュリティが組み込まれていることを証明しなければならない。
InHand Networksでは、準拠製品を提供するだけでなく、 回復力のための確固たる基盤国際的に認められた認証、透明性の高い脆弱性管理プロセス、そして重要分野で信頼されている設計段階からのセキュリティ対策ポートフォリオにより、当社は組織がNIS 2環境を自信を持って乗り越えられるよう支援します。
InHand Networksと提携することで、コンプライアンス以上のメリットが得られます。
- リスク軽減 — 設計段階からセキュリティを考慮したエンジニアリングと、国際的に認証された製品を通じて。
- 規制当局の信頼 —検証可能で、基準に裏付けられた証拠が、NIS 2の義務に直接対応している。
- 事業継続性 ―当社のモデルには、堅牢な運用、ライフサイクルサポート、およびインシデント対応能力が組み込まれています。
コンプライアンスからレジリエンスまで、InHand NetworksはNIS 2への対応準備における信頼できるパートナーです。
