スペインにおけるNIS2指令の実施：状況、義務、課題

Informatec Digital »リソース»スペインにおけるNIS2指令の実施：現状、義務、課題

欧州のNIS2指令は、欧州、特にスペインにおけるサイバーセキュリティの状況を完全に変革しました。これは単なる新たな規制ではなく、企業や行政機関がデジタルリスクを管理し、インシデントを報告し、当局と連携する方法における根本的な変化を意味します。

一方、スペインでは、法制化に向けた作業は着実に進んでいるものの、明らかに遅れている。公式の期限は2024年10月だったが、現在に至るまで、将来のサイバーセキュリティ調整・ガバナンス法は議会審議中である。この状況は、やや特異な事態を生み出している。指令は既に欧州レベルでは拘束力を持つものの、最終的な国内法制度はまだ承認されておらず、多くの組織が、準備と状況評価を行うという倫理的・戦略的な義務と、完全に適用可能な法律の不在との間で板挟みになっている。

NIS2 指令とは何ですか? また、なぜゲームのルールが変わるのですか?

NIS2として知られる指令（EU）2022/2555は、欧州連合全体でネットワークおよび情報システムに対する高い共通レベルのサイバーセキュリティを確立することを目的として、従来のNIS指令に取って代わるものです。その目的は、重要なサービスや社会・経済の正常な機能に影響を与える可能性のあるサイバーインシデントに対する耐性を強化することです。

前身とは異なり、NIS2は影響を受けるセクターと事業体の数を大幅に拡大し、従来の重要インフラ（エネルギー、運輸、水、銀行、医療など）だけでなく、行政、デジタルインフラ、郵便・宅配サービス、廃棄物管理、先端製造業、食品生産・流通といった分野も対象に含めている。

この指令は、リスク管理、ガバナンス、サプライチェーン保護、事業継続性、およびインシデント早期通知に関する措置を含め、EU全体に適用される最低限のサイバーセキュリティ要件の統一的な枠組みを確立するものです。さらに、監視および制裁体制を強化し、上級管理職の責任を明確に増大させています。

もう一つの重要な進展は、加盟国間の協力への明確なコミットメントと、深刻な危機状況において欧州レベルで調整可能な各国のコンピュータセキュリティインシデント対応チーム（CSIRT）の創設または強化です。欧州連合のサイバーセキュリティ機関であるENISAは、このエコシステムにおいて重要な役割を果たし、各国のサイバーセキュリティ戦略の策定を支援し、ベストプラクティスを推進しています。

DORA規制が特別法として優先されるため、金融セクターは基本的にNIS2の適用範囲から除外されている。とはいえ、DORAを推進するデジタル運用レジリエンスの論理は、NIS2の理念と完全に整合している。

スペインにおけるNIS2の移行の現状

NIS2指令は2023年1月16日に発効し、その国内法への移行期限を2024年10月17日と定めた。期限から1年が経過したにもかかわらず、スペインは依然として正式な国内法への組み込みを完了しておらず、遅れている国々のグループに属している。

この遅延の結果、欧州委員会は多数の加盟国に対して侵害訴訟手続きを開始した。2025年5月7日、委員会はスペインを含む19カ国に対し、指令の完全な国内法化を2カ月以内に通知するよう求める理由付き意見書を送付し、必要な措置が講じられない場合は欧州司法裁判所に提訴する可能性があると警告した。

スペインの場合、大きな転換点は2025年1月14日に訪れました。閣僚評議会がサイバーセキュリティ調整・ガバナンス法案を承認したのです。この法律は、NIS2を国内法に移行させ、国家サイバーセキュリティガバナンスモデルを再編成するための基本手段となります。

法案は当初承認された後、2025年1月16日から2月10日まで一般公開され、市民、企業、団体、その他の組織が意見や改善提案を提出できるようにした。その後、省庁間技術作業部会が法案を精査し、ISMSフォーラムなどの専門家コミュニティからの意見を含む、寄せ​​られたフィードバックを考慮して法案をまとめた。

それでも、政治的な勢いがあるにもかかわらず、この法律は依然として議会審議の段階にある。11月頃に閣僚会議に法案として提出され、翌年の1月末か2月までに議会で承認される可能性があるという話もあるが、現実には、2025年末まで、スペインにはNIS2を完全に国内法化する法律がまだ存在しない。

サイバーセキュリティの調整とガバナンスに関する法案

スペイン政府が承認したこの法案は、内務省、国防省、デジタル変革・行政省の共同イニシアチブによるものです。その目的は二つあります。一つはNIS2指令を国内法化すること、もう一つは国家レベルでのサイバーセキュリティの調整とガバナンスを組織化し、重要インフラや基幹サービスに影響を与える可能性のあるサイバー脅威からネットワークと情報システムを保護することです。

将来制定される法律は、エネルギー、運輸、銀行・金融市場インフラ、医療、水管理、デジタルインフラ、テクノロジーサービス、その他の重要セクターなど、様々な分野で事業を展開する公的機関および民間企業に適用される。特に、デジタルエコシステムの安定に戦略的に重要な役割を担うドメイン名登録機関（例えば、Red.esが管理するDominios.esなど）も対象に含まれ、新たなサイバーセキュリティ義務を負うことになる。

概して言えば、この草案はNIS2指令の主要な義務に沿ったものであり、ガバナンスと上級管理職の責任の強化、一般的なセキュリティリスク管理措置、情報セキュリティ責任者の任命、明確なインシデント報告義務という4つの主要な柱を明確に示している。

さらに、スペインの法律は重要な組織的要素、すなわち国家サイバーセキュリティセンター（CNC）の設立を導入している。この機関は、ネットワークおよび情報システムの保護のための調整機関として機能し、さまざまな規制当局（内務省、国防省、デジタル変革省）間の基準を調和させ、コンピュータセキュリティインシデント対応チーム（CSIRT）を促進し、国家サイバーセキュリティエコシステムのより一貫性のあるビジョンを促進する。

パブリックコンサルテーションの段階では、ISMS Forumなどの組織が重要な貢献をしました。情報セキュリティ責任者の役割を強化し、この役職を民間セキュリティ法から分離し、コンプライアンス違反者が公共機関である場合（その性質上、金銭的な罰則を科すことができない）に、具体的な対応メカニズムを確立しました。提案の中には、データ保護に関するLOPDGDD（個人データ保護およびデジタル権利保障に関する組織法）の規定に沿って、公的な警告を発する可能性も含まれています。

NIS2の影響を受けるセクターと事業体の種類

NIS2は、指令の対象となる組織を、主に事業分野と規模（中規模および大規模企業、ただし重要性に基づく例外あり）に基づいて、必要不可欠な組織または重要な組織として分類します。この基準は一般的にEU域内で事業を行う公的機関または民間企業に適用されますが、加盟国がその重要性から小規模組織を必要不可欠な組織または重要な組織と認定した場合、それらも含まれる可能性があります。

重要度の高いセクターはNIS2の付属書Iに記載され、その他の重要セクターは付属書IIに記載されています。スペインでは、旧NISの国内法化が既に12のセクターを含む重要インフラ保護法8/2011に準拠していたため、セクター数の増加は他国に比べてやや小さくなっています。それでも、NIS2には郵便・宅配便サービス、廃棄物管理、いくつかの製造業カテゴリーなどの新しい分野が組み込まれており、飲料水と廃水のように他の分野が分割されています。

様々な分野や組織の例の中でも、特に注目すべきは以下のとおりです。

• エネルギー電力供給会社、輸送および配電ネットワーク管理者、生産者、NEMO オペレーター、電力市場参加者、充電ポイント オペレーター、ガス、石油、水素ネットワーク オペレーターおよびマネージャー。
• 輸送: 航空会社、空港運営者、航空管制、鉄道インフラ管理者、鉄道会社、海上および河川輸送事業者、港湾運営者、船舶交通サービス、道路当局、インテリジェント交通システム運営者。
• 銀行および金融市場インフラ: 信用機関、取引センターの管理者、中央清算機関。DORA は特定のセクター標準として機能するというニュアンスがあります。
• ヘルスケア分野: 医療提供者、EU の基準研究所、医薬品の研究開発機関、基礎医薬品および特殊医薬品の製造業者、公衆衛生上の緊急事態に不可欠な医療機器の製造業者。
• 飲料水と廃水飲料水の供給業者および販売業者、ならびに都市、家庭、産業廃水の収集、廃棄、処理を担当する企業。
• デジタルインフラストラクチャインターネット エクスチェンジ ポイント (IXP) プロバイダー、DNS サービス、トップレベル ドメイン レジストリ、クラウド コンピューティング サービス プロバイダー、データ センター、コンテンツ配信ネットワーク (CDN)、信頼できるサービス プロバイダー、公衆電子通信ネットワーク プロバイダー、および公衆電子通信サービス。
• B2B ICTサービス管理: マネージド サービス プロバイダーおよびマネージド セキュリティ サービス プロバイダーであり、テクノロジ サプライ チェーン全体に直接影響を与えます。
• 行政: 国家行政機関の機関、および場合によっては地域および地方の機関。これらの機関のサービスの中断が重要な社会的活動または経済的活動に重大な影響を及ぼす可能性がある場合。
• 郵便および宅配便サービス: 郵便物の収集、仕分け、輸送、配送を行うサプライヤー。
• Gestiónderesiduos: 埋め立てを含む廃棄物の収集、輸送、回収、処分を専門とする企業。
• ケミカル化学物質および混合物を製造、生産、販売し、またそれらから製品を生産する企業。
• 食品の生産、加工、流通: 卸売り流通と大規模な工業生産および加工に特化した食品会社。
• 高度な製造業: 健康製品および体外診断用医薬品の製造業者、コンピューター、電子および光学製品、電気機器、機械および装置、自動車およびその他の輸送機器の製造業者。
• 宇宙部門: 宇宙サービスの提供をサポートする地上インフラの運営者。ただし、その所有権または管理が EU または宇宙計画の枠組み内の第三者に該当する者を除く。

これらのすべての分野において、大企業は一般的に「必要不可欠」と分類され、中規模企業は特に指定がない限り「重要」と分類される傾向がある。小規模企業や零細企業は、その規模ゆえに通常は除外されるが、その重要性が認められる場合には含められることもある。

ガバナンスと上級管理職の責任

NIS2とスペインの法案草案における最も重要な変化の一つは、サイバーセキュリティのガバナンスと統治機関の直接的な責任を重視している点である。法案草案の第14条はこの考え方をさらに強化しており、サイバーセキュリティはもはや純粋に技術的な問題ではなく、最高レベルの戦略的課題であるとしている。

経営陣は、サイバーセキュリティリスク管理措置の実施を承認・監督し、それらが組織の状況および特定されたリスクに見合ったものであることを確認しなければならない。さらに、統治機関は、強化された制裁措置に関連するあらゆる不遵守について最終的な責任を負うことになる。

もう一つの重要なポイントは、管理職向けの定期的なサイバーセキュリティ研修です。単に権限を委譲するだけでは不十分です。リーダーは、リスクを理解し、情報に基づいた意思決定を行い、組織全体に強力なセキュリティ文化を浸透させるための研修を受ける必要があります。そして、リーダーは他の従業員向けの定期的な研修プログラムを推進する責任を負います。

NIS2の第20条は、統治機関が自らの義務を認識し、措置を承認し、その実施を確実にし、極端な状況では個人的な影響（特定のケースでの機能の分離など）を伴っても対応できることを明示的に要求することにより、この見解を強化しています。

このような状況において、経営陣と情報セキュリティ責任者（CISOまたは同等の役職者）との関係は極めて重要となる。客観的なリスクおよびコンプライアンス基準に基づいた、円滑かつ継続的な対話が求められる。

NIS2で求められるリスク管理措置

スペインの法案第15条では、サイバーセキュリティリスク管理措置は、国内、欧州、および国際的な技術標準に基づいている必要があり、少なくともNIS2第21条に規定され、実施規則(EU)2024/2690で策定された要件を統合する必要があると規定している。

必要不可欠な重要機関が実施しなければならない措置の中で、特に注目すべきは以下の点である。

• セキュリティポリシーとリスク分析 情報システムの定期的なレビューを実施します。
• 事故管理明確な検出、対応、回復の手順が含まれます。
• 事業継続性、バックアップ、災害復旧、危機管理運用の回復力を確保する。
• サプライチェーンのセキュリティ サプライヤーや直接のサービス提供者との関係についても、契約上の要件や承認および監査管理の導入が含まれます。
• 脆弱性管理 パッチやアップデートを含む、ネットワークおよび情報システムの取得、開発、保守。
• サイバーセキュリティ対策の有効性を評価するための方針監査、指標、定期的なレビューを通じて。
• 基本的なサイバー衛生の実践とトレーニング 従業員のさまざまなプロフィールに合わせて調整されます。
• 暗号化と暗号化ポリシー 情報の機密性と完全性を保証するため。
• 人材セキュリティアクセス制御と資産管理ポリシー。
• 多要素認証または継続認証音声通信および緊急通信の保護。

スペインでは、これらの対策の多くは既に国家安全保障フレームワーク（ENS）に組み込まれており、特に公共機関とそのサプライヤー向けに実施されています。実際、国家デジタル行政庁と国家暗号センターは、ENSとNIS2の強力な整合性をEUに提示し、欧州のベンチマークとしての可能性と、国家デジタルエコシステムの強靭性への貢献を強調しました。

しかし、NIS2は、規模や重要度によって影響を受ける中小企業を含む、より幅広い組織にとってのハードルを引き上げています。成熟した組織にとっては、これらの要件の多くは既存の慣行と一致していますが、サイバーセキュリティの経験がない何千もの企業にとっては、成熟度、リソース、および内部組織において大きな飛躍を意味します。

最高情報セキュリティ責任者（CISO）とその機能

法案第16条では、すべての重要かつ不可欠な組織は情報セキュリティ責任者を任命しなければならないと規定している。この役割は、スペインがかつて導入した国家情報システム（NIS）の経験にヒントを得たもので、システムとデータの保護に関するあらゆる事柄を調整する中心的な役割を担う。

主な機能は以下のとおりです。

• 組織のサイバーセキュリティ戦略を定義し、実装するリスク、ビジネス、規制上の義務に準拠します。
• リスクを評価、軽減し、継続的にレビューするエンティティのエクスポージャーに関する最新のビューを維持します。
• コンプライアンスを証明するために必要な証拠、ポリシー、記録を管理する NIS2および国内規制から生じる義務。
• サイバーセキュリティ文化の促進 上級管理職と連携し、全スタッフのトレーニングと意識向上に努めます。
• インシデント報告義務の遵守を確保する管轄当局への報告を調整します。

スペインは、旧国家情報システム（NIS）の国内法化において、最高情報セキュリティ責任者（CISO）の役割を明確に導入した最初の国の一つでした。しかし、実際には、多くの主要事業者がこの役職を正式に任命しておらず、それでもなお罰則を受けていないことが明らかになりました。NIS2は、将来のスペイン法およびより厳格な制裁制度と相まって、この緩慢さを是正し、CISOに、より強固で認知された地位を与えることを目指しています。

今後、義務を負う事業体の数は大幅に増加すると予想されます。現在の約400の重要事業者から、推定5.000～50.000の重要事業体へと増加する見込みです。これは、社内および外部委託の両方において、サイバーセキュリティ専門家に対する大きな需要を生み出すでしょう。特に、これまでこの役割を担ったことのない中小企業にとっては、その需要は顕著になると考えられます。

インシデント報告と脆弱性管理の義務

NIS2指令は、重大な影響を及ぼすセキュリティインシデントの早期通知を最重要事項としています。スペインの法案第18条は、この義務について詳細に規定しており、指令で定められた期限と内容に沿ったものとなっています。

事業体が、サービスの提供に重大な支障をきたす可能性のある事象、または事業体自身もしくは第三者に重大な損害を与える可能性のある事象に見舞われた場合、以下の報告制度に従わなければならない。

• 最初の通知: インシデントが検出されてから最大 24 時間以内に、入手可能な基本情報を提供します。
• 中間報告: 検出後最大 72 時間以内に、影響と重大度の初期評価を実施します。
• 最終報告書: 最初の通知から最大 1 か月以内に、インシデントの詳細な説明、その影響、重大性、および講じられた対策を含めます。

さらに、NIS2は脆弱性管理とコミュニケーションを強化します。完了したインシデントを報告するだけでなく、システム全体に影響を与える可能性のある脆弱性に関する関連情報を共有し、国レベルおよび欧州レベルでの対応の調整を促進することも目的としています。

スペインでは、対応エコシステムは3つの主要なCSIRT（コンピュータセキュリティインシデント対応チーム）に依存しています。CCN-CERT（公共機関、戦略企業、機密システム向け）、INCIBE-CERT（民間企業および市民向け）、MCCE（防衛部門向け）です。これらは、数十の専門チームを結集し、FIRSTなどの国際ネットワークや国家SOCネットワークと連携するcsirt.esネットワークによって補完されています。

重要かつ不可欠な事業体は、セクター規制および将来設立される国家サイバーセキュリティセンターのガイドラインに従い、インシデントを管轄のCSIRTに報告しなければならない。国家サイバーセキュリティセンターは、ENISAおよび他の加盟国との調整役および連絡役を務める。

制裁体制と欧州の圧力

NIS2指令は、従来のNIS指令よりも大幅に厳しい罰則規定を設けています。重要事業体の場合、最も重大な違反に対しては、最大10万ユーロまたはグループ全体の売上高の2%の罰金が科せられる可能性があり、主要事業体の場合は、最大7万ユーロまたはグループ全体の売上高の1,4%の罰金が科せられる可能性があります。

現在、スペインではNIS2に基づく制裁措置は実施されていない。これは、国内法への移行がまだ行われておらず、監督機関も正式に指定されていないことが一因である。他の加盟国においても、国内法への移行はごく最近行われたばかりであるため、広範な制裁措置が実施される時期はまだ早すぎる。

とはいえ、専門家たちは、フランスやドイツのような国が制裁措置を開始した場合、スペインが欧州レベルでの調和と信頼性を維持するためには、後れを取るわけにはいかないという点で意見が一致している。欧州委員会は、侵害手続きや論理的な意見表明を通じて、この目標達成に向けて圧力をかけている。

NIS2は、金銭的な罰則に加え、サイバーセキュリティにおける上級管理職の責任を初めて明確に規定している。経営陣とCISO（最高情報セキュリティ責任者）の連携不足はもはや許容されず、統括機関は関与し、情報共有を受け、必要な意思決定を行わなければならない。

ISMSフォーラムなどの専門家によると、最大の課題は、十分に認識していないもののNIS2に拘束されることになる中小企業のネットワークにある。多くの企業は十分なリソース、プロセス、サイバーセキュリティ文化を欠いており、法律とサプライチェーンの大口顧客からの要求の両方によって「押し進められる」ことになるだろう。大口顧客は指令を遵守するための契約上の保証を要求せざるを得なくなるからだ。

ENSの取り組み、研究、役割を支援する

法整備の進展と並行して、スペインはビジネスセクターのNIS2への適応を促進するため、技術および知識面での取り組みを推進している。例えば、ISMSフォーラムは、UCM（マドリード・コンプルテンセ大学）のサイバーセキュリティおよびデータ保護特別講座の下で、NIS2がスペイン企業に与える影響に関する調査に取り組んでいる。

このプロジェクトには2つの目的があります。1つは、NIS2の影響を受けた企業の非公式な調査を行い、もう1つは、それらの企業のサイバーセキュリティ成熟度を測定することです。第1段階では、包括的なデータベース（商業登記簿、DIRCE/INE、業種別データベースなど）を使用して調査を実施し、結果は2025年11月頃に得られる見込みです。第2段階では、代表的な企業サンプル（1.000件の回答を目標）に簡単なアンケートを送付し、企業の準備状況を評価します。結果は2026年5月までに得られる見込みです。

分析では、業種、規模、地理的分布、および事業体の種類（不可欠または重要）による区分を行い、個々のデータを含まない集計された経営報告書として結論を​​提示します。この報告書は、企業と行政機関の両方に役立つものです。

同時に、ISMS Forumなどの組織や様々な公的機関が、中小企業を中心に全国各地で啓発イベントを実施しています。その目的は、NIS2の内容、CISO（社内または社外）の設置がなぜ不可欠なのか、基本的なサイバーセキュリティポリシーの策定方法、そして将来の法律とその補足規制への備え方などを分かりやすく説明し、「啓蒙活動」を行うことです。

厳密に規制の観点から見ると、国家安全保障フレームワーク（ENS）は、スペインの最大の強みの一つとしてヨーロッパで紹介されてきました。国家デジタル行政庁と国家暗号センター（CCN）は、ENSの蓄積された経験、コンプライアンスプロファイル、および規則（EU）2019/881（サイバーセキュリティ法）に基づく欧州認証制度との統合について、NIS2協力グループと共有しました。この発表に対する好意的な反応は、強固で一貫性のある調和のとれたサイバーセキュリティに積極的に取り組む主体としてのスペインのイメージを強化するものです。

こうした状況において、スペインのNIS2への対応は、期限のプレッシャー、国家安全保障制度（ENS）などの技術的な堅牢性、そして数千もの新たな組織を高度なサイバーセキュリティ文化に組み込むという途方もない課題を乗り越えていくことを必要としています。先手を打って状況評価を実施し、指令に沿った運用を今すぐ開始する組織は、リスクを最小限に抑え、将来の罰則を回避し、サイバー脅威に対する積極的かつ成熟したアプローチを示す上で、より有利な立場に立つことができるでしょう。