NIS2コンプライアンス：
2026年に向けたロードマップ。

EUのNIS2指令により、サイバーセキュリティ基準の遵守を義務付けられる企業の範囲は、従来より大幅に拡大しました。ドイツにおける国内法化（NIS2-UmsuCG）の対象企業は推定30,000社。しかし該当企業の多くは、まだ対応に着手していないのが実情です。本稿では、そのロードマップをご紹介します。

対象となる企業

NIS2では、事業体を「 基幹（essential） および 重要（important） 」の2つに区分しています。基幹事業体に該当するのは、重要度の特に高いセクター（エネルギー、運輸、銀行、医療、デジタルインフラ）に属する大企業です。重要事業体には、これらに加えてその他のセクター（郵便、食品、化学、デジタルサービス事業者）に属する中規模企業が該当します。

基準値：

• 中規模企業：従業員50〜249名、 または 年間売上高1,000万〜5,000万ユーロ
• 大企業：従業員250名以上、 または 年間売上高5,000万ユーロ超

義務の全体像

1. リスクマネジメント措置（第21条）

• リスク分析および情報システムのセキュリティに関する基本方針
• サイバーセキュリティインシデントへの対処
• 事業継続の確保（BCM）
• サプライチェーンのセキュリティ
• ITシステムの調達・開発・保守におけるセキュリティ
• 対策の有効性を評価するための方針
• 暗号技術および暗号化に関する方針
• 人的セキュリティ（意識啓発、アクセス管理）
• 多要素認証

2. 報告義務（第23条）

• 早期警告：重大なサイバーセキュリティインシデントを認知してから24時間以内
• 報告：認知から72時間以内——初期評価を添えて
• 最終報告書：報告から遅くとも1ヶ月以内

3. 経営陣の責任

経営陣は、サイバーセキュリティ対策を 承認 し、その実施を監督する義務を負います。経営陣には研修の受講義務があり、違反の際には個人としての責任が問われます。

6ヶ月ロードマップ

第1ヶ月：該当性アセスメント

• 確認：セクター＋規模 ⇒ 基幹／重要／対象外
• 該当する場合：BSI（ドイツ連邦情報セキュリティ庁）への登録義務
• 既存のセキュリティ対策の棚卸し

第2〜3ヶ月：ギャップ分析と基本方針

• NIS2要件に対するギャップ分析
• 脅威モデリングを用いたリスク分析
• 優先順位付けを含む対策ロードマップ
• 経営陣向けワークショップ

第4〜5ヶ月：中核対策の実施

• 全アクセスへのMFA（多要素認証）導入
• EDR/XDRエンドポイント保護
• バックアップ戦略＋ディザスタリカバリ演習
• インシデント対応計画の文書化
• 全従業員向けの意識啓発研修

第6ヶ月：文書化と監査

• ISMS文書の整備
• 対策の内部監査
• BSI審査に備えたエビデンスの収集
• 継続的な意識啓発の仕組みの稼働

TABAKのサポート内容

NIS2の対象となるお客様には、 完全なNIS2パッケージをご用意しています：該当性確認、ギャップ分析、ロードマップ、技術的対策の実施、ISMS文書化。技術面の実装は、データセンターパートナーであるDAVINCIRechenzentrumと連携して進めます。標準的なプロジェクト期間は4〜6ヶ月、費用の目安は規模に応じて25,000〜80,000€です。

Fatma Tabak

税理士（ノルトバーデン税理士会所属） · TABAK Consulting 創業者

企業経営者、投資家、ファミリービジネスに対する20年以上のアドバイザリー実績。税理士法上の独占業務は、パートナー事務所であるTABAK Steuerberatungが担当いたします。

事務所プロフィール →