規制・規格
NIS2指令への対応を Secomeaが支援する
EU NIS2指令が製造業・重要インフラに求めるサイバーセキュリティ要件。主要事業体・重要事業体の区分、第21条の10対策、10ステップロードマップ、Secomeaの機能マッピングまで解説します。
なぜ日本の製造業に関係するのか
EUの法律が、日本では「取引条件」になる。
NIS2 が直接課されるのは EU 域内の事業者。だが規制の圧力はサプライチェーンを伝い、日本のメーカーには「取引の前提条件」として到達する。
論点は「EU法が及ぶか」ではない。
「取引を続けられるか」だ。
日本市場の実態
在欧日系企業の 54.7% が EU のサイバーセキュリティ法規制に注目
「取引条件として届く」は抽象論ではない。EU と取引する日系製造業は、すでにこの規制圏を注視している。
出典：JETRO「2024年度 海外進出日系企業実態調査（欧州編）」（561社・複数回答）。「EUのサイバーセキュリティ法規制」全般（NIS2・CRA 等を含む）への注目度であり、母集団は在欧日系企業。
規制の概要
NIS2指令とは
NIS2（Network and Information Security Directive 2）は、EUのサイバーセキュリティに関する指令です。エネルギー・交通・製造業・デジタルインフラ等の重要分野を対象に、セキュリティリスク管理・インシデント報告・サプライチェーンセキュリティ等の要件を定めています。
加盟国は2024年10月17日までに国内法化する義務を負い、NIS2は2024年10月18日に旧NIS指令に代わりました。国内法の整備は加盟国ごとに進んでおり、欧州委員会は2026年7月8日、国内法化の通知を終えていないアイルランド・スペイン・フランス・オランダを欧州司法裁判所に付託しています。具体的な義務と施行日は、事業を行う加盟国の国内法で確認します。違反した場合は、売上高の一定割合に相当する制裁金が科される可能性があります。
NIS2の主な対象分野
適用対象の判定
自社はNIS2の対象か──主要事業体と重要事業体の区分
NIS2指令の適用対象となるのは、附属書I（高度に重要なセクター）または附属書II（その他の重要なセクター）に属し、かつ中規模企業以上（従業員50人以上、または年間売上高と貸借対照表総額がともに1,000万ユーロ超）の事業体です。規模にかかわらず対象となる種類の事業体や、加盟国が対象に指定する事業体もあります。
製造業（医療機器・電子機器・電気機器・機械・自動車・その他輸送機器、NACE C26-30）は附属書II＝重要事業体に分類されます。ただし医療機器・医薬品の製造は附属書I（健康分野）側で主要事業体となる場合があります。附属書Iの種類でも、中規模企業は原則として重要事業体です。また、適格トラストサービス・TLDネームレジストリ・DNSサービスのように規模にかかわらず主要事業体となる種類や、加盟国が主要事業体に指定する場合もあります。最終的な区分は、事業を行う加盟国の国内法と所管当局の判断で確認します。
Secomeaは、製造業・装置メーカー・重要インフラなど世界8,000社以上で採用されているOT専用のセキュアリモートアクセスソリューションです。
重要事業体に分類される製造業企業が、リモートアクセスに関わるNIS2の対策（アクセス制御・多要素認証・記録）を実装するための機能を提供します。
要件の全体像
NIS2が企業に課す3つの重点分野
NIS2指令が企業に求める要件は、大きく3つの重点分野に整理できます。
経営陣の関与・責任・教育
サイバーセキュリティリスク管理対策の承認は、経営陣の法的責任とされています。経営陣はこれらの対策の実施を監督する責任を負い、コンプライアンス違反があった場合には個人として法的責任を問われる可能性があります。主要事業体については、他の執行措置が効果を持たず、当局が定めた期限内に是正されない場合に、所管当局が国内法に従って関係機関や裁判所に対し、CEOや法定代理人レベルの者の管理職務の一時的な禁止を求めることができます（第32条第5項）。
加えて、経営陣にはサイバーセキュリティ研修の受講が義務付けられ、従業員にも同様の研修を定期的に提供することが推奨されています。
サイバーインシデント予防のための技術・運用・組織的対策
第21条に基づき、企業はリスクを管理し、サービス利用者への影響を防止または最小限に抑えるための適切かつ均衡の取れた対策を講じる必要があります。
- ・技術的対策：ファイアウォール、暗号技術、多要素認証、セキュアリモートアクセス等
- ・運用的対策：リスク管理・分析・軽減、危機管理、インシデント対応プロセス
- ・組織的対策：従業員研修、サイバーハイジーンの実践、セキュリティ文化の醸成
これらは「オールハザード・アプローチ」に基づき、自社のNISセキュリティに影響を及ぼし得るあらゆる想定可能な脅威を考慮して決定する必要があります。
インシデント発生時の報告義務
重大インシデントが発生した場合、企業は自国のCSIRT（コンピュータセキュリティインシデント対応チーム）または所管当局に対し、以下の報告義務を負います。
3つの重点分野すべてにおいて、Secomeaは具体的な貢献を提供します：
- 経営陣の責任 — 監査ログ・コンプライアンスレポートにより、経営陣が自社のセキュリティ状況を把握・報告できる基盤を提供
- 技術的対策 — OT環境特化のアクセス制御・暗号化通信・多要素認証・セッション監視を統合提供
- 報告義務 — 監査ログにより、インシデント発生時に誰がいつどの装置へ接続したかを確認できる基盤を提供。セッション録画（Professional・Premium。ブラウザ経由のRDP・VNC・SSH・Telnet接続が対象）を有効にした接続では、操作の様子も映像で確認可能
NIS2 第21条
第21条が求める10のセキュリティ対策
NIS2指令の中核となるのが第21条です。同条はサイバーセキュリティ対策として、少なくとも以下の10要素を含めることを企業に求めています。
これらの対策は「適切かつ均衡の取れた」ものでなければなりません。自社が直面するリスクの程度、企業規模、インシデントの発生可能性・深刻度を考慮して決定する必要があります。
所管当局による監査では、ファイアウォールの有無や特定ツールの導入状況が問われるのではなく、「なぜその対策を選んだか」「対策の有効性を継続的に評価しているか」を示す証拠が重視されます。
Secomeaは、第21条が求める10要素のうち、リモートアクセスとアクセス制御に関わる領域で具体的な技術的対策を提供します。
特に貢献度が高い領域：
- 要素④ サプライチェーン対策 — ベンダーアクセスの承認制・時間制限・装置単位の制御
- 要素⑨ アクセス制御・資産管理 — ロールベース権限管理・アクセス申請の承認フロー
- 要素⑩ MFA・安全な通信 — 2FA/MFA・SMS認証・SSO（Microsoft Entra ID/Okta）
実践ロードマップ
NIS2対応を進める10のステップ
NIS2コンプライアンスを段階的に達成するための実践的なステップです。詳細な実装手順とテンプレートはホワイトペーパー「NIS2コンプライアンスの完全対応ガイド」で詳述しています。
適用範囲の確認
自社がNIS2の対象か、主要事業体・重要事業体のいずれかを確認
資産の棚卸
IT/OT環境の全体像把握、システム・所在・アクセス権・保護状況の文書化
リスク評価
自社固有のリスク特定、脅威モデリング、ダウンタイム許容度の検討、サプライチェーンを含む包括的評価
予防的対策の実装
IT・OT資産の保護、暗号化、アクセス制御、多要素認証等。対策の選定理由を文書化
インシデント対応・事業継続計画
影響分析、復旧優先順位の設定、部門横断的な指揮系統の構築
報告体制の整備
24時間・72時間・1か月の各通知を実行するための手順を整備
従業員研修の実施
リスク特定、脅威検知、資産保護、インシデント対応に関する役割別研修
対応体制の検証
模擬訓練による計画の有効性と従業員対応力の確認
継続的な見直し
年1回以上のテスト実施、教訓の反映、システム変更時の計画更新
包括的な文書化
リスク分析、セキュリティ方針、各種計画、管理策・手順の文書化と適切な保管
経営陣の承認・関与は、各ステップを通じて必須要件となります。リスク評価の承認、サイバーセキュリティ予算の確保、対策の最終決定は、経営陣の責任のもとに行われる必要があります。
Secomeaは特にステップ4（予防的対策）、ステップ5（インシデント対応）、ステップ10（文書化）において、OT環境に特化した機能群を提供します。
- ステップ4：予防的対策 — アクセス制御・MFA・暗号化通信を統合した基盤
- ステップ5：インシデント対応 — 監査ログとアラートで接続の経過を確認し、アクセス経路を閉じる判断を支える
- ステップ10：文書化 — 監査ログと、録画を有効にした接続のセッション録画が、実施した対応を示す記録の一部になる
Secomeaの支援
NIS2要件 ── どこまでが Secomea、どこからがお客様か
NIS2 対応は、システム全体の設計・運用・組織的取り組みを含む包括的な義務です。Secomea が担うのはリモートアクセスに関わる技術的措置であり、要件ごとに「製品が担う領域」と「お客様が担う組織的・運用領域」に分かれます。
下表は NIS2 要件レベルの分界です。経営層責任・報告判断・サプライチェーン全体のガバナンスは、製品では委譲できないお客様（資産所有者）の領域に固定されます。
→ より詳細な線引き（IEC 62443 に基づく FR別 責任分担モデル）を見る表は左右にスクロールできます。
| NIS2 要件 | Secomea が担う技術的措置（製品サプライヤ領域） | お客様が担う組織的・運用領域（資産所有者） |
|---|---|---|
| アクセス制御・資産管理 | きめ細かなアクセス制御・特権アクセス管理・JITアクセス・アクセス申請ワークフロー | IDガバナンスの定義・権限の棚卸し・ユーザのライフサイクル管理・最小権限ポリシーの策定 |
| 多要素認証・安全な通信 | 2FA・MFA・SSO（Microsoft Entra ID／Okta）・TLS暗号化通信・証明書基盤 | MFAポリシーの強制・適用範囲の決定・エンドポイント保護 |
| インシデント対応・報告義務 | 監査ログ・セッション録画・アラートと自動アクション | 24/72時間報告の実行・経営層の判断・CSIRT／所管当局連携・対応手順の運用 |
| サプライチェーン管理 | ベンダーアクセスの承認制・時間制限・装置単位の制御 | 取引先のリスク評価・契約条件・サプライチェーン全体のガバナンス |
| 事業継続・バックアップ | 構成バックアップ支援・復旧／再構成機能・プランに応じたホスティングとSLA | 事業継続計画・復旧優先順位の設定・システム全体の可用性設計 |
マッピング表に示した機能は、Secomea Primeプラットフォームで提供しています。セッション録画・アクセス申請・SSOなど一部の機能は、Professional・Premiumのプランで利用できます。
外部接続の認証・承認・アクセス範囲・記録について、Secomeaで実現できる機能や接続構成をご案内します。
Secomea自身の取り組み
信頼の構築──Secomea自身のセキュリティへのコミットメント
NIS2指令はサプライチェーンを構成する事業者の信頼性も評価対象とします。Secomeaは、製品開発の各段階で厳格なサイバーセキュリティ基準を順守し、以下の第三者認証・監査・取り組みでこれを裏付けています。
IEC 62443-4-1 認証取得（TÜV）
セキュアな製品開発ライフサイクル（産業オートメーション・制御システム向け国際標準）について第三者認証を取得
IEC 62443-4-2 準拠を実証
コンポーネント（製品）の技術セキュリティ要件について第三者監査により準拠を実証
ISAE 3402 Type 2 報告書
GateManagerと関連する統制の設計・運用の有効性を独立した監査人が評価した保証報告書。公開されている2025年版の対象期間は2024年3月7日〜2025年2月17日です
CVE番号割り当て機関（CNA）認定
CISAに認められたCVE採番機関（CNA）で、デンマークで最初のCNA。自社製品の脆弱性管理プロセスの透明性を裏付け
これらの認証・取り組みは、Secomeaを採用する企業のNIS2対応におけるサプライチェーンセキュリティ（第21条④）で、供給者としてのSecomeaを評価する際の材料になります。
よくある質問
NIS2指令とは何ですか？
NIS2は日本企業にも適用されますか？
SecomeaはNIS2準拠を保証しますか？
製造業の中小企業もNIS2の対象になりますか？
NIS2違反の罰金はどのくらいですか？
IEC 62443とNIS2は何が違いますか？
ホワイトペーパー「NIS2コンプライアンスの完全対応ガイド」はダウンロードできますか？
NIS2コンプライアンスの完全対応ガイド
製造業者・機械メーカーのための実践マニュアル
本ガイドの内容（全47ページ）
- ・NIS指令からNIS2への変遷
- ・主要事業体・重要事業体の区分（詳細表）
- ・経営陣の責任とリーダーシップ
- ・第21条10対策の詳細解説
- ・24時間・72時間・1か月の報告義務対応手順
- ・10ステップ実践ロードマップ
- ・監査対策のベストプラクティス
- ・Secomea機能マッピング詳細
次に確認したい情報
NEXT STEP
導入に向けて、相談する
対象設備や運用上の課題についてお聞かせください。Secomeaの接続構成・アクセス管理機能・提供可能な製品資料をご案内します。