NIS2
工場運営者 ＝ 資産所有者
事業者に課されるセキュリティ運用の義務。アクセス制御・MFA・ログ整備を「組織として」回す責任。
資料
IEC 62443という
OT Compliance — 実務ガイド
NIS2・CRA・NIST CSFを、共通の技術基盤で交通整理するための実務ガイド。
NIS2事業者の義務
CRA製品の証跡要件
NIST CSF統制フレーム
IEC 62443共通言語として対応を整理
重なる技術的統制を整理し、実装・運用につなげる
なぜ「束ねる」必要があるのか
同じOT現場に出どころの違う3つの宿題が同時に降ってくる
NIS2・CRA・NIST CSF は、対象も主語も異なります。だからといって別々に対応すると、現場は同じアクセス制御・ログ・暗号化の要件を、三度書き直すことになります。
CRA
EU向け OEM ＝ 製品供給者
接続機能を持つ製品に課される証跡要件。サプライチェーンを通じた「製品としての」説明責任。
NIST CSF 2.0
横断する統制言語
規制ではなく、両者を測る共通の物差し。PR.AA・PR.IR・PR.PS といった統制で現場を記述する。
本ガイドの中核
同じ統制を3つの「規制語」で読み解く
IEC 62443 を共通言語に据えると、ひとつの技術的統制が、NIS2 の条文にも・CRA の証跡にも・NIST CSF の機能にも同時に対応していることが見えてきます。「翻訳表」を持てば、対応は三重化しません。
最小権限・MFA付きリモートアクセス
IEC 62443-4-2 / CR 1・2 系
| 規格・枠組み | 対応する観点 |
|---|---|
| NIS2 | Art.21 アクセス制御 |
| CRA | 安全なアクセス機構 |
| NIST CSF | PR.AA |
暗号化された経路・セグメント分離
IEC 62443-4-2 / CR 3・4 系
| 規格・枠組み | 対応する観点 |
|---|---|
| NIS2 | 暗号化の要請 |
| CRA | 通信の機密性 |
| NIST CSF | PR.PS / PR.IR |
監査ログ・セッション記録
IEC 62443-4-2 / CR 6 系
| 規格・枠組み | 対応する観点 |
|---|---|
| NIS2 | ログ・監査 |
| CRA | 記録の保全 |
| NIST CSF | DE.CM |
※ 規格アライメントで得られるのは「重複を減らし、証跡を再利用できる」こと。一度の実装で法令適合が完了するわけではありません。詳細な責任の線引きは下記をご覧ください。
ホワイトペーパーをダウンロード
お申し込みを受け付けました
ホワイトペーパーを開くIEC 62443 に基づく責任分担
正直に線を引くことが説明責任を守る
「製品を入れれば終わり」と書かないのは、誠実だからではなく、それが経営層を守るからです。どこまでが Secomea の領分で、どこからがお客様の領分かを、はじめに線引きします。
Secomea が担う（製品サプライヤ／保守事業者）
リモートアクセスの技術的措置
- 最小権限・MFA を前提としたセキュアリモートアクセス
- 暗号化された通信経路とセグメント分離
- 接続のログ・監査証跡（誰が・いつ・何に）
- Secomea Prime / GateManager 運用部分の保守責任
製品について断定できるのは能力としてのセキュリティレベル（SL-C）まで。達成 SL（SL-A）はシステム全体（SuC）で決まります。
お客様が担う（資産所有者）
システム全体の組織的・運用責任
- リスクアセスメントと目標 SL（SL-T）の設定
- 装置・ネットワーク全体（SuC）の設計と統合
- 規制対応の最終判断・監査人/認証機関への対応
- 経営層の説明責任（製品に委譲できない領域）
システム全体の説明責任は資産所有者に固定され、製品では肩代わりできません。FR別の詳細な線引きは本ガイドで解説します。
本ガイドの構成 ／ 全29ページ
読んだ翌日から稟議と要求仕様に使える
3規制の地図
NIS2・CRA・NIST CSF の対象と主語の違いを1枚で
IEC 62443 という共通言語
規格が「翻訳表」として機能する仕組み
統制の翻訳マトリクス
1つの統制 ↔ 3つの規制語の対応表
責任分担モデル
FR別に「ベンダー／共同／お客様」を線引き
セキュリティレベルの実務
SL-C / SL-T / SL-A を取り違えないために
稟議・要求仕様テンプレート
そのまま社内で使える補足資料
FAQ
よくあるご質問
IEC 62443 の認証は、装置を作る側と使う側のどちらが取得するものですか
規格は対象ごとに部が分かれています。製品開発プロセスを対象とする 4-1 とコンポーネントの技術要件を対象とする 4-2 は製品供給者に向いたもので、システムの設計を対象とする 3-3 や組織の運用管理を対象とする 2-1 は資産所有者と統合事業者に向いています。供給者側の認証があれば工場側の要求も満たされる、という関係にはありません。
リモートアクセスは IEC 62443 のどこに関係しますか
外部からの接続は、識別と認証、使用制御、データの完全性、イベントの記録といった基礎要件に横断的に関わります。誰がいつどの装置へ接続して何を操作したかを記録に残し、権限を必要な範囲に限る仕組みが問われます。
Secomea を導入すれば IEC 62443 に準拠できますか
準拠は組織の体制と運用を含めて評価されるため、製品の導入だけで完結しません。Secomea が担うのはリモートアクセス層の統制で、その範囲において関連項目への対応を支援します。システム全体の設計と運用、組織的な管理体制は資産所有者の責任範囲に残ります。
Secomea 製品の認証状況を教えてください
製品開発プロセスについて、TÜV SÜD による IEC 62443-4-1 の認証を取得しています。コンポーネント要件である IEC 62443-4-2 については、第三者監査により準拠を実証しています。
日々の運用を支える
100,000+ユーザ
世界の現場を支える体制
70+世界のパートナー（社）
各国でのサポート
現場へ広がる接続基盤
400,000+世界の導入数
IEC 62443-4-1 認証取得（TÜV）。IEC 62443-4-2（コンポーネント要件）について第三者監査により準拠を実証。
あわせて読みたいリソース
規制対応の重複を、束ねるところから
自社のNIS2・CRA・NIST CSF対応をIEC 62443という共通言語で交通整理する進め方を、専門担当がご案内します。