BSIのNIS2チェックリストを日本語で解説 〜対応すべき6項目〜
ドイツのNIS2監督当局であるBSI（Bundesamt für Sicherheit in der Informationstechnik、連邦情報セキュリティ庁）が、NIS2対応のためのチェックリストを公開しました。
NIS2対応について、「何から始めればよいのか分からない」「当局の資料を読んでも、自社で何をすべきか判断しづらい」と感じている企業も多いのではないでしょうか。
BSIのチェックリストでは、NIS2対応で取り組むべき基本的な項目を6つのステップに整理しています。
本記事では、BSIチェックリストに記載されている6つのステップの日本語訳と、各ステップの解説を紹介するとともに、対応に役立つEnobyteのサービスをご案内します。
1. NIS2の適用対象に該当するか確認
NIS2対策は、自社が適用対象に該当するかを明らかにするところから始まります。
NIS2指令の適用対象は、単に従業員数や売上高という基準だけで機械的に決まるものではなく、業種、企業規模、提供サービス、企業グループ構造、対象国の国内法などを踏まえて個別に評価する必要があります。
Enobyteの関連サービス：NIS2指令 適用範囲簡易診断
2. 責任の所在を明確にする
NIS2指令では、サイバーセキュリティを経営陣が主体的に取り組む経営課題として位置づけています。経営陣または管理機関には、サイバーセキュリティ・リスク管理措置を承認し、その実施状況を監督する責任が求められています。
BSIチェックリストでは、社内で少なくとも2名を責任者として選定・任命し、情報セキュリティを統括する役割を担えるよう、必要な権限と能力を持たせる必要があると示されています。
3. 監督当局への登録
NIS2指令の対象となる組織は、各国の所轄監督当局へ登録を行う必要があります。
たとえば、ドイツでNIS2指令の対象となる組織は、BSIポータルで登録を行う必要があります。登録には、「Mein Unternehmenskonto」とELSTERの組織証明書が必要です。
Enobyteでは、2026年2月6日にBSIポータル登録に関するセミナーを実施しました。
また、Enobyteでは登録対応および関連手続きのサポートを提供しております。
4. インシデント報告義務への対応
重大なセキュリティインシデントが発生した場合に迅速に対応できるよう、あらかじめ報告プロセスと役割分担を明確に定めておくことが重要です。
たとえばドイツでは、主要エンティティ、重要エンティティ、および重要インフラ事業者（KRITIS事業者）は、重大なセキュリティインシデントをBSIに段階的に報告する義務があります。
- 早期警告：インシデント認知から24時間以内
- インシデント通知：インシデント認知から72時間以内
- 最終報告：通知から1ヶ月以内
Enobyteの関連サービス：CSIRTサービス
5. 経営陣に課される研修受講義務への対応
経営陣は、リスクマネジメント措置の実施と監督について責任を負います。
また、NIS2指令では経営陣に対して、情報セキュリティ分野のリスクマネジメント措置に関する定期的な研修受講義務が定められています。
経営陣がNIS2の要求事項や自社のリスクを理解し、適切な意思決定を行えるようにするため、継続的な教育体制を整備することが重要です。
Enobyteの関連サービス：マネージャー研修
6. リスクマネジメント対策の実装
NIS2指令の対象となる組織は、情報セキュリティを確保するために、適切で、比例的かつ有効な技術的及び組織的措置を講じなければなりません。
NIS2指令が要求するリスクマネジメント対策には、少なくとも次の10項目が含まれます（NIS2第21条）。
- リスク分析と情報システムのセキュリティに関する方針
- インシデント対応体制の整備
- 事業継続、バックアップ、復旧計画、危機管理
- サプライチェーンセキュリティ
- ICTの取得、開発、保守におけるセキュリティ
- リスク管理措置の有効性評価に関する方針・手続き
- サイバー衛生の実践とサイバーセキュリティ研修
- 暗号化および暗号技術の利用に関する方針・手続き
- 人的セキュリティ、アクセス制御、資産管理
- 多要素認証、安全な緊急時の通信手段の確保
Enobyteの関連サービス：NIS2アセスメント、CSIRTサービス
NIS2対応のご相談はEnobyteへ
Enobyteでは、NIS2に関するご質問や、当局登録、インシデント対応体制の整備、マネージャー研修、リスクマネジメント対策の実装支援などに関するご相談を受け付けています。
NIS2対応にお悩みの企業様は、お気軽にお問い合わせください。
