セキュリティー基準を厳格化　ＥＵ、対象を拡大＝違反社に罰金

欧州連合（ＥＵ）加盟各国と欧州議会は13日、域内企業のサイバーセキュリティー基準を厳格化する法案で暫定的に合意した。エネルギーや運輸、金融、デジタル、医療機器など幅広い分野の大手企業を対象に、自社のサイバーセキュリティー・リスクの評価や報告、対策を義務付け、違反企業には世界売上高の最大２％の罰金を科す内容となっている。

加盟各国と欧州議会が合意したのは、「ＥＵ域内共通の高度サイバーセキュリティー措置に関する指令」案。欧州委が2020年12月に提案し、両者間の交渉が行われてきた。同指令案は、16年に導入された「ネットワークと情報システムのセキュリティーに関する指令（ＮＩＳ指令）」を、デジタル化の進展やサイバー攻撃の増加を受けて見直されたもので、通称「ＮＩＳ２指令」と呼ばれている。

「ＮＩＳ２指令」では対象分野を大幅に拡大。公共電子通信サービスやデジタル・サービス、排水・廃棄物管理、郵便・宅配サービス、行政のほか、化学品や食品、医療機器、電子機器、機械、輸送機器といった重要製品の製造企業が追加された。

対象企業にはより厳格なサイバーセキュリティー要件を義務付け、違反企業には罰金を科すだけでなく上級管理職の責任を追及する。

また、欧州ネットワーク・情報セキュリティー機関（ＥＮＩＳＡ）が重要な供給網のリスク評価を実施する。

「ＮＩＳ２指令」案は、加盟各国と欧州議会での正式な承認を経て官報に公示され、その20日後に施行される。加盟各国はその後、21カ月以内にこれを国内法化する必要がある。［ＥＵ規制］