年末にあたり、少し明るい方角を眺めてみたくなるのは人情でしょうか。 前々回の第39回ブログでは、EUサイバーリジリエンス法に、市場原理確立のための「交換の正義」という考え方を読み解きました。そのEUでは、2020年EUサイバーセキュリティ戦略の下、経済・社会のサイバーセキュリティを高度化するために、2017年まで前例のない集中的投資（による予防、抑止、対処能力の構築）を続ける一方、規制（を通じたレジリエンス、技術的主権、リーダーシップの確立）や政策手段（グローバルで開かれたインターネットの推進）で、域内外の調整が図られています。
今回取り上げるEUの改正ネットワーク・情報システム指令（通称NIS２）は、主要なサイバーセキュリティ関連規制の一つとして、EUレベルでは発効済みであり、各加盟国で法令を施行する期限を2024年10月までと定めています。この改正は、旧指令発効後わずか6年という速さで施行されています。
改正指令の基本原理は何か
そもそも本規制は、経済・社会のデジタルリスク抑制に寄与すべき事業主体に対して、その行動準則を規定しており、短時間に高度な報告の義務を課す一方、違反に対しては多額の罰金の可能性を明示するなど、いわゆる「調整の正義」の構えに見えます（罪には、罰を与える、というロジックです）。
実際、経済産業省*からも、欧州で活動する日本の中規模企業（従業員50人以上）にも影響がでるとして本邦企業に対して注意喚起が出されています。かつてEUのGDPR（EU一般データ保護規則）が巨額の制裁金を規定して世界中の企業を震撼させたこともあり、我々は、どうしても厳しいルールに目が行きがちです。
*改正の要点を、①⼤幅な対象拡⼤、②サイバーセキュリティ・リスクマネジメントの強化、③インシデント報告内容・時限の明確化、④厳しい罰則⾦、の4点に整理しています。
しかし、この法令の構えからは、何かと何かの釣り合いを取る「正義」が基本原理にあるようには見えません。むしろ筆者としては、本法には、したたかな市場成長戦略性が仕組まれていると考えており、規制の効果は、EU市民の社会生活や域内経済のみでなく、企業にとっても得になる仕掛けがあると見ています。
結論を先に言えば、EUのデジタル社会を規定する本規制の基本原理は、「正義」という概念から離れ、域内市場の機能向上という「功利性」にアンカーを打っている『攻めの倫理』（『ふだんづかいの倫理学』平尾昌宏p.340参照）ということになると考えています。
改正で起点をずらしたことで、攻めの構えが整った
新旧二つの指令の違いは縷々（るる）ありますが、起点が大きく異なります。2016年版では、「信頼と信用の創出を通じた域内市場の機能向上」（指令前文31項）を目的としたのに対し、2022年改正版では、「本指令は、域内市場の機能向上を視野に入れ、EUにおいてサイバーセキュリティの高い共通レベルを達成することを目的とした措置を定める」（同第1条）として、加盟各国に委ねていたセキュリティ戦略やポリシー制定の権限を制限し、域内で共通化することにしています。元のやり方では、27カ国の法令による規則が不統一となり、上手く行かなかった（新指令前文第3項）のです。
これは大きな軌道修正と言えるでしょう。両指令では、社会改良のための規則を定めるという宣言は一貫しています。結果を重視する功利主義的な考え方です。その上で、現指令が各国が最善を尽くせば結果が出て来るという構え（「行為」功利主義）であったのを修正して、新指令はEUで規則を作ってしまうというのです。「規則」功利主義（前掲書p.302）とも呼ばれる考え方ですが、規則をまず決めてしまって、長い目で成果を確実にしていこう、ということです。目的の手前に統一的な措置を定めることで、起点をずらしています。法令もさまざまな基本原理を駆使して社会に迫るデザインを工夫しているとも言えます。
企業に求められる新たな行動様式
少し抽象的な議論から入りましたので、とっつきにくいと思われた方もおられることでしょう。新指令から我々は何を学べるのか、を問うていく前に、まずは企業に対して求める行動準則はどういうものなのかを具体的に見ておきたいと思います。ちょうど先月、セキュリティ専門誌に寄稿されたISF CEOのブログにまとまったものがありましたので、これを読み下して、全体をさっと見渡すことにします。
（次ページから引用）
EUは、重要インフラサービスに対するサイバーセキュリティ要件を強化
「主要な」事業主体は、2024年10月までにネットワーク・情報システム指令2022（NIS2）に遵守している必要があります。
Steve Durbin/CEO, Information Security Forum
November 15, 2023
DARKREADING
欧州連合（EU）のNIS2指令2022/2555は、EU全域のネットワークおよび情報システムのセキュリティとレジリエンスの向上を目的とする法律です。法律はすでに発効しており、EU加盟各国は、2024年10月までにこの指令を自国の国内法として施行しなければなりません。つまり、法の適用を受ける各国官民の事業主体にとっては、法的要件を充足させるまで一年を切ったことになります。期限が間近に迫る中、各組織はさまざまな変更を業務に落し込む対応に追われているところです。
そもそもNIS2とは何か？
EUでは、2016年にネットワーク・情報セキュリティ（NIS）指令が発効し、いわゆる主要な（重要インフラ）事業主体に対する厳格なサイバーセキュリティ要件が定義されました。その狙いにあったのは、リスク管理アプローチを課すことによってセキュリティ要件を強化し、企業が従うべき中核的なサイバーセキュリティ対策の輪郭を示すことでした。NIS2では、現行指令の対象事業領域を広げ、EUで事業を行う事業者を漏れなく主要事業主体として指定し、より厳格なセキュリティ義務を課すものです。
NIS2が適用される事業主体は？
NIS2は、主要なサービス（中断すると、国や社会に重大な影響を及ぼしかねないサービス）を提供する、EU域内で事業展開する全事業主体に適用されます。主要なサービスには、エネルギー、上水や下水、銀行や金融市場インフラ、ヘルスケア、デジタルインフラ、インターネットサービスプロバイダー、公的サービス、運輸、食品や主要な家庭製品の製造工場などが含まれます。この法律は、EU域外に拠点を置くもののEU域内で重要なサービスを提供している事業主体を含めて、欧州全体で16万の事業主体に影響を及ぼすとみられています。
NIS2適用除外となる事業主体は？
小規模企業については、まだNIS2対応は求められていません。この法律は、年間売上高が1,000万ユーロ（1,085万米ドル）以上、従業者が250人以上の事業主体にのみ適用されます。NIS2は、特定の企業を「重要な」カテゴリーとして分類しており、これらの企業も主要事業主体と同じセキュリティ・プロトコルに従うことが期待されています。その違いの要点は、主要事業主体は予防的監視の下に置かれるのに対し、重要事業主体はコンプライアンス違反の報告があった後にはじめてモニタリングされるという点です。
NIS2の主な要件は何か？
主要事業主体も重要事業主体も共に、重要な資産を保護し、指令準拠を証するために、以下の4つの主要な領域に対応する必要があります。
1.訓練および意識改革 （第20条）: 各事業主体には、従業者が「リスクを特定し、サイバーセキュリティのリスク管理慣行の重要性を理解し、事業体が提供するサービスへのインパクトを見積もるために、十分な知識とスキルを習得できる」機会を得ていることを保証する責任があります。
2.サイバーセキュリティリスク管理措置 （第21条）: 各事業主体は、ネットワークおよび情報システム上のリスクを管理し、軽減するために、適切かつバランスのとれた技術上、運用上、組織管理上の安全策を導入することが求められます。NIS2では、各事業主体が「オール・ハザード」（あらゆる壊滅的危機を対象に含める）アプローチをとる中で、本指令に明記されている、サイバーおよび物理的な資源からのあらゆる種類のインシデントや緊急事態に備えることを推奨しています。
3.報告義務 （第23条）: セキュリティ・インシデントが発生した場合、各事業主体は、不法行為や悪意ある行為によるインシデントまたはその疑いがあるインシデント、あるいは国境を越えて影響を及ぼす可能性のあるインシデントが発生したことを認識してから24時間以内に、CSIRTまたはその他の報告機関に通告することが義務付けられています。さらに、そのインシデント発生から72時間以内に、インシデントの重大性、影響、およびセキュリティ侵害インディケータを含むインシデントの初期評価報告を提出する必要があります。そして、当該インシデント発生から1カ月以内には、根本原因、インシデントの総合的影響評価、および実施済みの緩和策について、概要を記載した最終報告書を提出しなければなりません。また報告機関が必要と判断した場合は、調査期間中いつでも、中間報告または関連する状況の更新を要求する権限がこの法令によって付与されています。また、各事業主体は、影響をこうむる顧客（またはユーザー）に通知し、脅威に対処する解決策を提供することも求められます。
4.EU認証スキームの利用 （第24条）: 第21条の要件に準拠していることを証明するために、各加盟国は、欧州のサイバーセキュリティ認証制度で認証された特定の情報通信技術製品、サービス、およびプロセスを採用または展開することを事業主体に要求することができます。
NIS2準拠体制に取り掛かる
NIS2へのコンプライアンス違反は、事業主体に甚大な損失をもたらします。主要な事業主体であれば、最高1,000万ユーロまたは年間グローバル収益の2%までの罰金が課せられます。重要な事業主体には、最高700万ユーロまたは年間グローバル収益の1.4%の罰金が課せられます。もし貴社がNIS2の適用範囲に入るのであれば、まずNIS2準備アセスメントから始めることを強くお勧めします。NIS2準備アセスメントでは、サイバーセキュリティの現状と、NIS2の要件を満たすために取るべき対策を確認することができます。当インフォメーション・セキュリティ・フォーラムなどの非営利団体や多くのベンダーが、準備アセスメント・サービスを提供しています。
アセスメントが完了すると、各事業主体は、法律への準拠を実証するために必ず必要となる保護策、プロセス、およびプロトコルの開発について、優先順位を付けてロードマップを策定することが可能となります。
（引用ここまで）
さて、専門誌への寄稿ということもあり、最後の段落は、やや宣伝臭がしないでもありませんし、深掘りした情報提供はなされていないように見えます。ISFメンバーであれば、普段やっていることで十分準備が出来ているという認識もあるようです（ISFポッドキャスト「NIS2: EUのサイバーセキュリティ・ゲームプランを読み解く」ご参照）。しかし、よく目を凝らして文章を読みますと、そこにはEUのしたたかな戦略の一端が透けて見えるではありませんか。
新たな行動様式を定着させる仕掛け
まず、上記ブログでは、第一のポイントに訓練と意識改革を挙げていました。そして、実戦的な手立てとして、第四のポイントにEU認証スキームの採用も要点に挙げていました。これらの点は、例えば冒頭の経済産業省資料と視点の置き方が若干異なります。そうです、これらの仕掛けによって、少なくとも規制が及ぶ16万の事業主体における人の訓練や意識改革、セキュリティが関係する製品や部品の購買姿勢が一定程度、共通化されていく道理です。
さらに、人に対する規制によって行動の変容を促す規定を探してみますと、ありました。
まず、「リーダーシップ」の確立に寄与しそうなのが、同指令第32条6項です。コンプライアンス違反の責任を法人だけでなく、対象事業法人のサイバーセキュリティ責任者である自然人にも負わせています。経営陣のうちリスク担当役員が相当するのでしょうが、ここに義務を課し、その反対給付として財源と権限、ひいてはリーダーシップの確立を求めていると読みました。この条項を、「義務論」で読んでしまうと、やれ罰金が取られる大変な規定ができた、と表面だけを捉えて騒いでしまうことになります。ところが、我々は、この改正指令は、「規則功利主義」の基本原理で書かれているのではないかと目星をつけていますから、読み筋が異なるのです。ここに少なくとも16万人の企業内リーダーが同じ目的に向かって糾合することになったと読むわけです。
次に、「技術的主権」の確立に寄与しそうなのが、同指令前文7項に仕込んである、相互学習（peer review*）であり、欧州ネットワーク機関（ENISA）が核となって既に各国で開催されているようです。ここに、知恵が糾合し、脅威のインテリジェンスと脅威を克服するインテリジェンスが共に生まれる契機を見ることができます。
*ピアレビューは、経験を共有することから学び、相互の信頼を強化し、高度なサイバーセキュリティ水準を共同で達成するために導入されるべきであります。また、ピアレビューは、サイバーセキュリティ能力全体を強化し、加盟国間でベストプラクティスを共有するための新たなる有効な道筋として、加盟国のサイバーセキュリティの成熟度を高めることに貢献する、貴重な知見や推奨事項につながる可能性があります。
そして本丸の「レジリエンス」を高める規定です。これにはいくつかありますが、行動変容を促す規制としては、官民パートナーシップの規定（前文55項）、各国協調グループと主要事業主体のリジリエンスグループ間の定例会議（第14条9項）などでしょうか。上述ブログにありましたように、中小企業は直接の規制対象から除かれているものの、簡便なガイダンスを用意すべしとされています（同第7条2項i号）。この規制の角度も知恵を糾合する功利主義に基づいており、さまざまな「規則」を書き込むことによって、在るべき未来をデザインしていると言えるでしょう。
我々は、何を学ぶべきか
法令は、すべからく社会の「正義」に資するものばかりではありません。金融関連法令を上げるまでもなく、功利性を求める法規制も数多く存在します。ただ、サイバーセキュリティや情報セキュリティの分野では、いままで、個人データや情報システムの安全性を発想の起点とすることが多かったため、どうしても公正とか正義という切り口が多かったということでしょう。
では、我々は、改正指令から何を学ぶべきでしょうか。
１．法令には、グランドデザインとなる戦略が必要。
この改正指令の場合、2020年に出された欧州議会と欧州委員会の共同コミュニケ「デジタル時代におけるEUサイバーセキュリティ10年戦略」に、サイバーセキュリティの目的は、柔軟で持続可能な欧州市場の機能向上のため（同第1章冒頭）とされています。そこから、国防や経済安全保障などの個別の国家的利益とは位相の異なる問題と整理し、デザインの骨格が作られていると言えるでしょう。
２．サイバーセキュリティ法令は、イネーブラーであるべき。
市場の機能高度化と言っても抽象的で、民間企業にはピンときません。そこで、戦略を語る場面で、サイバーセキュリティがあることよって、新技術（AI, 5G, 量子コンピュータ、エッジコンピューティング等）を活用した産業がスピーディに成長し、他地域の覇権も握れるという道筋、功利性を訴える必要があります。それ故に、まず規則を決めるところからスタートするのです。
３．サイバーセキュリティは、人と知恵を糾合させることに実利がある。
責任を自然人にまで負わせることによって、事実上人を糾合して、組織化することができます。また、相互学習を義務付けることによって、創発的な知恵を産む仕掛けができます。
そうした人と知恵の糾合は、官主導の投資による技術的主導、政策ポリシーによる国家・産業間の調整といった施策と共に、三本柱を構成して、脅威を克服し、市場の成長を加速する可能性がります。そうなることで、厳しい規制も、市民社会の安寧や公益の亢進、プライバシー等の基本的人権の保障という理念と引き換えに正当化されうるのです。
さて、もう一つ我々が学ぶべきことが宿題として残っているかもしれません。筆者は、EUは一般に法システムを通じて社会問題や未来課題に迫る公正性を重視する志向なのに対して、米国は市場主義を中心に訴訟という回路を使いスピードを重視してきたと理解していました。EUのサイバーセキュリティ法令のデザインに功利主義が入っている意味を、日本企業としても噛みしめておきたいと思います。サイバーセキュリティの問題は、上述の新旧指令やEUの戦略に指摘されるまでもなく、サプライチェーンの問題に帰着します。それは線ではなく、面の問題です。EUは、域内市場を固めつつ、オープンなインターネットを標榜して、世界に市場を広げようとしています。その道具の一つがサイバーセキュリティなのです。日本に取って、「域内」市場はどこでしょうか？ 国内だけ、日中、日韓、日台、日ASEAN？ ビジネス関係は個別企業の努力で広がっていますが、日本流サイバーセキュリティをデザインし、その網がかかる範囲を規定し、着実に目的に届く帰結主義のルールを作るためには、我々一人ひとりの考察と意見表明が求められているのだろうと考えます。
小原：hiro.ohara@securityforum.org
