NIS2により、欧州連合全域で重要サービスおよび不可欠なサービスを提供する組織には、より高いサイバーセキュリティ基準が求められます。ITチームとセキュリティチームにとって、この指令は、組織がサイバーセキュリティリスクをどのように管理し、アクセスを制御し、インシデントに対応し、脆弱性に対処し、セキュリティ対策が一貫して適用されていることをどのように示すかに関して、実務上の影響をもたらします。
こうした要件は、EU加盟国が国内法を通じてNIS2を導入するにつれ、ますます具体化しています。オランダでは、NIS2を実施するCyberbeveiligingswetが2026年8月15日に施行され、その対象となる組織に対して、新たなサイバーセキュリティ、登録、インシデント報告に関する義務が発効しました。
ITチームは、実装が必要なサイバーセキュリティ対策と、自社のテクノロジースタックがそれらの管理策を長期的に維持するうえでどのように役立つかを理解する必要があります。
NIS2とは何ですか？
一般にNIS2として知られるNetwork and Information Security 2 Directiveは、重要分野および基幹分野全体のサイバーセキュリティとレジリエンスを強化することを目的としたEUのサイバーセキュリティ指令です。
NIS2は、サイバーセキュリティのリスク管理とインシデント報告の要件を、より幅広い組織に適用することで、元のNIS指令を拡張しています。また、脆弱性管理、アクセスセキュリティ、事業継続性、サプライチェーンセキュリティ、インシデント対応、組織としての説明責任といった分野に対する期待も高めています。
EU加盟国は国内法を通じてNIS2を実施します。基盤となる指令はEU全体で共通のサイバーセキュリティ目標を定めていますが、組織は事業を展開する各国で適用される具体的な要件を確認する必要があります。
NIS2への準拠が必要なのは誰ですか？
NIS2は、幅広い分野で重要インフラ事業者または重要事業者に分類される組織に適用されます。適用可否は、組織が提供するサービス、その規模、属する分野、さらにこの指令を実施する各国の法令などの要因によって決まります。
対象となる分野には、次のような領域が含まれます。
エネルギー
輸送
銀行および金融市場インフラ
医療
デジタルインフラ
ICTサービス管理
行政機関
特定の重要製品の製造
デジタルプロバイダー
郵便・宅配サービス
廃棄物管理
食品の生産と流通
化学
研究
組織は、NIS2が適用されるかどうかを判断する際に、業種や企業規模だけに頼るのではなく、自社の個別の状況を評価する必要があります。
NIS2ではどのようなサイバーセキュリティ要件が導入されますか？
NIS2では、対象組織に対して、サイバーセキュリティリスクを管理するための適切かつ均衡の取れた技術的、運用上、および組織的な対策を講じることが求められています。指令の第21条では、組織が対応すべきいくつかの領域が示されています。
ITチームにとって、いくつかの要件は日々のセキュリティ運用に直接影響します。
1. サイバーセキュリティリスク管理
組織には、サイバーセキュリティリスクを特定し、それを軽減するための適切な対策を実施するプロセスが必要です。
効果的なリスク管理は、システム、ユーザー、エンドポイント、脆弱性、セキュリティ構成を継続的に可視化することにかかっています。ITチームには、環境や脅威の変化に応じてセキュリティ管理策が引き続き効果的に機能しているかどうかを評価するためのプロセスも必要です。
2. インシデントの防止、検知、対応
NIS2では、組織に対してサイバーセキュリティインシデントへの備えと、その対応プロセスの確立が求められます。
そのため、可視性が特に重要になります。ITチームとセキュリティチームは、潜在的な問題を特定し、インシデントを調査し、是正措置を講じ、さらにインシデント報告や事後分析に必要な証拠を提供するために、システムやアクティビティに関する十分な情報を必要とします。
3. 脆弱性対応とソフトウェアセキュリティ
脆弱性管理も、NIS2フレームワークの重要な要素の一つです。
組織には、技術環境内の脆弱性を特定し、不必要なリスクにつながる前に対処するためのプロセスが必要です。これには、オペレーティングシステムやアプリケーションの保守、セキュリティ更新プログラムの適用、修復の進捗状況の追跡、セキュリティ対策が引き続き有効かどうかの評価が含まれます。
反復可能なパッチ管理プロセスは、脆弱性を特定してから影響を受けるシステムを修復するまでの時間短縮に役立ちます。
4. ID、認証、アクセス制御
NIS2では、アクセス制御およびIDに関連するセキュリティ対策が特に取り上げられています。
ITチームは、誰がシステムやリソースにアクセスできるかを把握し、適切なアクセス許可を適用し、不要になったアクセスを削除し、必要に応じて強力な認証メカニズムを使用できる必要があります。
こうした実践は、リモート管理やリモートサポートにおいて特に重要になります。これらの場面では、権限を持つユーザーが組織の従来のネットワーク境界の外部からシステムにアクセスできる場合があるためです。
5. セキュリティ監視と監査可能性
組織には、自社のサイバーセキュリティ対策の有効性を評価する方法も必要です。
ログ、アクティビティ記録、エンドポイント情報、セキュリティレポートを一元化することで、チームはイベントを調査し、管理策がどのように適用されているかを示しやすくなります。アクセス可能な証跡を維持することで、セキュリティプロセスの見直しや監査への準備も容易になります。
ログの記録だけではNIS2の要件を満たしませんが、信頼できる記録は、より広範なコンプライアンスプログラムの重要な構成要素です。
6. 事業継続性とサプライチェーンセキュリティ
NIS2は、エンドポイントやアクセスのセキュリティにとどまりません。この指令では、次のような分野も対象としています。
事業継続性
バックアップ管理と災害復旧
危機管理
サプライチェーンセキュリティ
セキュリティポリシー
サイバーセキュリティ研修
暗号化と暗号技術
人事セキュリティ
資産管理
そのため、組織にはテクノロジー、プロセス、ポリシー、従業員、サプライヤー、経営陣を含む、連携の取れたコンプライアンスプログラムが必要です。
NIS2はITチームにとって何を意味するのでしょうか？
多くのITチームにとって、NIS2は既存のサイバーセキュリティ対策をより一貫性があり、可視化され、繰り返し実行できるものにする必要性を再確認させるものです。
重要な運用上の優先事項は次のとおりです。
デバイス、アプリケーション、脆弱性、セキュリティ状態を可視化し続けること。
定義されたプロセスに従って、オペレーティングシステムとアプリケーションにパッチを適用し続けること。
システムへのアクセスを管理し、定期的に見直すこと。
強力な認証と適切なアクセス許可を適用すること。
調査や監査に役立つログとアクティビティ記録を維持すること。
セキュリティ上の問題を迅速に特定し、再現可能な是正プロセスを確立すること。
適切な場合は、セキュリティおよびメンテナンスのワークフローを自動化します。
正確なハードウェアおよびソフトウェアのインベントリを維持すること。
サイバーセキュリティ管理策が意図したとおりに継続して機能しているかを評価すること。
セキュリティ管理がどのように適用されているかを示す証拠を作成すること。
すでに成熟したサイバーセキュリティ対策に従っている組織にとって、NIS2は既存の多くのプロセスをさらに強化するものとなる可能性があります。課題は、それらのプロセスが環境全体で一貫して運用され、必要なときに証明できるようにすることです。
欧州連合全体におけるNIS2の導入
NIS2は欧州連合全体で共通のサイバーセキュリティフレームワークを確立していますが、各加盟国はそれぞれ独自の国内法を通じてこの指令を施行しています。
その結果、組織は事業を展開する各国で適用される具体的な要件を確認する必要があります。これには、事業体の登録、サイバーセキュリティリスク管理、インシデント報告、監督当局、施行に関する各国のルールが含まれる場合があります。
実施の詳細は国によって異なりますが、NIS2の根底にあるサイバーセキュリティ上の目的は、EU全体でおおむね一貫しています。
SplashtopのNIS2コンプライアンスへの取り組み
Splashtopは、適用されるNIS2要件に準拠しており、クラウドサービスプロバイダーに適用される要件に対応した150を超える管理策を実装しています。これらの管理策は、クラウドベースのサービス提供に伴うサイバーセキュリティ上の責任を管理するための、体系的なアプローチの確立に役立ちます。
NIS2は各国の法律を通じて実施されるため、一部の義務は国ごとに異なります。たとえば、Splashtopはオランダの適用要件に従い、Netherlands National Cyber Security Centre (NCSC-NL) に登録しています。
自社のNIS2プログラムの一環としてテクノロジープロバイダーを評価している組織にとっては、プロバイダーのサイバーセキュリティ対策や規制対応状況も、より広範なサプライヤーおよびサプライチェーンのリスク評価における判断材料となります。
SplashtopがNIS2のサイバーセキュリティ要件対応を支援する方法
組織は、NIS2コンプライアンスプログラムの維持に関わる複数の技術的実務を支援するために、Splashtopの機能を活用することもできます。
1. セキュアリモートアクセスと認証
従業員、IT管理者、ベンダー、サポート技術者がさまざまな場所から業務システムに接続できる場合、リモートアクセスは厳格に管理する必要があります。
Splashtopは、暗号化されたリモート接続、多要素認証、SSO/SAML統合、詳細なアクセス許可、集中管理など、セキュリティ機能と管理機能を提供します。
これらの管理策は、組織がシステムへのリモートアクセスを行えるユーザーを管理し、リモートワークフローにより強力な認証を適用するのに役立ちます。
2. アクセス制御と最小権限
ユーザーには、システムへの不要に広範なアクセスを与えることなく、その責任に必要なレベルのアクセスを付与する必要があります。
Splashtopにより、管理者はユーザー、グループ、コンピュータ、アクセス許可を一元管理できます。組織はこれらの管理機能を使用して、どのユーザーが特定のシステムにアクセスできるかを判断し、責任範囲の変更に応じてアクセスを変更できます。
こうした管理を一元化することで、ITチームはリモートアクセスのアクセス許可を確認し、不要になったアクセスを削除しやすくなります。
3. ログ記録と監査証跡
誰がいつシステムにアクセスしたかを把握することは、セキュリティ調査と監査対応の準備において重要です。
Splashtopは、組織がリモートアクセス活動の記録を維持するのに役立つ、セッションログおよびアクティビティログ機能を提供します。Splashtopのソリューションや構成によっては、追加のログ機能やSIEM機能を使用して、関連するアクティビティをより広範なセキュリティ監視ワークフローに組み込むこともできます。
これらの記録は、ITチームがセキュリティイベントを調査したり、アクセスアクティビティを確認したり、コントロールがどのように機能しているかを示したりする際に、別の証拠ソースとして役立ちます。
4. Splashtop AEMによる脆弱性管理とパッチ管理
パッチ未適用の脆弱性により、エンドポイントが不必要に危険にさらされる可能性があります。Splashtop AEMは、一元的な可視化と自動化を提供することで、ITチームが脆弱性管理とパッチ管理をより継続的に行えるよう支援します。
Splashtop AEMを使用すると、ITチームは次のことが可能になります：
管理対象エンドポイントに影響する脆弱性を特定します。
CVEのインサイトを活用して、修復対応の優先順位付けに役立てましょう。
サポート対象のオペレーティングシステムとサードパーティアプリケーションにパッチを適用します。
エンドポイントのグループ全体にパッチ適用ポリシーを適用します。
パッチステータスを監視し、失敗を特定します。
ハードウェアおよびソフトウェアのインベントリを維持。
自動化を活用して、繰り返し発生する修復作業を減らしましょう。
定期的な手動レビューに主に頼るのではなく、ITチームはエンドポイントの状態を継続的に監視し、脆弱性や不足している更新プログラムが特定された際に対処できます。
5. エンドポイントの監視と修復
サイバーセキュリティ管理を維持するには、チームがエンドポイントの状態が想定されたポリシーから外れていることを把握し、適切に対応することも必要です。
Splashtop AEMは、一元化されたエンドポイントの可視化、プロアクティブなアラート、ポリシーベースの管理、スクリプト、タスク、修復機能を提供します。これらのツールは、ITチームが各デバイスに個別に対応することなく、管理対象エンドポイント全体で問題を特定し、是正措置を適用するのに役立ちます。
自動化により、定期的なセキュリティおよびメンテナンスプロセスの再現性を高めることもでき、タスクが手動対応に大きく依存することで生じるばらつきの軽減に役立ちます。
NIS2コンプライアンスへのより再現性の高いアプローチを構築
NIS2により、組織が一貫して適用、監視、文書化、改善できるサイバーセキュリティ管理策の重要性が高まっています。セキュアなアクセス、強力な認証、脆弱性の修復、エンドポイントの可視性、信頼できるアクティビティ記録は、いずれもその基盤の構築に貢献します。
Splashtopは、ITチームがセキュアリモートアクセスとリモートサポートを一元化できるよう支援するとともに、Splashtop AEMを通じて可視性、パッチ適用、自動化、エンドポイント管理を強化します。Splashtop自身のNIS2準拠とNCSC-NL登録により、顧客はテクノロジープロバイダーのセキュリティ体制を評価する際に検討できる追加情報も得られます。
Splashtopが組織のセキュアアクセス、エンドポイント管理、NIS2対応強化にどのように役立つかをご覧ください。
