メインコンテンツにスキップ ナビゲーションにスキップ フッターにスキップ
期間限定：デザインパートナープログラム — BUSINESSプランを永久利用→
By Muhammed Fatih Bayraktar Published Category guide

第1回 NIS2 監査サイクルで購入者が語ったこと

2026年に中堅市場の重要エンティティが静かに構築しつつある5ツールコンプライアンス構成、セルフホスト型コントロールプレーンが統合できるもの、そしてどちらを選んでも残り続けるコスト項目。

#nis2#buyer-guide#compliance#cost#mid-market

要点まとめ。 ドイツ波の第1回 NIS2 監査はすでに一区切りを迎えました。12月以降に話を聞いた購入者はいずれも、同じ構成のいずれかのバリエーションを描写します。5つのツール、3つの契約、2つの重複した監査ログ、そして1つの埋めきれないギャップ。この記事はその対話の構造版です。セルフホスト型コントロールプレーンが何を統合するか、どちらを選んでも予算に残り続けるもの、そして2026年の更新サイクルに対する正しい問いは「Veeam より安いか」ではなく「登録エントリが少ないか、重複が少ないか、ギャップが正直に名指しされているか」であること。

  • Frontier Economics は EU 全体の NIS2 コンプライアンスを年間 EUR 31.2 億と算定しました。中堅市場での1組織あたりの実態は「セキュリティスタックはすでにあった。NIS2 が不足を可視化した」というものです。
  • 5ツール構成とはバックアップ、DR、マスキングまたはテストデータ、ペンテスト契約、GRC です。それぞれが役割の一部を担いますが、全体をカバーするものはありません。
  • Rediacc はバックアップ、DR、フォークをテストデータとして活用すること、そしてインスタントリストアを1つのコントロールプレーンと1つの監査ログに統合します。GRC、認証、トレーニング、広義の MFA、ペンテスト、SIEM および SOC は統合しません。
  • 「引き続きあなたの負担」テーブルがこの記事の核心です。それを読んで Rediacc が Drata を置き換えると結論づけた購入者は、監査担当者を失望させることになります。

2025年12月、ドイツの BSI は NIS2 のスコープ内と判断したにもかかわらず未登録の 47 のエンティティに正式通知を発行しました。フランスの ANSSI は並行して同様の取り組みを開始しました。イタリアの ACN は未登録と思われる約 2,000 のエンティティの追跡を開始しました。中堅市場の重要エンティティおよび重要エンティティの第1波が、最初の NIS2 監査サイクルに入りました。これらの通知は、コンプライアンスプログラムが単に「ある」のではなく、実際に証拠として示せる状態でなければならないという現実を突きつけるものでした。

それ以来、私たちはそのうちの約30社と通話してきました。業種も規模も異なり、大半がドイツとイタリアで、オランダとエストニアに少数あります。会話には共通のパターンがあります。どのチームもバックアップベンダーを持ち、テストされたかどうか定かでない DR 計画を持ち、半分しか正確でないステージング環境の話を持ち、NIS2 が誰かのスライドに載る前に承認された調達予算を持っています。監査が始まるまで、そのギャップが可視化されることはありませんでした。

この記事はそれらの対話の構造版です。2026年に CFO や購入者が実際に署名を求められているもの、セルフホスト型コントロールプレーンが請求書に何を変えるか、そして正直な残余コストがどのような形になるかです。これはあえて TCO 計算ツールではありません。対話している購入者が必要としているのは、もう一つのスプレッドシートではなく、お金がどこに流れているか、どのコスト項目が重複しているかを示す構造的な地図です。

「セルフホストが重要」という主張の背後にあるサプライチェーンリスクの論拠については、Article 21(2)(d) に関するコンパニオン記事をご覧ください。年1回のペンテストがもはや十分ではない理由についての SRE レベルの論拠については、継続的有効性に関するコンパニオン記事をご覧ください。この記事はその中間、予算の対話に位置します。3つの記事を合わせて読むと、データプレーンのアーキテクチャ選択から継続的有効性の証拠生成、そして CFO が署名する予算の構造まで、NIS2 コンプライアンスの全体像が見えてきます。

マクロ数値、その意味と意味しないこと

Frontier Economics が欧州委員会のために行った2024年の調査は、EU 全体の NIS2 コンプライアンスの直接年間コストを EUR 31.2 億としました。この数値は広く引用されていますが、同様に広く誤読されています。

EUR 31.2 億は約 160,000 の重要エンティティおよび重要エンティティにまたがります。組織あたりの平均は EUR 150,000 から 250,000 の範囲に収まり、業種と規模が分散の大半を決めます。製造業や医療の 250 名規模の中堅市場重要エンティティはこの範囲の上限にあります。データ密度の低い業種の 60 名規模の重要エンティティは下限にあります。この範囲のどこに自社が位置するかは、既存のセキュリティ投資の状態と、NIS2 が求める措置のうち何がすでに充足されているかによって決まります。すでに ISO 27001 を取得しているチームは認証コストの多くが相殺されますが、テストデータや継続的有効性の評価については新たな投資が必要になることが多いです。

ENISA 自身の実施コストガイダンス（実施規則 (EU) 2024/2690 の Annex IV）は Frontier の数値と整合しますが、内訳の区切り方が異なります。ツーリングに約 35 から 45 パーセント、人材とトレーニングに 30 から 40 パーセント、認証と監査に 15 から 20 パーセント、インシデント対応のリテーナーとマネージドサービスに 5 から 10 パーセントです。これらの割合はおおむね私たちが購入者との対話で観察した数値と一致しています。

2026年の予算に署名する CFO にとって何を意味するか。ツーリング層はすでに何が整備されているかによって、中堅市場で年間おおよそ EUR 50,000 から EUR 120,000 です。このツーリング層をこれから詳しく見ていきます。すでに NIS2 以前に一部のツールを持っているチームにとって、問いは「新しいスタックをゼロから構築するコスト」ではなく「既存の投資の重複と空白をどう整理するか」です。

意味しないこと。NIS2 対応バンドルを購入すれば問題が解決するというわけではありません。人材トレーニングと認証の予算はほとんどのチームでツーリング予算より大きく、いかなるツーリングベンダーもそれを削減しません。50 パーセントの NIS2 コスト削減を主張するベンダーの売り文句は、ほぼ例外なくプログラム全体のコストではなくツーリングのみのコスト項目に対して計算しています。その主張は技術的に誤りではないかもしれませんが、CFO が署名する総予算に対して正直ではありません。

中堅市場チームが静かに組み上げた5ツール構成

30 社の購入者との対話を通じて、90 パーセントのケースで構成は同じです。カテゴリが5つあり、それぞれ1つか2つの具体的なベンダーがいます。カテゴリラベルは安定していますが、ベンダーの選択は様々です。構成が同じであるということは、問いも同じだということを意味します。どのカテゴリに重複があるか、どのカテゴリにギャップがあるか、そして NIS2 がその両方をどのように可視化するかという問いです。

1. バックアップベンダー。 最も多い回答は Veeam Data Platform Foundation または Premium です。小規模向けには Cohesity DataProtect、Rubrik Security Cloud、Commvault、Acronis Cyber Protect があります。中堅市場での年間コストは EUR 15,000 から EUR 60,000 の範囲です。通常、最も長い歴史を持つコスト項目であり、NIS2 より数年前から存在しています。成熟したバックアップ製品であっても、NIS2 が求める監査ログの粒度や LUKS2 暗号化との組み合わせ要件を満たすための追加設定が必要になる場合があります。

2. DR サイトまたは DR-as-a-service。 手順書付きのセカンダリクラウドリージョン、Veeam Cloud Connect または Rubrik Cloud Vault のテナンシー、あるいはマネージド DR プロバイダーとの契約のいずれかです。年間コストは EUR 8,000 から EUR 35,000 です。実際にはほとんどテストされておらず、手順書は運用上のものというより理想を記したものであることが多いです。NIS2 の監査で「最後に DR テストを実施した日付と所要時間」を問われた際に、正確に答えられないチームが多いです。これは文書化の問題である以前に、テスト実施そのものの問題です。

3. テストデータまたはデータマスキングツール。 エンタープライズのデフォルトは Delphix（現在は Perforce DevOps Data）です。Tonic.ai、Redgate Test Data Manager、場合によってはカスタムビルドの rsync とマスクスクリプトもあります。ライセンスオプションの年間コストは EUR 25,000 から EUR 90,000 です。私たちが話したほとんどのチームはこのコスト項目を持たず、十分だと期待するステージング環境で代替しています。Article 21(2)(e) の監査の対話が、これを予算に載せるきっかけになります。ステージング環境が本番データの現実的な近似でない場合、パッチやアップデートのテスト結果の信頼性が低下します。監査担当者はテスト環境の構築方法を詳しく問うことが増えています。

4. ペンテスト契約。 セキュリティテスト会社とのリテーナー、または Pentera や Horizon3.ai のような自律型プラットフォームです。自律型ツールの年間コストは EUR 15,000 から EUR 50,000、人手による取り組みは EUR 20,000 から EUR 80,000 です。ほとんどのチームがこれを持っています。ほとんどのチームが年に1回か2回実施しています。Article 21(2)(f) の観点では、この頻度が問題になることが増えています。年1回のペンテストは「その時点での脆弱性の断面図」を提供しますが、その後にリリースした変更やパッチが新しい脆弱性を生んでいないかを継続的に確認する仕組みにはなっていません。

5. GRC プラットフォーム。 Drata、Vanta、OneTrust、AuditBoard、Hyperproof、DataGuard、Kertos です。最小規模のチームでは自作のスプレッドシートを使うこともあります。年間コストは EUR 12,000 から EUR 60,000 です。サプライヤー登録簿、コントロールフレームワークの証明、エビデンス収集、そして（増加傾向にある）SOC 2 または ISO 27001 の監査サポートに使用されます。GRC プラットフォームは NIS2 対応の中枢的な役割を担いますが、それ自体ではコントロールを実施しません。バックアップが実際に取得されているかどうかを GRC ツールが確認するのではなく、バックアップツールのログを取り込んで証拠として整理するのが GRC の役割です。この区別を理解していない購入者が GRC を「NIS2 対応ソリューション」として捉えることがありますが、それは誤解です。

5つのコスト項目、3つから5つの具体的なベンダー、人材とトレーニングを除いて通常 EUR 75,000 から EUR 295,000 の年間費用。分散は広いですが構造は一貫しています。重要なのは、この金額の幅の多くがカテゴリの有無ではなく、カテゴリ内のベンダー選択と機能グレードによって決まることです。

5つの契約はしばしば互いに連携しません。監査ログは統一されていません。離脱計画は別々に作成されています。ベンダーレビューは別々に行われ、時には異なる調達担当者が担当します。これが NIS2 を不快にさせる構造的な形状です。バックアップ担当チームは DR 担当チームと別であり、GRC 担当チームは両方と別であるというケースは珍しくありません。NIS2 は横断的なコントロールの観点を求めますが、既存のスタックはサイロ型に組み上げられています。

重複がある場所

スタック内のすべてのカテゴリは少なくとも1つの他のカテゴリと重複しています。

バックアップと DR の重複。 現代のバックアップベンダーはいずれも DR 対応を主張しています。Cloud Connect を搭載した Veeam Data Platform は DR 製品です。Cloud Vault を搭載した Rubrik は DR 製品です。2つのコスト項目は同じベンダーの隣接する機能に対して重複して支払っていることが多いです。コスト項目を統合してこなかった購入者には運用上の理由（チームの分離、SLA の分離）がありましたが、NIS2 の「単一の信頼できる回復源」という期待のもとでは、その根拠は弱まります。2つの項目が同一ベンダーの異なる SKU であるにもかかわらず、別々の購買プロセスと別々の更新日を持っているケースがあります。NIS2 の監査は「バックアップと DR が同じ手順書の下で管理されているか」を問います。別々の SKU は必ずしもその問いへの否定的な答えを意味しませんが、証拠としての提示が複雑になります。

バックアップとテストデータの重複。 Veeam Instant Recovery、Rubrik Live Mount、Cohesity SmartFiles はいずれもテスト用にマウント可能なバックアップの何らかの形を提供しています。完全な Delphix の代替ではありません（マスキング層は別であり、データベース統合の深さも浅いです）が、多くのテストデータのユースケースではバックアップツールが答えの半分になっています。ほとんどのチームはそれに気づいていません。その結果、バックアップツールにすでに含まれている機能に加えて、テストデータツールの年間 EUR 25,000 から EUR 90,000 を別途支払っているケースがあります。その支出の一部は、バックアップツールの契約を正確に理解することで削減できる可能性があります。

ペンテストと自律型テストの重複。 リテーナーベースの人手によるペンテストと Pentera スタイルの継続的テストは、代替として提示されることもあれば、補完として提示されることもあります。実際には、両方を持つ購入者は隣接する能力に対して二重払いをしています。どちらも持たない購入者は Article 21(2)(f) のギャップを抱えています。年1回の人手によるペンテストと月次の自律型スキャンを組み合わせる選択は、それ自体は合理的です。しかし購買プロセスがそれぞれ別々に行われている場合、スコープの重複と監査証拠の形式の不一致が発生しやすくなります。購入前に両者のスコープ定義を突き合わせることを勧めます。

GRC はすべてと重複。 Drata はバックアップ、DR、アイデンティティ、脆弱性管理、トレーニング、インシデント対応との統合を主張しています。統合の深さは様々です。バックアップツールとの統合が浅い GRC プラットフォームは、バックアップツール自身のエビデンスとは異なるコンプライアンスエビデンスを生成します。監査担当者はどちらが正典かを問い始めています。GRC プラットフォームが「バックアップ完了」と表示していても、実際のバックアップ成否は別のシステムで管理されているという状況は、監査証拠として脆弱です。一方のシステムに示されていてもう一方に示されていない場合、監査担当者はより厳格な審査を行うことになります。

重複は無駄ではありません。NIS2 が統合の問いを構造的にする以前に、10年かけて組み上げられたスタックの結果です。各カテゴリはそれぞれ当時の正当な理由で導入されており、その時点ではベンダー間の統合よりも個別の機能要件が優先されていました。NIS2 はその意思決定の前提を変えました。統合の欠如は過去の合理的選択の副作用であり、単純な失策ではありません。しかし2026年の更新時点では、その前提を再評価する機会が生まれています。

ギャップがある場所

ギャップは重複よりも興味深いです。NIS2 が表面化させるのはギャップだからです。重複は削減の機会ですが、ギャップは義務の不履行です。この違いは重要です。

実本番データに対するパッチ検証。 5つのカテゴリのいずれもこれをうまく行えません。バックアップツールはバックアップをマウントしますが、マウントされた環境は現在の本番ではなく回復されたバックアップです。テストデータツールは本番データをマスクしますが、マスクされた環境は形状は現実的でも設定差分を失います。ペンテスト契約は指定された場所をテストしますが、90 パーセントのケースではステージングを対象にしています。「ツールがある」と「現在の本番相当環境に対して CVE パッチを1時間以内にテストできる」の間のギャップは実在し、構造的です。このギャップを埋めるには、本番の状態をそのまま複製できる仕組みが必要です。既存のカテゴリはいずれも、本番の「現在の状態」ではなく「過去の状態のコピー」か「変形された近似」しか提供できません。

継続的有効性の評価。 ほとんどのチームが行うのは年1回のサイクルです。Article 21(2)(f) はより頻繁なものを求めています。5つのカテゴリのいずれも、デフォルトで週次または隔週のエビデンスを生成しません。購入者はカスタムドリルを実施する（まれで、高コスト）か、年1回のサイクルを受け入れて監査担当者が受け入れることを期待する（ますます受け入れられなくなっています）かのどちらかです。2026年のドイツとイタリアの監査では、「最後の回復テストはいつか」という質問に対して「12か月以上前」と答えたチームが注意事項付きの所見を受けていることが報告されています。「テストしていない」ことは Article 21(2)(f) の明確な不備として扱われ始めています。

サプライチェーン登録簿の統合。 5つのベンダーそれぞれが独自の登録エントリになります。それぞれ固有の DPA、SCC、副処理者リスト、離脱計画を持ちます。人材トレーニングツール、アイデンティティツール、オブザーバビリティツール、IaaS が加わる前から登録簿には5つのティア1エントリがあります。NIS2 の観点でのサプライチェーンの対話は、セキュリティの対話と同様に登録管理の対話でもあります。多くのチームが、登録簿を最初に作成したときに想定した規模よりも実際の登録エントリが大幅に多いことに気づきます。その管理コストは見えにくいですが実在します。DPA の更新通知への対応、副処理者の変更レビュー、年次リスク評価の実施が、ベンダー1社あたり年間数時間から数十時間の工数を占めることがあります。（構造的な論拠についてはサプライチェーン記事をご覧ください。）

Article 23 の報告ワークフロー。 24時間の早期警告、72時間の通知、1か月のレポートは、5つのカテゴリのいずれによっても自動的に生成されません。SIEM、SOC（社内または外部委託）、そして国内の CSIRT に提出する方法を知る担当者が必要です。小規模なチームはしばしばこれを持ちません。最初のインシデントが痛みを伴う学習経験になります。Article 23 の要件は、インシデントが発生してから対応ワークフローを設計しようとしても手遅れであることを意味します。早期警告の24時間とは、通常の調達サイクルや法務確認を経る余裕のない時間軸です。このワークフローの設計と演習は、ツーリングとは独立して事前に整備が必要な領域です。

Rediacc が統合するもの

Rediacc は統一された監査ログを持つ1つのコントロールプレーンであり、セルフホスト型インフラに対して5つのカテゴリのうち4つのコア機能を置き換えます。

バックアップ: ホット（クラッシュ整合性 BTRFS スナップショット、ダウンタイムなし）とコールド（アプリ整合性の停止スナップショット起動）のバックアップ戦略で、systemd タイマーでスケジュールされ、rclone で複数の宛先に対応します。LUKS2 暗号化ボリューム。オペレーターが資格情報を保持し、Rediacc 社は平文データを見ることはありません。Article 21(2)(d) の観点で重要なのは、暗号鍵がベンダーではなくオペレーターの管理下にある点です。従来の SaaS バックアップではベンダーが鍵を保有するため、ベンダーのインシデントがそのままデータ暴露のリスクになります。Rediacc ではその層が除去されています。運用上の形状についてはバックアップとリストアおよびクロスバックアップ戦略をご覧ください。

DR: バックアップと同じプリミティブに加え、クロスマシンのデータ移動のための rdc repo migrate、そして並行マシン上での回復された状態の高速起動のためのフォークプリミティブを使用します。DR サイトは別の Hetzner マシン、OVH マシン、オンプレミスラック、SSH が届く場所ならどこでもかまいません。データパスに DR ベンダーのクラウドはありません。マネージド DR プロバイダーを使用する場合と異なり、フェイルオーバー先のインフラに新たなサプライヤー登録エントリが発生しません。これはサプライチェーン登録簿の観点で実質的な違いです。

テストデータとフルスタッククローン: リポジトリサイズによらず一定時間の BTRFS リフリンクベースのフォーク、フルスタック（データ、設定、コンテナ状態、サービス）対応です。PocketOS テストでは 128 GB のリポジトリを 7.2 秒でフォークしました。フォークは縮小されたステージング環境ではなく、現在の本番状態そのものです。CVE パッチのテストを「本番相当環境」で行えるというのは、マスキングやデータ削減を経たテストデータツールでは困難な要件です。リスクフリーアップグレードをご覧ください。

インスタントリストア: 任意の rclone ターゲットから rdc repo backup pull で新鮮なフォークに取り込み、親リポジトリのワイルドカード証明書でカバーされるフォーク固有のサブドメインで起動します。DNS の混乱も、証明書のダンスも必要ありません。インシデント対応の演習で「回復にかかった実際の時間」を記録する際、この手順の再現性と速度がそのまま監査証拠になります。

統一された監査ログ: コントロールプレーン全体（認証、API トークン、設定書き込み、リポジトリのライフサイクル、バックアップ、同期、ターミナルセッション、マシン操作）をカバーする 70 以上のイベントタイプを記録します。オペレーターのワークステーション上でハッシュチェーンされており、rdc audit verify がエンドツーエンドの整合性を検証します。監査担当者が「誰がいつ何のアクセスを行ったか」を問う際、このログが一次ソースとなります。複数のベンダーにまたがるログを突き合わせる必要がなく、単一のログで全体像が把握できます。

250 名規模の中堅市場重要エンティティの場合、統合は4つの具体的なベンダー（バックアップ、DR、テストデータ、インスタントリストア）から1つになります。1つのライセンス、1つの監査ログ、1セットのアップグレード決定、1つの登録エントリです。サプライヤー登録簿の観点でも、DPA の交渉対象が4社から1社に減ることを意味します。これは単純なコスト削減以上に、コンプライアンス管理の認知負荷の軽減を意味します。

5番目のカテゴリである GRC は統合しません。それについては次のセクションで触れます。

どちらを選んでも予算に残るもの

これがこの記事の残りが正直かどうかを決めるセクションです。2列のテーブルで整理します。

Rediacc が除去するもの引き続きあなたの負担、コスト項目ごとに
バックアップベンダーライセンスGRC プラットフォーム（Drata、Vanta、OneTrust、AuditBoard、DataGuard）: サプライヤー登録簿、コントロールフレームワークの証明、エビデンス収集、SOC 2 または ISO 27001 の監査サポート
DR サイト契約または DR-as-a-service テナンシー認証監査コスト（ISO 27001、SOC 2、必要であれば BSI C5。Rediacc 自体はまだ認証を取得していないため、その間はそのコストを負担します）
テストデータまたはマスキングツールライセンス人材トレーニングとセキュリティ意識向上の予算（NIS2 Article 21(2)(g)）
バックアップベンダーのインスタントリカバリライセンス広義の法人 MFA ソリューション。Rediacc はポータルに TOTP を備えていますが、法人 MFA プラットフォームではありません
ペンテスト契約または自律型テストプラットフォーム。Rediacc はターゲット環境を提供しますが、テスト能力は提供しません
Article 23 の検知と報告のための SIEM および SOC。Rediacc はフォレンジックグレードのアーティファクトを提供しますが、運用上の報告層は提供しません
IaaS プロバイダー（Hetzner、OVH、コロ施設、ベアメタル）。Rediacc はインフラの代わりではなく、インフラの上で動作します
プログラムを運営する人材。Rediacc はツーリング層であり、セキュリティチームではありません

テーブルの右列は左列より長いです。これが NIS2 コストの正直な形状です。バックアップと DR とテストデータの重複を除去することで実際のお金と実際の登録エントリを節約できますが、それがセキュリティプログラムを SaaS サブスクリプションに変えるわけではありません。人材、認証、GRC、ペンテスト、SIEM の予算は Rediacc があっても残ります。この正直さが、私たちの提案の信頼性の根拠です。

これを読んで「Drata を Rediacc で置き換えられる」と結論づけた購入者は監査担当者を失望させることになります。正しい読み方はこうです。Rediacc が可能にするデータプレーンベンダーの統合は GRC ツールがなし得ないことであり、GRC ツールが行う登録とエビデンスの作業は Rediacc がしないことです。両者は補完的な関係にあります。Rediacc を導入して GRC の予算を削った購入者は、次の監査サイクルで体系的なコントロール証拠の欠如を指摘されることになります。逆に、Rediacc のデータプレーン統合なしに GRC だけを持つ購入者は、エビデンスを生成しようとしても参照すべき統一した監査ログが存在しないという問題に直面します。

機能と NIS2 条文のパブリックなマッピングについてはNIS2 と DORAをご覧ください。より広いアーキテクチャの枠組みについてはコンプライアンス概要をご覧ください。Rediacc 側の商用詳細についてはサブスクリプションとライセンシングをご覧ください。

参照シナリオ、構造的であり数値的でない

250 名規模のドイツの製造会社を例に取ります。Annex II の「重要エンティティ」分類です。本番データは4から6台のサーバー上にあり、ほとんどがセルフホストで、1から2つの SaaS ツール（CRM、給与計算）を使用しています。年間売上 EUR 8,000万。既存のセキュリティチームは3名。

導入前のデータプレーン構成：

  • Veeam Data Platform Foundation、EUR 24,000/年
  • DR 用 Veeam Cloud Connect、EUR 12,000/年
  • テストデータ用に自作の rsync と pg_dump の組み合わせ。ライセンスコストは無料ですが、SRE の半日を2週間ごとに消費します
  • 年1回のペンテスト、EUR 22,000
  • GRC 用 Drata、EUR 18,000/年

5つの契約。そのうち2つ（Veeam、Veeam Cloud Connect）は同じベンダーの異なる SKU です。ペンテストや GRC を除いたデータプレーンのコスト項目の合計は EUR 36,000/年です。チームは年1回の回復テストを実施し、継続的有効性のエビデンスはなく、データプレーン側だけで5エントリのあるサプライヤー登録簿を持っています。監査担当者からは「バックアップと DR が同一ベンダーの SKU 違いであるにもかかわらず、一体的なコントロールとして運用されているかが不明確」という指摘を受けています。これは珍しい指摘ではなく、似たような状況のチームが複数から同様のフィードバックを受けています。

導入後、セルフホストワークロードに Hetzner 上の Rediacc を使用：

  • Rediacc Business ティア、EUR 8,400/年（リポジトリサイズをカバー）
  • プライマリとセカンダリ合わせた Hetzner IaaS、EUR 9,600/年（すでに予算内であり、新しいコスト項目にはなりません）
  • ペンテスト契約は継続（EUR 22,000）
  • Drata は継続（EUR 18,000）
  • 自作のテストデータスキームは廃止。2週間ごとの SRE の半日は代わりに週次の有効性ルーティンの実行に充てられます

データプレーンの統合：5つのコスト項目が1つ（Rediacc）と既存の IaaS 項目に集約されます。サプライヤー登録簿のデータプレーンセクションは5エントリから2エントリに減少します。継続的有効性の説明はハッシュチェーンされた監査ログエビデンスを伴う週次ドリルに変わります。回復テストの説明は rdc machine backup status の出力と週次のリストアドリルによって裏付けられます。GRC プラットフォームへの入力となるエビデンスの質も改善します。バックアップベンダー個別のレポートではなく、コントロールプレーン全体の統一した監査ログをエビデンスとして提出できるからです。

数値はあくまで例示であり、約束ではありません。あなたのスタックは異なります。4から5つのコスト項目が1つと既存の IaaS に収束するという形状が、実際の購入者との対話が示すものです。

これでないものについての注記

この記事は Veeam の批判でも TCO 計算ツールでもありません。Veeam がヨーロッパで最大の VM バックアップ市場シェアを持つのには正当な理由があります。製品は成熟しており、パートナーネットワークは広く、NIS2 マーケティングは強力で、2026年に Veeam を選ぶ購入者は間違いを犯していません。参照シナリオの数値は例示であり、実際の購入者との対話から引き出したものであり、ベンチマークではありません。あなた自身の契約に対して構造分析を実行してください。

これが何であるか。バックアップ、DR、またはコンプライアンス契約を今後12か月で再交渉しており、セルフホスト型コントロールプレーンがコスト項目に何を変えるかを知りたい CFO のための購入者側の枠組みです。Veeam や Rubrik を批判する目的はなく、それらのベンダーが提供する価値を否定するものでもありません。問いはただひとつ、あなたの現在のスタックの構造が、NIS2 が求めるコンプライアンスの証拠を生成するうえで最も効率的な形になっているかどうかです。その問いに対する答えは、チームごとに異なります。現在のスタックで十分であれば、それは正直な結論です。最低限のコストで NIS2 対応を完成させることが目的であり、ベンダーを変えることは手段のひとつに過ぎません。

次にすること

更新サイクルに向かっていて予算がオープンな場合、具体的な3つのアクション：

  1. 昨年の最大3つのセキュリティとインフラのコスト項目を取り出してください。 DPO、CISO、監査担当者に送ってください。NIS2 が可視化する前からすでに重複していたものはどれかを尋ねてください。ほとんどのチームは支払い続けてきた重複が少なくとも1つ見つかります。この演習の目的は削減ではなく、現在の構成を正確に把握することです。削減はその後に自然に続く議論です。
  2. 現在のデータプレーン構成を上記の5カテゴリリストに対してマッピングしてください。 1つのベンダーがいるカテゴリ、2つのベンダーがいるカテゴリ、いないカテゴリに注目してください。「なし」のセルが NIS2 が表面化させるギャップです。このマッピングを次の更新サイクルの調達ブリーフの冒頭に置くと、CISO と CFO の対話が整理されます。ベンダーの選択より先に、カテゴリの充足状態を合意することが先決です。
  3. 各データプレーンベンダーについてサプライチェーン記事のサプライヤー登録簿演習を実行してください。 登録エントリを数えてください。その数はチームが想定していたより多いことが通常です。副処理者まで含めると、5つのベンダー契約が 15 以上の登録エントリになるケースは珍しくありません。

ショートリストに載っているなら、提案は具体的です。昨年のセキュリティとインフラ予算の最大3つのコスト項目を送ってください。1週間以内に、書面で、どれが統合できてどれができないかをお伝えします。回答にはギャップも含まれます。ギャップを名指しすることが残りの回答を信頼できるものにするからです。統合できないと判断したものについては、その理由と残余リスクの管理方法も合わせてお伝えします。

ゼロコストバックアップ（ストレージ側で既存の大手より軽く動作する理由のアーキテクチャ上の論拠）、クロスバックアップ戦略（大陸間 DR）、およびサブスクリプションとライセンシング（商用面）については、リンクされたドキュメントをご覧ください。