いいえ。指令の構造と義務をわかりやすくするための非公式英語要約です。拘束力のある解釈については、OJ L 333/80（2022年12月27日）の公式テキスト、またはEUR-Lex（CELEX 32022L2555）をご参照ください。加盟国の国内法の転換において、指令よりも厳格または異なる範囲の義務が課される場合があります。

NIS2の対象となるのはどのような組織ですか？

附属書I（高重要性）または附属書II（その他重要）分野で、中堅企業の閾値（推奨2003/361/ECに基づく従業員50名以上または年間売上1,000万ユーロ以上）を満たすエンティティ。TLDレジストリ、DNSプロバイダー、トラストサービスプロバイダー、中央行政機関など、規模にかかわらず対象となるエンティティもあります。PDFのセクション4、6、7に詳細があります。

NIS2はいつ発効し、転換期限はいつですか？

指令は2023年1月16日に発効しました。加盟国は2024年10月17日までに国内法へ転換する義務があり、適用開始は2024年10月18日（NIS1廃止と同日）です。エンティティリストの欧州委員会への提出期限（2025年4月17日）および定期見直しスケジュールを含む完全なタイムラインはセクション16に記載されています。

最大罰則額はいくらですか？

重要エンティティの場合: 1,000万ユーロまたは世界年間売上高の2%のいずれか高い方。重要度の高いエンティティの場合: 700万ユーロまたは世界年間売上高の1.4%のいずれか高い方。指令は重要エンティティの上級管理職に対する一時的な業務停止命令など、金銭的制裁以外の措置も認めています（最終手段）。罰則決定要素についてはセクション15をご参照ください。

NIS2はEU域外の企業にも適用されますか？

はい、2つの方法で適用されます。直接的: EU域外のDNS、クラウド、データセンター、CDN、MSP/MSSP、オンラインマーケットプレイス、検索、ソーシャルネットワークプロバイダーがEU内でサービスを提供する場合、EU代理人の選任と遵守が必要です。間接的: EUの重要エンティティに製品やサービスを提供するEU域外サプライヤーは、第21条(2)(d)に基づきEU顧客が課すサプライチェーンセキュリティ契約要件の対象となります。セクション17に両方の詳細があります。

第23条のインシデント報告はどのように機能しますか？

重大インシデントを「認知した」時点から3つの期限が発生します。早期警告は24時間以内、完全なインシデント通知は72時間以内、最終報告は1か月以内。重大なサイバー脅威が発生している可能性が高い場合、サービス受益者への通知も不当な遅滞なく行う必要があります。完全な報告マトリクスはセクション10に記載されています。

本要約について

Rediaccはエストニア登録のセルフホスト型インフラストラクチャプラットフォームです（OÜ 17363830、VAT EE102920091）。本要約はNIS2コンテンツプログラムの一環として作成されました。上記のコンパニオンガイドでは、Rediaccが対応できない領域（現時点では認証なし、GRCレイヤーなし、Article 23報告管理なし、ポータル専用MFA）を含め、指令の各条項にRediaccがどのように対応しているかを説明しています。公開されている機能マッピングについては、ドキュメントのNIS2 and DORAをご参照ください。

ベンダー質問票または昨年の予算からセキュリティに関する最大の3つのコスト項目をお送りください。デプロイ済みインスタンスに基づき、書面で、不足している点も含めてご回答します。または、PDFをダウンロードして同僚に転送してください。

PDFをダウンロード