NIS2指令を学ぶ：CISOとコンプライアンス担当者のための要約

いいえ。指令の構造と義務をわかりやすくするための非公式な要約です。法的拘束力を持つ解釈については、OJ L 333/80（2022年12月27日）またはEUR-Lex（CELEX 32022L2555）の公式テキストをご参照ください。加盟国の国内法転換により、指令よりも厳格な義務が課される場合もあります。

附属書IまたはII分野で、中堅企業の基準（推奨2003/361/EC）を満たすエンティティです。つまり従業員50名以上、または年間売上1,000万ユーロ以上。TLDレジストリ、DNSプロバイダー、トラストサービスプロバイダー、中央行政機関など一部のエンティティは規模を問わず対象です。詳細はPDFのセクション4、6、7をご覧ください。

指令は2023年1月16日に発効しました。加盟国は2024年10月17日までに国内法に転換し、2024年10月18日から適用開始（同日NIS1廃止）。委員会へのエンティティリスト提出期限は2025年4月17日です。詳細と見直しスケジュールはセクション16に記載。多くの組織が既にこのタイムラインのかなりの部分を過ぎていることに気づいていません。

必須エンティティの場合、1,000万ユーロまたは世界年間売上高の2%のいずれか高い方。重要エンティティの場合、700万ユーロまたは世界年間売上高の1.4%のいずれか高い方。罰則以外の措置も可能です。最終手段として、規制当局は必須エンティティの上級管理職の職務停止を命じることができます。罰則決定の要素についてはセクション15をご参照ください。

はい。2つの方法で適用されます。直接：EU域外のDNS、クラウド、データセンター、CDN、MSP/MSSP、オンラインマーケットプレイス、検索、ソーシャルネットワークプロバイダーがEU内でサービスを提供する場合、EU代理人の選任と遵守が必要です。間接：EU域外のサプライヤーがEUの重要エンティティに製品やサービスを提供する場合、第21条(2)(d)に基づくサプライチェーンセキュリティ契約要件の対象となります。詳細はセクション17をご覧ください。

重大インシデントの「発覚時点」から3つの期限が発生します。24時間以内に早期警告、72時間以内に完全な通知、1か月以内に最終報告。重大なサイバー脅威が発生する可能性が高い場合は、サービス受益者への通知も遅滞なく行う必要があります。完全な報告マトリックスはセクション10に記載されています。