NIS 2・REC・DORA、仏で対応の猶予が終了へ

フランスで、EUのNIS 2指令とREC指令の国内法化、およびDORA規則の実施をめぐる「猶予期間」が終わりつつある。約2年にわたり、これらは技術的な案件として扱われてきた。法案は予告されては延期され、EU側の期限も少しずつずれ込んでいた。

下院の特別委員会に出席したデジタル担当相のAnne Le Hénanff氏は、脅威は立法を待ってくれないと指摘した。直近の数カ月では、ANTSやDGFIPなど複数の重要な行政機関が被害を受けた。リスクはもはや重要インフラ事業者に限られず、デジタルに依存するあらゆる組織に及ぶ。農村部の小さな自治体から国際的な企業グループまで例外ではない。

「法律がない」は理由にならない

多くの組織は、最終的な法律がないことを理由に予算確保や対応プログラムを先送りしてきた。しかしNIS 2、REC、DORAの指針は何年も前から知られており、EUの条文は公表され、主な義務も明確だ。仏サイバーセキュリティ機関ANSSIも、準備に必要な基準類の多くを提供している。足りなかったのは規則の見通しではなく、難しい判断を下す意思だったという。

サイバー対策は経営の課題に

これらの規則の核心は、サイバーセキュリティが情報システム部門だけの仕事ではなく、ガバナンスの問題になる点にある。財務や法令順守、人事と並び、経営層が直接責任を負う領域になる。

求められる水準も変わる。従来はウイルス対策ソフトやパスワード規定、数回の監査を示せば足りた。今後は、リスクを把握・管理し、インシデントを検知して報告し、危機の後に迅速に業務を復旧できることを実際に証明しなければならない。キーワードはレジリエンスで、時間と手法、文書化、定期的な演習が必要になる。

自治体が最前線に

議会では、予算や人材に限りのある自治体の懸念が繰り返し示された。だが自治体は機微なデータを保有し、重要なサービスを担うため、狙われやすい。EUが対象範囲を大きく広げたのもそのためだ。リスク評価、監査、証拠書類、インシデント通知など作業量は膨大で、手作業の管理は早晩限界に達する。行政機関には、2022-513号デクレに基づくセキュリティ認定の要件も課されている。