欧州NIS2指令に伴う工場審査の実態と日本企業への戦略的提言

欧州におけるサイバーセキュリティ規制の枠組みは、2024年10月に施行された「NIS2指令（第2次ネットワーク・情報安全確保指令）」により、製造業の経営陣が無視できない「法的義務」へと昇華しました。本指令、およびそのドイツ国内法である「BSIG（連邦情報セキュリティ庁法）」は、従来のITインフラのみならず、広範な製造現場（OT）を「重要エンティティ（Essential/Important Entities）」として射程に収めています。

ここで日本企業の経営層が理解すべき極めて重要な論点は、ドイツ等の規制当局が求める基準が「Stand der Technik（最新の技術状態）」という法的ベンチマークに基づいている点です。もはや単に「セキュリティ対策を行っている」という主観的な主張は通用しません。欧州の顧客企業は、自社のコンプライアンス維持のため、サプライヤーに対して「客観的なエビデンスに基づく遵守証明」を厳格に要求し始めています。

さらに、ドイツBSIG法においては、「企業（法的実体）単位」での規制と「特定の重要設備（サイト/KRITIS）単位」での規制が区別されるという特有の複雑さがあります。これに対応できない日本企業は、最大1,000万ユーロまたは全世界売上高の2%という制裁金以前に、欧州市場からの「取引停止」および「市場排除」という、事業継続を根底から揺るがすリスクに直面しています。

欧州の公認監査人による現場審査（BSIGに基づく監査等）では、技術的な防御の多寡よりも、運用とガバナンスの構造的な欠陥が「不適合」として鋭く指摘されます。以下に、実際の審査で頻出する指摘パターンを整理します。

指摘カテゴリー現場の状況（実態）監査での不適合事項・指摘内容抵触する主な要求事項1. 管理責任の空白と資産の不透明性OTは工場現場、ITは情報システム部門という縦割り構造。PLC、SCADA等のOT資産台帳が未整備。把握されていない「野良端末（Rogue Terminals）」が存在し、リスク評価の責任体系が曖昧。Article 21 (資産管理・リスク分析)2. 外部接続と権限管理の脆弱性設備ベンダーがリモート保守用VPN経由で、工場機器へ常時接続可能な状態。多要素認証（MFA）の欠如。ベンダーによる操作のアクセスログ未取得、またはログ監査（レビュー）の仕組みが不在。Article 21 (アクセス制御・MFA)3. インシデント報告の「筋肉」不足システム異常発生時、故障か攻撃かの判定基準やエスカレーション先が不明。24時間以内の「早期警戒（Early Warning）」、72時間以内の「通知」、1ヶ月後の「最終報告」という法定サイクルに対応する体制がない。Article 23 (通知義務)4. レガシーシステムのリスク放置Windows 7等のサポート切れOSを搭載した機器が、無防備にネットワーク接続。アップデート不能な機器に対し、ネットワーク分離（セグメンテーション）や補償的コントロール等の代替策が文書化・実行されていない。Article 21 (サイバー衛生・脆弱性管理)

特に「重要エンティティ（Essential Entities）」に該当する場合、BSI等の当局による「事前の予告なき立ち入り審査（Anlasslose Prüfungen）」の対象となり、上記のような不備は即座に法的是正勧告や制裁の対象となります。

サイバー攻撃の目的は、情報の窃取から「物理プロセスの停止・改ざん」へと劇的にシフトしています。これを「サイバーデジタルサボタージュ」と呼び、製造業にとっての最大脅威と位置づけるべきです。

「プリ・ポジショニング」による潜伏と物理的破壊 最新の脅威インテリジェンス（Shieldworkz等）によれば、OTインシデントの33%が物理的な業務停止を伴っています。攻撃者は即座に発動せず、数ヶ月前から重要インフラ内に潜伏する「プリ・ポジショニング」を行い、最も効果的なタイミングでインパクト（破壊）を与えます。

安全計装システム（SIS）への侵害リスク 最も深刻なのは、プラントの安全を守る最後の砦である「安全計装システム（SIS）」への侵害です。SISが操作不能に陥れば、物理的な爆発や毒劇物の流出など、人命や環境に甚大な被害を及ぼす重大事故に直結します。NIS2が「オールハザード（あらゆる脅威）」への対応を経営層に義務づける背景には、サイバーセキュリティがもはや「品質」や「安全（Safety）」そのものであるという認識があるのです。

NIS2指令は「何を（Outcome）」すべきかを規定しますが、「どのように（How）」すべきかの具体的な技術手順は示していません。このギャップを埋める事実上の世界標準が、産業用制御システム（IACS）向けのセキュリティ規格「IEC 62443」です。

IEC 62443では、想定される攻撃者の能力に応じて4段階のセキュリティレベルを設定しています。

• SL1:
  不注意や偶発的な違反からの保護。
• SL2:
  単純な手段を用いた意図的な攻撃からの保護（中堅・大手製造業が目指すべき実質的な最低ライン）。
• SL3:
  高度なスキルを持つ攻撃者による意図的な攻撃からの保護。
• SL4:
  国家レベルの高度なリソースを持つ攻撃者からの保護。

欧州の審査当局（独BSI、仏ANSSI等）は、NIS2の「適切な対策」の証明として、IEC 62443-3-3のSL2準拠を高く評価しています。

多くの企業がSCADAやPLCの対策に終始する一方で、工場エンジニアが独自に構築した「ダッシュボード」や「エッジスクリプト」といった産業用ソフトウェア層（Industrial Software Layer）が、ガバナンス外の脆弱なポイント（Foundational Requirement 1、2、6の欠如）として監査で露呈しています。これらを「Zones & Conduits（ゾーンとコンジット）」の設計に組み込み、一貫したアクセス制御とログ管理を行うことが、NIS2 Article 21遵守の要諦です。

欧州市場で生き残り、グローバルサプライチェーンにおける信頼を維持するために、経営層が断行すべきアクションを以下に提示します。

必須アクション重要度対応しない場合の法的・事業的影響1. IT・OT横断ガバナンスと役員教育極大取締役の個人的責任（Article 20）、経営管理職能の一時停止措置（BSIG違反）。2. パッシブ資産検知による可視化極大アクティブスキャンによる工場停止リスクの誘発、不正確な資産情報による監査不適合。3. サプライヤー選別リスクマトリクスの導入高上流顧客からの監査要求（Supply Chain Risk）への回答不能に伴う契約解除。4. インシデント報告サイクルの実戦訓練高24時間/72時間報告の遅滞による巨額の制裁金（Article 23違反）。

1. 「経営陣の個人的責任」を直視せよ:
   NIS2 Article 20およびBSIGに基づき、取締役会はセキュリティ対策の承認と監督に個人的責任を負います。単なる「報告を受ける」立場ではなく、自ら定期的なトレーニングを受け、監督ログをエビデンスとして残す体制（Governance Evidence）を構築してください。
2. 「パッシブ検知（Passive Discovery）」を標準とせよ:
   資産管理において、IT手法の「アクティブスキャン」はOT機器をクラッシュさせ、SISのリスクを誘発します。監査に耐えうる正確な台帳作成には、生産に影響を与えないパッシブな手法が「Stand der Technik」における唯一の正解です。
3. 「文書化」へのパラダイムシフト:
   「対策はやっている」という主観は無価値です。リスクアセスメントの結果、経営会議の議事録、サプライヤー選別マトリクス、リモートアクセスの承認記録など、すべてを「第三者に証明可能な文書」として体系化してください。

日本企業にとって、NIS2指令への対応は単なるコンプライアンス・コストではありません。それは、欧州市場という巨大な経済圏における「ビジネス継続のためのパスポート」です。サイバーセキュリティを経営戦略の中核に据え、IEC 62443という「技術の規律」を導入することで、強靭なグローバル・サプライチェーンを再構築することを強く推奨します。

＜以下、EUの主要国の規制機関がIEC62443をどのように位置づけしているかをまとめておきます。＞

フランスのANSSI（国家サイバーセキュリティ庁）をはじめとする欧州各国の規制当局および公認審査機関は、NIS2指令の法的要件（What）をOT（制御システム）の現場技術（How）へ落とし込むための「評価・監査基準」として、IEC 62443を以下のように具体的に組み込んでいます。

• ガイドラインへの明確な組み込み:
  ANSSIは産業サイバーセキュリティガイドラインにおいて、IEC 62443との整合性を明示的に強化しています。
• 4段階クラス分類（Four-class system）:
  IEC 62443の核心概念である「ゾーン（Zones）」「コンジット（Conduits）」「セキュリティレベル（Security Levels）」の考え方を直接取り入れた4段階のクラス分類体系を採用しています。
• 評価軸:
  工場内の制御資産をリスクや物理的影響度に応じて分類し、各ゾーン間を通る通信（コンジット）に求める防御強度やアクセス制御のレベルを評価する基準として活用されています。

• Stand der Technik（最新技術原則）での承認:
  ドイツの改正BSI法（BSIG）では固定の技術基準を強制せず「最新技術（Stand der Technik）」の適用を求めていますが、BSIはその具体的な技術的立証方法としてBSI IT-Grundschutz（200-1〜200-4）やISO/IEC 27001と並び、IEC 62443を適合規格として認めています。
• OT特化モジュールとの併用:
  IT層にはBSI IT-Grundschutz、工場内のOT/ICS層にはIEC 62443を適用することで、BSIによる立ち入り審査（§39 BSIG）や第三者監査に耐えうる評価構造を形成しています。

• ENISA公式実装ガイド:
  ENISAが発行するNIS2実装ガイドラインにおいて、OT環境のサイバーリジリエンスを証明するための推奨標準としてIEC 62443が明記されています。
• オランダNCSC等の扱い:
  オランダをはじめとする各国の規制当局も同様に、NIS2第21条（リスク管理措置）のOT領域における技術的裏付けとしてIEC 62443ファミリーの活用を公式に案内しています。

• 「SL2」による適合判定:
  DNVなどの公認認証・監査機関では、法律上の抽象的な条文（「適切なリスク管理」など）に対し、監査項目として「IEC 62443-3-3のSL2（セキュリティレベル2）に沿った対策がなされているか」を客観的な合格判定ライン（Practical Floor）として評価しています。
• 具体的にチェックされる4領域:
  1. アセット管理とゾーン分割（62443-3-2）:
     ネットワークが適切にセグメンテーションされているか。
  2. アクセス制御と認証（FR1 / FR2）:
     共有アカウントが排除され、リモート接続に多要素認証（MFA）が導入されているか。
  3. 監査ログの保持（FR6）:
     設定変更や操作の履歴が自動記録されているか。
  4. サプライチェーン・調達（62443-4-1/4-2）:
     納入機器や保守ベンダーの開発・運用ライフサイクルが安全か。