[{"data":1,"prerenderedAt":70},["ShallowReactive",2],{"journal-detail-115":3},{"main":4,"content":12,"author":65},{"id":5,"level":6,"level_name":7,"title":8,"summary":9,"body":7,"author":10,"created_time":11,"edited_time":11},4358,0,"","欧州NIS2指令に伴う工場審査の実態と日本企業への戦略的提言","サプライチェーンの信頼維持と取引停止リスクの回避に向けて","murakami","2026-09-18 10:00:00",[13,17,21,25,29,33,37,41,45,49,53,57,61],{"id":14,"heading":15,"summary":7,"body":16,"gallery":7},4359,"1. はじめに：欧州サイバーセキュリティ規制の激変と日本企業への影響","\u003Cp>欧州におけるサイバーセキュリティ規制の枠組みは、2024年10月に施行された「NIS2指令（第2次ネットワーク・情報安全確保指令）」により、製造業の経営陣が無視できない「法的義務」へと昇華しました。本指令、およびそのドイツ国内法である「BSIG（連邦情報セキュリティ庁法）」は、従来のITインフラのみならず、広範な製造現場（OT）を「重要エンティティ（Essential/Important Entities）」として射程に収めています。\u003C/p>\u003Cp>ここで日本企業の経営層が理解すべき極めて重要な論点は、ドイツ等の規制当局が求める基準が「Stand der Technik（最新の技術状態）」という法的ベンチマークに基づいている点です。\u003Cstrong>もはや単に「セキュリティ対策を行っている」という主観的な主張は通用しません。\u003C/strong>欧州の顧客企業は、自社のコンプライアンス維持のため、サプライヤーに対して「客観的なエビデンスに基づく遵守証明」を厳格に要求し始めています。\u003C/p>\u003Cp>さらに、ドイツBSIG法においては、「企業（法的実体）単位」での規制と「特定の重要設備（サイト/KRITIS）単位」での規制が区別されるという特有の複雑さがあります。\u003Cstrong>これに対応できない日本企業は、最大1,000万ユーロまたは全世界売上高の2%という制裁金以前に、欧州市場からの「取引停止」および「市場排除」という、事業継続を根底から揺るがすリスクに直面しています。\u003C/strong>\u003C/p>",{"id":18,"heading":19,"summary":7,"body":20,"gallery":7},4360,"2. NIS2工場審査における不適合・指摘事例の徹底分析","\u003Cp>\u003Cstrong>欧州の公認監査人による現場審査（BSIGに基づく監査等）では、技術的な防御の多寡よりも、運用とガバナンスの構造的な欠陥が「不適合」として鋭く指摘されます。\u003C/strong>以下に、実際の審査で頻出する指摘パターンを整理します。\u003C/p>\u003Cp>\u003Cspan class=\"table\">\u003Cspan class=\"table-thead\">\u003Cspan class=\"cell col2-5\">\u003Cstrong>指摘カテゴリー\u003C/strong>\u003C/span>\u003Cspan class=\"cell col2-5\">\u003Cstrong>現場の状況（実態）\u003C/strong>\u003C/span>\u003Cspan class=\"cell col2-6\">\u003Cstrong>監査での不適合事項・指摘内容\u003C/strong>\u003C/span>\u003Cspan class=\"cell col2-5\">\u003Cstrong>抵触する主な要求事項\u003C/strong>\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">1. 管理責任の空白と資産の不透明性\u003C/span>\u003Cspan class=\"cell col2-5\">OTは工場現場、ITは情報システム部門という縦割り構造。\u003C/span>\u003Cspan class=\"cell col2-6\">PLC、SCADA等のOT資産台帳が未整備。把握されていない「野良端末（Rogue Terminals）」が存在し、リスク評価の責任体系が曖昧。\u003C/span>\u003Cspan class=\"cell col2-5\">Article 21 (資産管理・リスク分析)\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">2. 外部接続と権限管理の脆弱性\u003C/span>\u003Cspan class=\"cell col2-5\">設備ベンダーがリモート保守用VPN経由で、工場機器へ常時接続可能な状態。\u003C/span>\u003Cspan class=\"cell col2-6\">多要素認証（MFA）の欠如。ベンダーによる操作のアクセスログ未取得、またはログ監査（レビュー）の仕組みが不在。\u003C/span>\u003Cspan class=\"cell col2-5\">Article 21 (アクセス制御・MFA)\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">3. インシデント報告の「筋肉」不足\u003C/span>\u003Cspan class=\"cell col2-5\">システム異常発生時、故障か攻撃かの判定基準やエスカレーション先が不明。\u003C/span>\u003Cspan class=\"cell col2-6\">24時間以内の「早期警戒（Early Warning）」、72時間以内の「通知」、1ヶ月後の「最終報告」という法定サイクルに対応する体制がない。\u003C/span>\u003Cspan class=\"cell col2-5\">Article 23 (通知義務)\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">4. レガシーシステムのリスク放置\u003C/span>\u003Cspan class=\"cell col2-5\">Windows 7等のサポート切れOSを搭載した機器が、無防備にネットワーク接続。\u003C/span>\u003Cspan class=\"cell col2-6\">アップデート不能な機器に対し、ネットワーク分離（セグメンテーション）や補償的コントロール等の代替策が文書化・実行されていない。\u003C/span>\u003Cspan class=\"cell col2-5\">Article 21 (サイバー衛生・脆弱性管理)\u003C/span>\u003C/span>\u003C/span>\u003C/p>\u003Cp>特に「重要エンティティ（Essential Entities）」に該当する場合、BSI等の当局による「事前の予告なき立ち入り審査（Anlasslose Prüfungen）」の対象となり、上記のような不備は即座に法的是正勧告や制裁の対象となります。\u003C/p>",{"id":22,"heading":23,"summary":7,"body":24,"gallery":7},4361,"3. サイバーデジタルサボタージュと品質・安全への影響","\u003Cp>サイバー攻撃の目的は、情報の窃取から「物理プロセスの停止・改ざん」へと劇的にシフトしています。これを「サイバーデジタルサボタージュ」と呼び、製造業にとっての最大脅威と位置づけるべきです。\u003C/p>\u003Cp>「プリ・ポジショニング」による潜伏と物理的破壊 最新の脅威インテリジェンス（Shieldworkz等）によれば、OTインシデントの33%が物理的な業務停止を伴っています。攻撃者は即座に発動せず、数ヶ月前から重要インフラ内に潜伏する「プリ・ポジショニング」を行い、最も効果的なタイミングでインパクト（破壊）を与えます。\u003C/p>\u003Cp>安全計装システム（SIS）への侵害リスク 最も深刻なのは、プラントの安全を守る最後の砦である「安全計装システム（SIS）」への侵害です。SISが操作不能に陥れば、物理的な爆発や毒劇物の流出など、人命や環境に甚大な被害を及ぼす重大事故に直結します。NIS2が「オールハザード（あらゆる脅威）」への対応を経営層に義務づける背景には、サイバーセキュリティがもはや「品質」や「安全（Safety）」そのものであるという認識があるのです。\u003C/p>",{"id":26,"heading":27,"summary":7,"body":28,"gallery":7},4362,"4. IEC 62443 SL2基準の実態とNIS2対応への活用","\u003Cp>NIS2指令は「何を（Outcome）」すべきかを規定しますが、「どのように（How）」すべきかの具体的な技術手順は示していません。このギャップを埋める事実上の世界標準が、産業用制御システム（IACS）向けのセキュリティ規格「IEC 62443」です。\u003C/p>",{"id":30,"heading":7,"summary":31,"body":32,"gallery":7},4363,"\u003Ch3>セキュリティレベル（SL）の定義とSL2の意義\u003C/h3>","\u003Cp>IEC 62443では、想定される攻撃者の能力に応じて4段階のセキュリティレベルを設定しています。\u003C/p>\u003Cul>\u003Cli>\u003Cstrong>SL1:\u003C/strong>\u003Cbr>不注意や偶発的な違反からの保護。\u003C/li>\u003Cli>\u003Cstrong>SL2:\u003C/strong>\u003Cbr>単純な手段を用いた意図的な攻撃からの保護（中堅・大手製造業が目指すべき実質的な最低ライン）。\u003C/li>\u003Cli>\u003Cstrong>SL3:\u003C/strong>\u003Cbr>高度なスキルを持つ攻撃者による意図的な攻撃からの保護。\u003C/li>\u003Cli>\u003Cstrong>SL4:\u003C/strong>\u003Cbr>国家レベルの高度なリソースを持つ攻撃者からの保護。\u003C/li>\u003C/ul>\u003Cp>欧州の審査当局（独BSI、仏ANSSI等）は、NIS2の「適切な対策」の証明として、IEC 62443-3-3のSL2準拠を高く評価しています。\u003C/p>",{"id":34,"heading":7,"summary":35,"body":36,"gallery":7},4364,"\u003Ch3>「産業用ソフトウェア層」という盲点\u003C/h3>","\u003Cp>多くの企業がSCADAやPLCの対策に終始する一方で、\u003Cstrong>工場エンジニアが独自に構築した「ダッシュボード」や「エッジスクリプト」といった産業用ソフトウェア層（Industrial Software Layer）が、ガバナンス外の脆弱なポイント（Foundational Requirement 1、2、6の欠如）として監査で露呈しています。\u003C/strong>これらを「Zones & Conduits（ゾーンとコンジット）」の設計に組み込み、一貫したアクセス制御とログ管理を行うことが、NIS2 Article 21遵守の要諦です。\u003C/p>",{"id":38,"heading":39,"summary":7,"body":40,"gallery":7},4365,"5. 日本企業が今後重点を置くべき必須対策と戦略的アドバイス","\u003Cp>欧州市場で生き残り、グローバルサプライチェーンにおける信頼を維持するために、経営層が断行すべきアクションを以下に提示します。\u003C/p>\u003Cp>\u003Cspan class=\"table\">\u003Cspan class=\"table-thead\">\u003Cspan class=\"cell col2-5\">\u003Cstrong>必須アクション\u003C/strong>\u003C/span>\u003Cspan class=\"cell col2-3\">\u003Cstrong>重要度\u003C/strong>\u003C/span>\u003Cspan class=\"cell col2-2\">\u003Cstrong>対応しない場合の法的・事業的影響\u003C/strong>\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">1. IT・OT横断ガバナンスと役員教育\u003C/span>\u003Cspan class=\"cell col2-3\">極大\u003C/span>\u003Cspan class=\"cell col2-2\">取締役の個人的責任（Article 20）、経営管理職能の一時停止措置（BSIG違反）。\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">2. パッシブ資産検知による可視化\u003C/span>\u003Cspan class=\"cell col2-3\">極大\u003C/span>\u003Cspan class=\"cell col2-2\">アクティブスキャンによる工場停止リスクの誘発、不正確な資産情報による監査不適合。\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">3. サプライヤー選別リスクマトリクスの導入\u003C/span>\u003Cspan class=\"cell col2-3\">高\u003C/span>\u003Cspan class=\"cell col2-2\">上流顧客からの監査要求（Supply Chain Risk）への回答不能に伴う契約解除。\u003C/span>\u003C/span>\u003Cspan class=\"table-tbody\">\u003Cspan class=\"cell col2-5\">4. インシデント報告サイクルの実戦訓練\u003C/span>\u003Cspan class=\"cell col2-3\">高\u003C/span>\u003Cspan class=\"cell col2-2\">24時間/72時間報告の遅滞による巨額の制裁金（Article 23違反）。\u003C/span>\u003C/span>\u003C/span>\u003C/p>",{"id":42,"heading":7,"summary":43,"body":44,"gallery":7},4366,"\u003Ch3>戦略的アドバイス\u003C/h3>","\u003Col>\u003Cli>\u003Cstrong>「経営陣の個人的責任」を直視せよ:\u003C/strong>\u003Cbr>NIS2 Article 20およびBSIGに基づき、\u003Cstrong>取締役会はセキュリティ対策の承認と監督に個人的責任を負います。\u003C/strong>単なる「報告を受ける」立場ではなく、自ら定期的なトレーニングを受け、監督ログをエビデンスとして残す体制（Governance Evidence）を構築してください。\u003C/li>\u003Cli>\u003Cstrong>「パッシブ検知（Passive Discovery）」を標準とせよ:\u003C/strong>\u003Cbr>\u003Cstrong>資産管理において、IT手法の「アクティブスキャン」はOT機器をクラッシュさせ、SISのリスクを誘発します。\u003C/strong>監査に耐えうる正確な台帳作成には、生産に影響を与えないパッシブな手法が「Stand der Technik」における唯一の正解です。\u003C/li>\u003Cli>\u003Cstrong>「文書化」へのパラダイムシフト:\u003C/strong>\u003Cbr>\u003Cstrong>「対策はやっている」という主観は無価値です。\u003C/strong>リスクアセスメントの結果、経営会議の議事録、サプライヤー選別マトリクス、リモートアクセスの承認記録など、すべてを「第三者に証明可能な文書」として体系化してください。\u003C/li>\u003C/ol>",{"id":46,"heading":47,"summary":7,"body":48,"gallery":7},4367,"結論","\u003Cp>日本企業にとって、NIS2指令への対応は単なるコンプライアンス・コストではありません。それは、欧州市場という巨大な経済圏における「ビジネス継続のためのパスポート」です。サイバーセキュリティを経営戦略の中核に据え、IEC 62443という「技術の規律」を導入することで、強靭なグローバル・サプライチェーンを再構築することを強く推奨します。\u003C/p>\u003Cp class=\"pd-top-45 pd-bottom-25\">\u003Cspan class=\"tx-blue-dark\">＜以下、EUの主要国の規制機関がIEC62443をどのように位置づけしているかをまとめておきます。＞\u003C/span>\u003C/p>\u003Cp>フランスのANSSI（国家サイバーセキュリティ庁）をはじめとする欧州各国の規制当局および公認審査機関は、NIS2指令の法的要件（What）をOT（制御システム）の現場技術（How）へ落とし込むための「評価・監査基準」として、IEC 62443を以下のように具体的に組み込んでいます。\u003C/p>",{"id":50,"heading":51,"summary":7,"body":52,"gallery":7},4368,"1. フランスANSSI：IEC 62443概念を直接反映したクラス分類","\u003Cul>\u003Cli>\u003Cstrong>ガイドラインへの明確な組み込み:\u003C/strong>\u003Cbr>ANSSIは産業サイバーセキュリティガイドラインにおいて、IEC 62443との整合性を明示的に強化しています。\u003C/li>\u003Cli>\u003Cstrong>4段階クラス分類（Four-class system）:\u003C/strong>\u003Cbr>IEC 62443の核心概念である「ゾーン（Zones）」「コンジット（Conduits）」「セキュリティレベル（Security Levels）」の考え方を直接取り入れた4段階のクラス分類体系を採用しています。\u003C/li>\u003Cli>\u003Cstrong>評価軸:\u003C/strong>\u003Cbr>工場内の制御資産をリスクや物理的影響度に応じて分類し、各ゾーン間を通る通信（コンジット）に求める防御強度やアクセス制御のレベルを評価する基準として活用されています。\u003C/li>\u003C/ul>",{"id":54,"heading":55,"summary":7,"body":56,"gallery":7},4369,"2. ドイツBSI：「最新技術（Stand der Technik）」を立証する適合規格","\u003Cul>\u003Cli>\u003Cstrong>Stand der Technik（最新技術原則）での承認:\u003C/strong>\u003Cbr>ドイツの改正BSI法（BSIG）では固定の技術基準を強制せず「最新技術（Stand der Technik）」の適用を求めていますが、BSIはその具体的な技術的立証方法としてBSI IT-Grundschutz（200-1〜200-4）やISO/IEC 27001と並び、IEC 62443を適合規格として認めています。\u003C/li>\u003Cli>\u003Cstrong>OT特化モジュールとの併用:\u003C/strong>\u003Cbr>IT層にはBSI IT-Grundschutz、工場内のOT/ICS層にはIEC 62443を適用することで、BSIによる立ち入り審査（§39 BSIG）や第三者監査に耐えうる評価構造を形成しています。\u003C/li>\u003C/ul>",{"id":58,"heading":59,"summary":7,"body":60,"gallery":7},4370,"3. オランダNCSCおよびENISA（欧州サイバーセキュリティ庁）の推奨","\u003Cul>\u003Cli>\u003Cstrong>ENISA公式実装ガイド:\u003C/strong>\u003Cbr>ENISAが発行するNIS2実装ガイドラインにおいて、OT環境のサイバーリジリエンスを証明するための推奨標準としてIEC 62443が明記されています。\u003C/li>\u003Cli>\u003Cstrong>オランダNCSC等の扱い:\u003C/strong>\u003Cbr>オランダをはじめとする各国の規制当局も同様に、NIS2第21条（リスク管理措置）のOT領域における技術的裏付けとしてIEC 62443ファミリーの活用を公式に案内しています。\u003C/li>\u003C/ul>",{"id":62,"heading":63,"summary":7,"body":64,"gallery":7},4371,"4. 公認監査機関（DNV等）による審査・監査での客観基準","\u003Cul>\u003Cli>\u003Cstrong>「SL2」による適合判定:\u003C/strong>\u003Cbr>DNVなどの公認認証・監査機関では、法律上の抽象的な条文（「適切なリスク管理」など）に対し、監査項目として「IEC 62443-3-3のSL2（セキュリティレベル2）に沿った対策がなされているか」を客観的な合格判定ライン（Practical Floor）として評価しています。\u003C/li>\u003Cli>\u003Cstrong>具体的にチェックされる4領域:\u003C/strong>\u003Col>\u003Cli>\u003Cstrong>アセット管理とゾーン分割（62443-3-2）:\u003C/strong>\u003Cbr>ネットワークが適切にセグメンテーションされているか。\u003C/li>\u003Cli>\u003Cstrong>アクセス制御と認証（FR1 / FR2）:\u003C/strong>\u003Cbr>共有アカウントが排除され、リモート接続に多要素認証（MFA）が導入されているか。\u003C/li>\u003Cli>\u003Cstrong>監査ログの保持（FR6）:\u003C/strong>\u003Cbr>設定変更や操作の履歴が自動記録されているか。\u003C/li>\u003Cli>\u003Cstrong>サプライチェーン・調達（62443-4-1/4-2）:\u003C/strong>\u003Cbr>納入機器や保守ベンダーの開発・運用ライフサイクルが安全か。\u003C/li>\u003C/ol>\u003C/li>\u003C/ul>",[66],{"id":10,"company":67,"name":68,"profile":69},"株式会社ICS研究所","村上 正志","1979～90年まで、日本ベーレーのシステムエンジニアとして電力会社の火力発電プラント監視制御装置などのシステム設計及び高速故障診断装置やDirect Digital Controllerの製品開発に携わる。\n＊関わった火力発電所は、北海道電力（苫東厚真、伊達）、東北電力（新仙台、仙台、東新潟）、東京電力（広野、姉ヶ崎、五井、袖ヶ浦、東扇島）、北陸電力（富山新港）、中部電力（渥美、西名古屋、知多、知多第二）、関西電力（尼崎、御坊、海南、高砂）、中国電力（新小野田、下関、岩国）、四国電力（阿南）、九州電力（港、新小倉、川内）、Jパワー（磯子、松島、高砂）、日本海LNG　など\n\n1990年、画像処理VMEボードメーカーに移籍し、大蔵省印刷局の検査装置や大型印刷機械などのシステム技術コンサルティングに従事。\n\n1995年、デジタルに移籍し、SCADA製品の事業戦略企画推進担当やSE部長を務める。（2004年よりシュナイダーエレクトリックグループ傘下に属す）また、1999年にはコーポレートコーディネーション／VEC（Virtual Engineering Company & Virtual End-User Community）を立ち上げ、事務局長として、「見える化」、「安全対策」、「技術伝承」、「制御システムセキュリティ対策」など製造現場の課題を中心に会員向けセミナーなどを主宰する。協賛会員と正会員のコラボレーション・ビジネスを提案し、ソリューション普及啓発活動を展開。\n2011年には、経済産業省商務情報政策局主催「制御システムセキュリティ検討タスクフォース」を進言、同委員会委員及び普及啓発ワーキング座長を務める。\n2015年、内閣官房 内閣サイバーセキュリティセンターや東京オリンピックパラリンピック大会組織委員会などと交流。\n\n2015年、株式会社ICS研究所を創設。VEC事務局長の任期を継続。世界で初めて制御システムセキュリティ対策e-learning教育ビデオ講座コンテンツを開発。\n\n2017年4月～ 公益財団法人日本適合性認定協会JABの制御システムセキュリティ技術専門家\n\n2017年7月～ 経済産業省の産業サイバーセキュリティセンターCoEの制御システムセキュリティ講座講師担当\n\n現在活動している関連団体及び機関\n・日本OPC協議会 顧問\n・制御システムセキュリティ関連団体合同委員会委員",1789703381518]