[{"data":1,"prerenderedAt":34},["ShallowReactive",2],{"journal-detail-120":3},{"main":4,"content":12,"author":29},{"id":5,"level":6,"level_name":7,"title":8,"summary":7,"body":9,"author":10,"created_time":11,"edited_time":11},4473,0,"","NIS2指令のオランダのNCSC-NLやRDI における工場審査レポートから見えてくる法規制の実状","\u003Cp>オランダにおけるNIS2国内法（サイバーセキュリティ法: Cyberbeveiligingswet / Cbw）の施行、監督機関（NCSC-NL および RDI）の運用指針、および工場審査においてIEC 62443のセキュリティレベル（SL）がどのように扱われているかについて整理しました。\u003C/p>","murakami","2026-10-06 10:00:00",[13,17,21,25],{"id":14,"heading":15,"summary":7,"body":16,"gallery":7},4474,"1. オランダの法規制体制とNCSC-NL / RDIの役割","\u003Cul>\u003Cli>\u003Cstrong>法制化の枠組み（Cbw / Cbb）:\u003C/strong>\u003Cbr>オランダではNIS2指令を国内法化した「サイバーセキュリティ法（Cbw）」および政令（Cbb）に基づき規制が運用されています。特に製造業分野に対しては、経済・気候政策省（EZK）の省令（Regeling cyberbeveiliging EZK）において、具体的な注意義務（Zorgplicht）とインシデント報告基準（Meldplicht）が規定されています。\u003C/li>\u003Cli>\u003Cstrong>機関の役割分担:\u003C/strong>\u003Cul>\u003Cli>\u003Cstrong>NCSC-NL（国家サイバーセキュリティセンター）:\u003C/strong>\u003Cbr>国家CSIRTとして機能し、ポータル（mijn.ncsc.nl）を通じた事業者登録やインシデント通報の受付を一元管理します。\u003C/li>\u003Cli>\u003Cstrong>RDI（デジタルインフラ局: Rijksinspectie Digitale Infrastructuur）:\u003C/strong>\u003Cbr>製造業やデジタルインフラセクター等の主担当監督機関（Toezichthouder）として、リスクベースでの監督・監査を実施します。\u003C/li>\u003C/ul>\u003C/li>\u003C/ul>",{"id":18,"heading":19,"summary":7,"body":20,"gallery":7},4475,"2. オランダ指針における「IEC 62443」の公式な位置づけ","\u003Cul>\u003Cli>\u003Cstrong>技術ベースラインとしての公式採用:\u003C/strong>\u003Cbr>オランダ政府の公式官報（Staatscourant 2026, 25627）において、製造業・OT（産業制御システム）環境における安全対策およびインシデント判定基準を策定するにあたり、「IEC 62443規格群」が最も信頼される標準的リファレンスとして明確に採用されています。\u003C/li>\u003Cli>\u003Cstrong>具体的に参照されるIEC 62443のパート:\u003C/strong>\u003Cul>\u003Cli>\u003Cstrong>IEC 62443-2-1:\u003C/strong>\u003Cbr>セキュリティプログラム・リスク評価要件\u003C/li>\u003Cli>\u003Cstrong>IEC 62443-2-3:\u003C/strong>\u003Cbr>OT環境のパッチ管理およびインシデント管理\u003C/li>\u003Cli>\u003Cstrong>IEC 62443-3-2:\u003C/strong>\u003Cbr>ゾーン＆コンジット（区画化）設計とリスクアセスメント\u003C/li>\u003C/ul>\u003C/li>\u003Cli>\u003Cstrong>「Major」インシデントの判定基準:\u003C/strong>\u003Cbr>製造ラインの制御パラメータ改ざんやPLCロジックの書き換え等により、生産プロセスが停止・悪影響を受けるケースについて、IEC 62443のインパクト分類における「Major（重大）」以上のレベルを報告義務のある「相当な影響（Significant Incident）」の判定指標として活用しています。\u003C/li>\u003C/ul>",{"id":22,"heading":23,"summary":7,"body":24,"gallery":7},4476,"3. 工場審査で見えてくる「IEC 62443 SL2」の実状","\u003Cul>\u003Cli>\u003Cstrong>「NIS2＝What（法律要件）」と「IEC 62443＝How（技術実装）」の関係:\u003C/strong>\u003Cbr>NIS2指令やオランダCbwは達成すべき法的成果目標（What）のみを定めており、工場の現場でどう実装すべきか（How）までは規定していません。オランダのRDIや欧州の公認審査機関（DNV等）は、この「How」を満たす実体的な技術水準として「IEC 62443-3-3のSL2（セキュリティレベル2）」への適合を、法的に求められる「最新技術（Stand der Technik）」の客観的証明として扱っています。\u003C/li>\u003Cli>\u003Cstrong>審査で発覚する4大不適合（製造現場の実状）:\u003C/strong>\u003Cbr>オランダを含む欧州の工場審査において、公認監査人や当局から頻繁に不適合指摘を受けているポイントは以下の通りです:\u003Col>\u003Cli>\u003Cstrong>OT管理責任の空白:\u003C/strong>\u003Cbr>IT部門と工場現場の縦割りにより、PLCやSCADAなどの資産台帳が未更新で、未把握の野良端末が存在する。\u003C/li>\u003Cli>\u003Cstrong>外部ベンダー接続の管理不足:\u003C/strong>\u003Cbr>リモート保守の常時VPN接続の放置、多要素認証（MFA）の未導入、アクセス・操作ログの未保管・未レビュー。\u003C/li>\u003Cli>\u003Cstrong>24時間ルールと経営承認の不備:\u003C/strong>\u003Cbr>異常検知から24時間以内にNCSC-NL等へ一報を入れる判断ツリーの不在、および取締役会でリスクを承認した議事録（ログ）の欠如。\u003C/li>\u003Cli>\u003Cstrong>レガシーOSの放任:\u003C/strong>\u003Cbr>Windows XP/7等のサポート切れ機器に対し、ネットワーク分離（セグメンテーション）や補償的コントロール（代替リスク緩和策）が講じられていない。\u003C/li>\u003C/ol>\u003C/li>\u003C/ul>",{"id":26,"heading":27,"summary":7,"body":28,"gallery":7},4477,"4. 日本企業（サプライヤー）が直ちに取り組むべき必須対策","\u003Col>\u003Cli>\u003Cstrong>アセットの可視化:\u003C/strong>\u003Cbr>パッシブモニタリング等により、工場内ネットワークにあるすべての制御機器と接続口を特定・可視化する。\u003C/li>\u003Cli>\u003Cstrong>ゾーン分割とアクセス制御:\u003C/strong>\u003Cbr>産業DMZを設置し、外部ベンダーのリモート保守回線を「一時許可制（ジャストインタイム接続）＋MFA化」に切り替える。\u003C/li>\u003Cli>\u003Cstrong>客観的エビデンス（証跡）の管理:\u003C/strong>\u003Cbr>単なるツールの導入にとどまらず、リスクアセスメント結果、アクセス・変更ログ、経営会議での報告議事録を文書として提示できる状態を整える。\u003C/li>\u003C/ol>",[30],{"id":10,"company":31,"name":32,"profile":33},"株式会社ICS研究所","村上 正志","1979～90年まで、日本ベーレーのシステムエンジニアとして電力会社の火力発電プラント監視制御装置などのシステム設計及び高速故障診断装置やDirect Digital Controllerの製品開発に携わる。\n＊関わった火力発電所は、北海道電力（苫東厚真、伊達）、東北電力（新仙台、仙台、東新潟）、東京電力（広野、姉ヶ崎、五井、袖ヶ浦、東扇島）、北陸電力（富山新港）、中部電力（渥美、西名古屋、知多、知多第二）、関西電力（尼崎、御坊、海南、高砂）、中国電力（新小野田、下関、岩国）、四国電力（阿南）、九州電力（港、新小倉、川内）、Jパワー（磯子、松島、高砂）、日本海LNG　など\n\n1990年、画像処理VMEボードメーカーに移籍し、大蔵省印刷局の検査装置や大型印刷機械などのシステム技術コンサルティングに従事。\n\n1995年、デジタルに移籍し、SCADA製品の事業戦略企画推進担当やSE部長を務める。（2004年よりシュナイダーエレクトリックグループ傘下に属す）また、1999年にはコーポレートコーディネーション／VEC（Virtual Engineering Company & Virtual End-User Community）を立ち上げ、事務局長として、「見える化」、「安全対策」、「技術伝承」、「制御システムセキュリティ対策」など製造現場の課題を中心に会員向けセミナーなどを主宰する。協賛会員と正会員のコラボレーション・ビジネスを提案し、ソリューション普及啓発活動を展開。\n2011年には、経済産業省商務情報政策局主催「制御システムセキュリティ検討タスクフォース」を進言、同委員会委員及び普及啓発ワーキング座長を務める。\n2015年、内閣官房 内閣サイバーセキュリティセンターや東京オリンピックパラリンピック大会組織委員会などと交流。\n\n2015年、株式会社ICS研究所を創設。VEC事務局長の任期を継続。世界で初めて制御システムセキュリティ対策e-learning教育ビデオ講座コンテンツを開発。\n\n2017年4月～ 公益財団法人日本適合性認定協会JABの制御システムセキュリティ技術専門家\n\n2017年7月～ 経済産業省の産業サイバーセキュリティセンターCoEの制御システムセキュリティ講座講師担当\n\n現在活動している関連団体及び機関\n・日本OPC協議会 顧問\n・制御システムセキュリティ関連団体合同委員会委員",1791277395576]