「EU 子会社の規模は小さいから NIS2 対象外と判断していたが、本社サプライチェーン経由で間接的に対応を求められている」――国内中堅企業のグループ CISO で増えている相談だ。 NIS2 指令と DORA は EU 域内事業者向け規制だが、国内中堅企業の EU 子会社・EU 顧客向けサービス・EU サプライヤー経由で間接的に対応負荷が発生する。本記事は本国 / 現地の役割分担と統制設計を整理する。条文適用判断は現地弁護士相談を前提とする。
目次
- NIS2 と DORA の違いと対象
- 国内中堅企業への波及パターン
- 本国 / 現地の役割分担
- ICT 第三者リスク管理
- インシデント報告のタイムライン
- 罰則と取引影響
- 中堅企業グループの統制チェックリスト
- よくある質問（FAQ）
NIS2 と DORA の違いと対象
| 観点 | NIS2 指令 | DORA |
|---|---|---|
| 対象 | 重要インフラ等の幅広いセクター | 金融セクター（およびその ICT サービス提供者） |
| 性質 | 指令（各国国内法化が必要） | 規則（直接適用） |
| 主要論点 | サイバーセキュリティリスク管理、インシデント報告 | デジタルオペレーショナルレジリエンス、TPRM、テスト |
| ICT 第三者 | サプライチェーン管理 | 厳格な ICT 第三者リスク管理体制 |
両者は重複領域もあるが、DORA は金融セクター特化で運用要求が一段厳しい設計である。
FREE CONSULTATION
この記事の内容について、専門家に相談できます
AI・DX・セキュリティに関するご質問やお見積もりなど、お気軽にお問い合わせください。
国内中堅企業への波及パターン
パターン 1: EU 子会社が NIS2 対象セクター
→ 子会社が現地で対応、本社は統制水準の整合性確認
パターン 2: EU 子会社が DORA 対象（金融子会社）
→ 子会社が現地で対応、本社の ICT サービスが「ICT 第三者」扱い
パターン 3: EU の取引先が NIS2 / DORA 対象
→ ICT 第三者リスク質問書が来る、SOC2 / ISO27001 等の提示要請
パターン 4: 本社が EU 顧客に SaaS を提供
→ 顧客の DORA 対応の一環で、本社へ ICT 第三者契約改定要請
中堅企業ではパターン 3 と 4 が中心で、「直接の規制対象ではないが質問書対応が大量に発生する」状況になりやすい。
本国 / 現地の役割分担
| 領域 | 本国（日本本社）の役割 | 現地（EU 子会社）の役割 |
|---|---|---|
| ガバナンス | グループ統制基準の策定 | 現地法令への適合性確認 |
| インシデント対応 | グローバル CSIRT 連携 | 現地当局への報告 |
| リスク評価 | グループ統一手法の提供 | 現地リスクの評価・報告 |
| ICT 第三者管理 | グローバル契約のレビュー | 現地契約の現地基準対応 |
| トレーニング | グループ共通教材 | 現地語化と現地規制内容の追加 |
「本国主導の統制を現地が単純コピー」は現地法令違反リスクがあるため、現地弁護士監修が必須となる。
FREE DOWNLOAD
セキュリティ運用も、導入後のKPIと改善バックログで見直せます
脆弱性、ログ、権限、AI利用ルールを月次で確認し、止まらない運用体制へつなげます。
ICT 第三者リスク管理
| 観点 | 中堅企業の実務上の論点 |
|---|---|
| 第三者一覧の整備 | クラウド SaaS・SI ベンダ・データ処理者の網羅 |
| 重要性分類 | クリティカル機能を支える第三者の特定 |
| 契約条項 | 監査権、データ所在、再委託、退場条項 |
| 継続的監視 | SOC2 / ISO27001 等の定期確認 |
| 集中リスク | 単一クラウド・単一リージョン依存の評価 |
| 退場戦略 | サービス終了時の移行計画 |
国内中堅企業が EU 顧客の「重要 ICT 第三者」と位置付けられた場合、契約条項改定要請に応じる必要が生じうる。
インシデント報告のタイムライン
NIS2 / DORA とも、重大インシデントの報告タイムラインが厳しく設計されている。具体的な時間枠と分類は条文・各国国内法化で異なるため、現地弁護士確認を前提とする。
| ステップ | NIS2（概要） | DORA（概要） |
|---|---|---|
| 早期警告 | 短時間内（24 時間目安） | 短時間内 |
| インシデント通知 | 数日内（72 時間目安） | 数日内 |
| 中間報告 | 1 ヶ月程度 | 規定あり |
| 最終報告 | 数ヶ月内 | 規定あり |
国内中堅企業は本社 CSIRT と現地報告窓口を結ぶフローを事前に構築しておきたい。
罰則と取引影響
| 違反類型 | 罰則の概要 | 取引影響 |
|---|---|---|
| NIS2 重大違反 | 売上連動型の高額罰則 | 重要顧客取引の見直し |
| DORA 重大違反 | 同様に高額 | 金融顧客取引の制限 |
| 報告遅延 | 罰則対象 | 信用毀損 |
罰金額の正確な水準は各国国内法化と当局運用に依るため、現地確認を必須とする。
中堅企業グループの統制チェックリスト
[ ] 関与判定
[ ] EU 子会社の業種が NIS2 / DORA 対象か
[ ] EU 顧客の業種・規模
[ ] 自社が「ICT 第三者」と認定される可能性
[ ] EU サプライヤーの規制状況
[ ] ガバナンス
[ ] グループ統制基準（CISO 主導）
[ ] 現地責任者の指名
[ ] 取締役会報告フロー
[ ] ICT 第三者管理
[ ] 第三者一覧の整備
[ ] 重要性分類
[ ] 契約条項レビュー
[ ] 継続的監視
[ ] インシデント対応
[ ] 本社 CSIRT と現地窓口の連携
[ ] 報告テンプレ（現地語）
[ ] 想定タイムライン
[ ] テスト・監査
[ ] レジリエンステスト
[ ] サードパーティ監査
[ ] 内部監査
[ ] 文書化
[ ] リスク評価書
[ ] 統制マニュアル
[ ] インシデント対応プレイブック
「規制対応の社内体制を整えたいが、どこから手を付ければいいか分からない」
コンプライアンス対応の現状診断と移行ロードマップ策定を提供します。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
よくある質問（FAQ）
Q. EU 子会社が小規模なら NIS2 対象外ですか？ A. NIS2 は規模基準と業種基準の組合せで対象が決まる枠組みである。小規模でも業種・性質によっては対象になりうる。現地弁護士確認を推奨する。
Q. ISO27001 を取得していれば DORA 対応は完了しますか？ A. ISO27001 はベース統制として有効だが、DORA は ICT 第三者リスク管理・テスト・インシデント報告で個別要求がある。差分分析が必要となる。
Q. 本社 CSIRT を現地報告に直接使えますか？ A. 言語・法令対応・現地当局窓口の関係から、現地責任者を介する設計が一般的である。本社 CSIRT は技術支援とグローバル統制に役割を絞ることが多い。
参考資料
- 欧州委員会「NIS2 Directive」公式ページ
- 欧州委員会「DORA Regulation」公式ページ
- 各国所管当局のガイダンス
中堅企業グループの NIS2 / DORA 関与診断、本国 / 現地の統制設計、ICT 第三者管理プロセス整備は GXO の補助金活用 DX 推進サービスでご相談を承ります。
<!-- GXO_QUALITY_REWRITE_20260507_START -->GXO実務追記: サイバーセキュリティで発注前に確認すべきこと
この記事のテーマは、単なるトレンド紹介ではなく、自社で最初に塞ぐべきリスク、外部診断の範囲、初動体制を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。
まず決めるべき3つの論点
| 論点 | 確認する内容 | 未整理のまま進めた場合のリスク |
|---|---|---|
| 目的 | 売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか | 成果指標が曖昧になり、PoCや開発が終わっても投資判断できない |
| 範囲 | 対象部署、対象業務、対象データ、対象システムをどこまで含めるか | 見積もりが膨らむ、または重要な連携が後から漏れる |
| 体制 | 自社責任者、現場担当、ベンダー、保守運用者をどう置くか | 要件確認が遅れ、納期遅延や品質低下につながる |
費用・期間・体制の目安
| フェーズ | 期間目安 | 主な成果物 | GXOが見るポイント |
|---|---|---|---|
| 事前診断 | 1〜2週間 | 課題整理、現行確認、投資判断メモ | 目的と範囲が商談前に整理されているか |
| 要件定義 / 設計 | 3〜6週間 | 要件一覧、RFP、概算見積、ロードマップ | 見積比較できる粒度になっているか |
| PoC / MVP | 1〜3ヶ月 | 検証環境、効果測定、リスク評価 | 本番化判断に必要な数値が取れるか |
| 本番導入 | 3〜6ヶ月 | 本番環境、運用設計、教育、改善計画 | 導入後の運用責任と改善サイクルがあるか |
発注前チェックリスト
- 重要システムと個人情報の所在を棚卸ししたか
- VPN、管理画面、クラウド管理者の多要素認証を必須化したか
- バックアップの世代数、復旧時間、復旧訓練の実施日を確認したか
- 脆弱性診断の対象をWeb、API、クラウド、社内ネットワークに分けたか
- EDR/MDR/SOCの必要性を、監視できる人員と照らして判断したか
- インシデント時の連絡先、意思決定者、広報/法務/顧客対応を決めたか
参考にすべき一次情報・公的情報
上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。
GXOに相談するタイミング
次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。
- 見積もり依頼前に、要件やRFPの粒度を整えたい
- 既存ベンダーの提案が妥当か第三者視点で確認したい
- 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
- 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
- PoCや診断で終わらせず、本番導入と運用改善まで進めたい
<!-- GXO_QUALITY_REWRITE_20260507_END -->NIS2 / DORA EU サイバー強靭化 2026｜国内中堅企業の EU 子会社・取引先への影響と対応設計を自社条件で診断したい方へ
GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。
※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。
