NIS2とCyber Resilience Act──製造業の「工場」と「製品」に効く2つのEUサイバー法

まず区別する：NIS2は「事業者の運用」、CRAは「製品」への規制

2つの法律は名前が並べて語られがちですが、規制の対象がまったく異なります。

つまり製造業の立場では、NIS2は「自社が守る」規制、CRAは「調達するMES・機器がベンダー側で対応済みかを確認する」規制です。

NIS2：製造業の多くは「重要エンティティ」として対象になる

NIS2指令（2023年1月発効）は、旧NIS指令の対象を18セクターへ拡大しました。製造業では、医療機器、コンピュータ・電子・光学製品、電気機器、機械、自動車、その他輸送機器の製造（NACE Rev.2のC26〜C30、C32.5）がAnnex IIの「重要エンティティ（important entities）」に含まれます。医薬品の製造はさらに重い「必須エンティティ（essential entities）」側のセクター（保健）に位置づけられています。

対象となる規模の目安は従業員50名以上または年間売上高1,000万ユーロ超です。日本企業でも、EU域内の製造子会社・販売子会社がこの規模を超えていれば対象になり得ます。

義務の中心は2つです。

• リスク管理措置：リスク分析、インシデント対応、事業継続、サプライチェーンセキュリティ、暗号化、多要素認証など10項目の最低限の措置
• インシデント報告：重大インシデントの24時間以内の早期警告、72時間以内の通報、1か月以内の最終報告という3段階

制裁金の上限は、必須エンティティで最大1,000万ユーロまたは全世界年間売上高の2%、重要エンティティで最大700万ユーロまたは1.4%のいずれか高いほうです。経営層が対応の監督責任を負う点も、従来のIT部門任せの体制では成立しない理由になっています。

MESとの接点は明確で、インシデント報告の3段階を守るには「工場で何が起きたかを時系列で再構成できるログ」が前提になります。MES・SCADA・ネットワーク機器のログが散在し時刻同期もされていない状態では、24時間以内の早期警告に載せる内容すら確定できません。MESユーザーの46%がインシデントを経験しているという調査結果は、これが確率の低い話ではないことを示しています。

CRA：MESベンダーのソフトウェアそのものが規制対象になる

CRA（2024年12月10日発効）は、EU市場に上市される「デジタル要素を持つ製品」──接続可能なハードウェアとソフトウェア全般──に共通のサイバーセキュリティ要件を課します。産業用途では、PLC・産業用ルータなどの機器に加え、MESを含む商用ソフトウェア製品も対象です。

製造者（ベンダー）の主要義務は次のとおりです。

• 設計・開発段階からのセキュリティ確保（セキュア・バイ・デザイン）と適合性評価・CEマーキング
• SBOM（ソフトウェア部品表）の機械可読形式での整備
• 悪用されている脆弱性・重大インシデントの24時間以内の早期警告（ENISA・各国CSIRTへ。この報告義務が2026年9月11日に先行適用）
• 製品ライフサイクルにわたるセキュリティアップデートの提供（サポート期間は原則5年以上が目安）

違反時の制裁金は最大1,500万ユーロまたは全世界年間売上高の2.5%です。ファイアウォールやOSなど「重要製品」区分に該当するものは第三者評価・認証が必要になります。

ユーザー企業への直接の義務は限定的ですが、実務上の影響は調達に現れます。2027年12月11日以降にEUで上市されるMES・産業機器はCRA適合が前提になるため、これから契約する製品のバージョンアップ計画・サポート期間・SBOM提供可否は、そのままベンダーのCRA対応力の指標になります。

実装はIEC 62443との整合が実務標準になっている

NIS2のリスク管理措置もCRAのセキュア設計要件も、OT環境での具体的な実装方法までは書いていません。欧州の産業界では、この空白をIEC 62443（産業オートメーション・制御システムのセキュリティ標準）へのマッピングで埋めるのが実務標準になりつつあります。ゾーンとコンジットによるネットワーク分離、セキュリティレベル（SL）の設定、コンポーネント要件（62443-4-2）とベンダー開発プロセス要件（62443-4-1）の対応関係は、IEC 62443の解説記事で詳しく扱っています。MES固有の論点──共有アカウント、OSパッチ、リモート保守経路──はMES／OTセキュリティの基礎を参照してください。

よくある質問