OTセキュリティ規制強化の波
～役割別にEU・米・日の最新動向を徹底解説～

① EU NIS2指令 (Network and Information Security Directive 2)

EU全体のサイバーセキュリティ水準を引き上げるための、極めて強力な法的拘束力を持つ指令です。 エネルギー、運輸、医療といった社会に不可欠な「基礎的事業体」や、特定の製造業を含む「重要事業体」が対象となります。

• 要求事項
  サプライチェーンを含むリスク管理措置の義務化、重大インシデントの厳格な報告義務（24時間以内の早期警告など）が求められます。
• 最大の特徴
  経営層の責任を明確化しており、違反した場合は経営幹部個人が処分を受ける可能性があります。 違反時の罰金も極めて高額なため、EUで事業を行う企業にとっては最優先で対応すべき法的要件です。
• 法制化の遅れと「断片化」
  NIS2指令は、各加盟国が2024年10月までに国内法を整備する必要がありました。しかし、その進捗には遅れが見られ、さらに各国で要求事項の解釈が異なる「断片化」が懸念されています。EU域内で事業展開する場合、国ごとに異なる要件への対応が必要になるという重大なコンプライアンスリスクがあり、各国の法制化動向を注視する必要があります。

② 経済安全保障推進法

国民生活に不可欠な基幹インフラの安定供給を目的とした法律です。
電気、ガス、金融など15分野の「特定社会基盤事業者」が対象で、重要設備の導入や保守委託の際には、国への事前届出と審査が義務付けられています。 審査では、サプライチェーンの信頼性に加え、設備自体のサイバーセキュリティ対策が厳しく問われます。これは、サイバー攻撃を含む妨害行為から国民生活を守るため、サプライチェーン全体でのセキュリティ確保を目的としたもの。資産所有者として、委託先の選定基準にセキュリティ要件を明確に組み込むことが不可欠です。

① EUサイバーレジリエンス法 (CRA - Cyber Resilience Act)

EU市場で流通する「デジタル要素を含む製品」に、ライフサイクル全体でのサイバーセキュリティ要件を義務付ける画期的な法律です。

• 要求事項
  
  1. セキュア・バイ・デザイン
     企画・設計段階からセキュリティを組み込むことが法的義務となります。
  2. 脆弱性対応義務
     サポート期間中（原則として最低5年間）、発見された脆弱性へのセキュリティアップデートを無償で提供する義務を負います。 これは従来の「売り切り」モデルからの根本的な転換を意味します。
  3. 透明性の確保
     ソフトウェア部品表（SBOM）の作成や、重大なセキュリティインシデントの24時間以内の報告が義務付けられます。
• 影響
  対応を怠れば、最大で全世界売上高の2.5%という巨額の制裁金に加え、EU市場へのアクセスを失うリスクがあります。
• 段階的な施行スケジュール
  CRAは2027年から本格適用されますが、注意すべきは段階的な施行スケジュールです。特に、「有効に悪用されている脆弱性」の欧州サイバーセキュリティ機関（ENISA）への24時間以内の報告義務は、他の要件に先駆けて2026年9月11日から適用されます。これは製品供給者にとって喫緊の課題であり、インシデント対応体制の早期構築が求められます。

② セキュリティ要件適合評価及びラベリング制度（JC-STAR）

日本国内では、IPAが運用する「JC-STAR」が開始されています。これらはIoT製品に対するセキュリティ適合性評価制度でIoT機器の「ものさし」とも言えるでしょう。IPA 独立行政法人 情報処理推進機構が運用を行っています。

• 概要
  IoT機器が定められたセキュリティ基準を満たしているかを示すラベリング制度です。 セキュリティ要件のレベルに応じて★1から★4までの4段階で表示されます。
• 特徴
  ★1と★2は事業者の自己適合宣言で、★3と★4は第三者認証機関による評価でラベルを取得します。 CRAのような法的拘束力はありませんが、政府調達や企業間取引において、製品のセキュリティレベルを分かりやすく示す「共通の物差し」としての機能が期待されています。

① 国際規格: IEC 62443-2-4

IEC62443-2-4は、IACSの設計、インテグレーション、保守といったサービスを提供する事業者のために策定された、唯一の国際規格です。

• 何を証明するのか
  この規格は、セキュアなソリューションを顧客に提供するための「能力」を証明するプロセス認証です。
• 要求事項
  セキュアなエンジニアリング手法、効果的なパッチ管理、安全なリモートアクセス手順の確立、担当者のトレーニングプログラムといった、組織的なプロセスと体制に関する要求事項が含まれます。
• ビジネス価値
  認証を取得することは、自社のサービス品質とセキュリティ提供能力を客観的に証明する強力な手段となり、資産所有者からの信頼を獲得するための鍵となります。