簡単な回答: NIS2（指令 (EU) 2022/2555）は、EUの重要分野におけるサイバーセキュリティ法です。医療は非常に重要な分野です（附属書I）：病院やその他の医療提供者、EU参照研究所、基礎的な医薬品および公衆衛生上の緊急事態中に重要な医療機器の製造業者、そして医薬品の研究開発を行う事業者です。医療が依存するデジタルプロバイダーも対象となります：クラウドコンピューティング、データセンター、マネージドセキュリティサービス、オンラインプラットフォームおよびマーケットプレイスです。規模のしきい値（中規模：従業員50人または売上高1,000万ユーロ）を超える事業者は、分野と規模に応じて必須または重要とみなされ、10項目のセキュリティ対策を実施し、24時間、72時間、1ヶ月以内に重大なインシデントを報告し、経営陣が個人的に責任を負うことを受け入れる必要があります。加盟国は2024年10月17日までに国内法を整備する必要がありましたが、多くの国が遅れ、適用されるのは指令ではなく国内法です。
対象となる事業者
NIS2は、病院やその他の医療提供機関、EU参照研究所、公衆衛生上の緊急事態において重要な医療機器や基本的な医薬品の製造業者、医薬品の研究開発を行う事業者、そしてヘルスケアが依存するクラウド、データセンター、マネージドサービスプロバイダーを、極めて重要な分野として対象としています。中規模の事業者は一般的に重要であり、大規模な事業者は不可欠です。
| 事業者 | 附属書 | 一般的なステータス |
|---|---|---|
| 病院、診療所、GPネットワーク、研究所、薬局（指令2011/24に基づく医療提供者） | I, 医療 | 大規模（従業員250人以上または売上高5,000万ユーロ以上）な場合は必須、中規模の場合は重要 |
| EU参照研究所 | I, 医療 | 必須 |
| 基礎的な医薬品および製剤の製造業者 | I, 医療 | 規模に応じて必須または重要 |
| 公衆衛生上の緊急事態中に重要とみなされる医療機器の製造業者（規則2022/123リスト） | I, 医療 | 規模に応じて必須または重要 |
| 医薬品の研究開発を行う事業者 | I, 医療 | 規模に応じて必須または重要 |
| クラウドコンピューティングサービスプロバイダー、データセンタープロバイダー、コンテンツ配信ネットワーク、マネージド（セキュリティ）サービスプロバイダー、DNS、TLDレジストリ | I, デジタルインフラストラクチャおよびICTサービス管理 | 一部（DNS、TLD、トラストサービス）は規模に関わらず必須。それ以外は規模による。 |
| オンラインマーケットプレイス、検索エンジン、ソーシャルネットワーク | II, デジタルプロバイダー | 規模に応じて重要 |
| その他の医療機器、コンピュータ、電子機器、機械の製造業者 | II, 製造業 | 規模に応じて重要 |
ヘルスケアテクノロジーSaaSベンダーは医療提供者ではありませんが、クラウドコンピューティングサービスプロバイダー（事業としてクラウドサービスを提供している場合）として対象となるか、顧客を通じて対象となる可能性があります。第21条(2)(d)は、必須および重要な事業者にサプライチェーンのセキュリティを管理することを求めているため、病院はNIS2レベルの要件をソフトウェアサプライヤーとの契約に引き継ぎます。マイクロおよび小規模企業は、加盟国によって指定されない限り（例えば、重要なサービスの唯一の提供者として）、一般的に対象外です。
10の対策、第21条
NIS2の第21条では、対象となるすべての事業者は、リスク分析とセキュリティポリシー、インシデント対応、事業継続と危機管理、サプライチェーンのセキュリティ、脆弱性管理を含む安全な調達と開発、有効性評価、サイバー衛生とトレーニング、暗号化と暗号化、人的資源のセキュリティとアクセス制御、そして安全な通信を備えた多要素認証の10の分野で、比例した対策を講じることを求めています。
対象となるすべての事業者は、少なくとも以下の項目を網羅する、適切かつ比例した技術的、運用的、組織的な対策を講じる必要があります。
- リスク分析および情報システムセキュリティに関するポリシー
- インシデント対応
- 事業継続性（バックアップ、災害復旧）および危機管理
- サプライチェーンのセキュリティ、直接のサプライヤーとの関係のセキュリティを含む
- システムの取得、開発、保守におけるセキュリティ、脆弱性の取り扱いと開示を含む
- 対策の効果を評価するためのポリシー
- 基本的なサイバー衛生の実践とトレーニング
- 暗号化に関するポリシー、および適切な場合は暗号化
- 人事セキュリティ、アクセス制御、資産管理
- 多要素認証または継続的認証、セキュアな通信、セキュアな緊急通信
2024年10月の施行規則（2024/2690）は、デジタルインフラストラクチャおよびICTプロバイダーに関するこれらの詳細を規定しており、各国の当局は医療分野向けの独自のカタログを発行しています。このリストはISO/IEC 27001附属書Aと密接に対応しており、関連システムを対象とする認定ISMSを持つ組織は、その大部分を完了したことになります。ISO 27001 vs ISO 27799を参照してください。
インシデントの時計、第23条
NIS2の第23条に基づき、重大なインシデントは、発生を認識してから24時間以内の早期警告、初期評価を伴う72時間以内のインシデント通知、そして原因と緩和策を網羅した1ヶ月以内の最終報告という3つのステップで、国内CSIRTまたは管轄当局に報告する必要があります。要求に応じて中間報告も行われます。
重大なインシデント（事業運営の深刻な混乱または経済的損失を引き起こした、または引き起こす可能性のあるもの、あるいは他の者に相当な損害を与えるもの）は、国のCSIRTまたは管轄当局に報告する必要があります。
- 悪意のある行為が疑われるかどうか、および国境を越えた影響があるかどうかを示す早期警告を24時間以内に
- 重大性の初期評価と影響、および侵害の兆候を含むインシデント通知を72時間以内に
- 要求に応じて中間報告
- 根本原因、緩和策、国境を越えた影響を含む最終報告を1ヶ月以内に
個人データが関わる場合、GDPRに基づくデータ保護当局への72時間以内の通知は並行して行われます。病院のランサムウェア攻撃は、両方の通知を引き起こします。サービスの受信者は、インシデントが影響を与える可能性がある場合に通知される必要があります。
ガバナンス、責任、罰金
NIS2は経営陣に個人的な説明責任を負わせます。経営陣はサイバーセキュリティ対策を承認し、その実施を監督し、トレーニングを受ける必要があり、違反に対して責任を問われる可能性があります。不可欠な事業者については、当局はマネージャーを一時的に停止することがあります。罰金は、不可欠な事業者に対しては1,000万ユーロまたは全世界売上高の2%、重要な事業者に対しては700万ユーロまたは1.4%に達します。
当局は監査を行ったり、証拠を要求したりすることができ、一部の加盟国では事業者の登録自体が義務となっています。
移行状況
NIS2は2024年10月17日までに国内法に転換される必要がありました。2025年半ばまでに、加盟国の約半数で法律が施行され、欧州委員会は遅延している国に対して違反手続きを開始し、ドイツの施行法は2025年後半に発効しました。登録期限、管轄当局、および健康セクターのカタログを設定するのは、指令ではなく国内法です。
移行の締め切りは2024年10月17日でした。2025年半ばまでに、約半数の加盟国で法律が施行されました（ベルギー、クロアチア、ハンガリー、イタリア、ラトビア、リトアニア、ルーマニア、スロバキアなどが先行）。欧州委員会は遅延した国に対して侵害手続きを開始しました。ドイツのNIS2実施法は2025年末に発効しました。登録の締め切り、当局（多くの場合、医療分野の国のサイバーセキュリティ機関、または医療セクター規制当局）、および分野別のカタログについては、各国の法律を確認してください。EU域外では、英国もサイバーセキュリティおよびレジリエンス法案でこれに続いています。
ヘルスケアテクノロジーベンダーにとっての実務
ヘルスケアテクノロジーベンダーにとって、NIS2は主に病院との契約を通じて適用されます。対象となる顧客はサプライチェーンのセキュリティを管理する必要があるため、数時間以内のインシデント通知、第21条の10の対策の証拠、脆弱性開示、下請け業者リスト、および終了・継続計画を要求します。これらの要素を一度文書化した情報セキュリティ管理システムが、最も安価な対応方法です。
Anpherosは、開発者サイト（security、reliability)でセキュリティプラクティスを公開しており、NIS2とGDPRの両方の時計を同じランブックでインシデント対応を実行しています。
このページは、製品およびエンジニアリングチーム向けの規制について説明しています。これは法的助言ではありません。情報源の下にリンクされているテキストが権威であり、あなたのデータ保護担当者、通知機関、または弁護士があなたのケースを決定します。最終レビュー：2026年10月。
関連ページ
情報源
- 指令 (EU) 2022/2555 (NIS2), EUR-Lex
- 欧州委員会施行規則 (EU) 2024/2690 (NIS2 デジタルプロバイダー向け技術要件), EUR-Lex
- 欧州委員会: NIS2指令の概要
- 規則 (EU) 2022/123 (EMAの強化された役割; 重要医療機器リスト), EUR-Lex
よくある質問
私の従業員30人のヘルスソフトウェア会社は対象になりますか？
通常は直接の対象にはなりませんが、あなたの国の法律で指定されている場合や、規模に関わらず附属書Iに記載されているサービスを提供している場合は対象となります。それでも、病院の顧客のサプライチェーン義務を通じてNIS2の対象となります。これは契約に反映されます。
重大なインシデントとは何ですか？
事業者にとって深刻な事業運営の混乱または経済的損失を引き起こした、または引き起こす可能性のあるもの、あるいは他の個人や組織に相当な物質的または非物質的損害を与えるものです。病院に対するランサムウェア攻撃は典型的な例ですが、データへの影響がない一時的な停止は通常そうではありません。
NIS2はGDPRの違反通知に取って代わりますか？
いいえ。これらは、異なる受信者（CSIRTまたはサイバーセキュリティ当局 vs データ保護当局）、異なるトリガー（サービスの中断 vs 個人データの侵害）、および重複する締め切りで並行して実行されます。
ISO 27001認証はNIS2コンプライアンスの証明になりますか？
正式ではありませんが、多くの加盟国とENISAは、関連する範囲を対象とする認定ISMSを強力な証拠とみなしており、一部の国のスキームではほとんどの対策について推定として受け入れています。インシデント報告と経営陣のトレーニング義務は、別途示す必要があります。
サンドボックスで無料で試す
5分で最初のFHIR呼び出し. 患者さんの同意が組み込まれたHL7 FHIR R4 APIです。サンドボックスでお試しいただき、ご自身のアプリやクリニックのシステムを接続してください。
無料・合成患者30人・カード不要
Anpherosは、患者が管理し、あらゆるクリニックと共有できる医療記録を、EUを拠点とするHL7 FHIR R4プラットフォーム上で構築しています。これらのガイドは、ご自身の健康を理解し整理するのに役立ちますが、医師の代わりになるものではありません。
Anpherosについて →