EUに製品を売るなら、なぜセキュリティの「書類」を出さなければならないのか
飲食店のドアに貼られた衛生等級表のように、EUはセキュリティも言葉ではなく書類で見ます。NIS2とは何か、なぜ契約の場で「証跡」という言葉が出てくるのかを解きほぐします。RMF・NIS2シリーズ第1回。
食堂に入る前に、ドアの横を一度見たことがあるはずです。衛生等級表が貼ってありますよね。店主が「うちの厨房はきれいです」と言うことと、誰かが来て直接見て等級をつけて貼っておいた紙とでは、重みが違います。言葉は信じてほしいというお願いであり、紙は確認した記録です。
EUに製品やサービスを売る場で起きていることが、まさにこれです。
事実 NIS2はEUのサイバーセキュリティ指令です。EU域内の顧客とそのサプライチェーンにセキュリティ対策を要求します。第21条はリスク管理措置を文書として残し、監督機関が監査する際にそれを立証するよう定めています。つまり「우리 안전합니다（うちは安全です）」ではなく「このように点検し、結果はこうです」を差し出せということです。
事実 何をどう見るかは、EU実施規則 CIR 2024/2690 と ENISA 技術実施ガイダンス（2025.6）に書かれています。衛生点検に項目表が別途あるのと同じです。
言うことと見せること
| 言うこと | 見せること | |
|---|---|---|
| 形態 | 「セキュリティはきちんとやっています」 | 点検結果の文書 |
| 根拠 | 担当者の記憶 | スキャンデータ・リスク等級 |
| 通用する場 | 営業ミーティング | 契約審査・監督機関の監査 |
EUの顧客が契約前に分厚いセキュリティ質問票を送ってくる理由がここにあります。相手も監査を受ける立場なので、自社のサプライチェーンを書類で説明できなければなりません。こちらが答えを出せなければ、その顧客が困ることになります。
事実 SecurityHero RMFは、その書類の材料をデータとして作ります。ProwlerでAWS資産・IAM・ネットワークを点検し、EPSSで実際の悪用可能性を評価したうえで、NIST SP 800-30とISO 27005の方法論でリスク等級をつけてレポートを出します。顧客環境には何もインストールせず、読み取り専用のIAMロールを接続するだけです。
推定 そのため実務では順序が逆転することが多くあります。法務レビューから始めてしばらく迷走した挙げ句、実際に詰まっていた地点が「技術的措置を文書として出せない」ことだったと後になって気づきます。衛生等級表を先に手にしていれば、対話ははるかに速く進みます。
押さえておきたいこと
- この記事は法律助言ではありません。 自社がNIS2の適用対象なのか、どの条項がどう関わるのかは、法律専門家が判断すべきことです。
- RMFレポートは認証書ではありません。 提出と審査に使う根拠資料です。認証書の発行、インシデント報告（NIS2第23条など）、法的代理は含みません。
シリーズ目次
- EUに製品を売るなら、なぜセキュリティ書類を出さなければならないのか ← 今の記事
- リスク評価という言葉が難しく聞こえる理由
- 直すものが3千個あるが、何から手をつけるか
- 何もインストールせずにどうやって点検するのか
- 「データが国境を越えません」とはどういう意味か
- 書類ひとつで複数の国を相手にする