サイバー攻撃の増加を背景に、EUとドイツは サイバーセキュリティ規制 を相次いで強化しています。これらは単なるIT部門の課題ではなく、対象企業には法的義務と経営者の責任 が課され、違反には高額の制裁が科され得るコンプライアンス上の重要テーマです。日系企業のドイツ子会社や、EU向けに製品・サービスを提供する企業も、規模や業種によっては明確に規制の対象となります。
本ガイドでは、日系企業の法務・情報システム・経営担当者向けに、EU・ドイツの主要なサイバーセキュリティ規制を体系的に整理します。規制全般の追い方は政策・規制アップデートの追い方、体制づくりはEUコンプライアンス体制ガイドもあわせてご覧ください。なお、関連法令は流動的なため、最終的な適用判断は公式情報の最新版でご確認ください。
全体像：EU・ドイツの主要規制
サイバーセキュリティ関連の規制は、大きく「組織・運用 を対象とするもの」と「製品 を対象とするもの」に分かれます。前者の代表が NIS2 とドイツの実装法、金融分野の DORA、後者が サイバーレジリエンス法（CRA） です。加えて、個人データの安全管理を求める GDPR第32条 も実務上は密接に関わります。
① NIS2と独国内実装法（NIS2UmsuCG）
EUの NIS2指令（2022/2555） は、重要な事業者に高い情報セキュリティ水準を義務づける枠組みです。ドイツでは実装法 NIS2UmsuCG が成立し、2025年12月に施行 されました（経過措置なし）。これにより、ドイツ国内で 約29,500社 が新たな義務の対象になると見込まれています。
対象企業の判定
原則として、従業員50人以上、または年間売上高1,000万ユーロ以上 で、エネルギー・運輸・製造・デジタルサービスなど 18分野 のいずれかに属する企業が対象です。対象は重要度に応じて「特に重要な事業者（besonders wichtige Einrichtungen）」と「重要な事業者（wichtige Einrichtungen）」に区分されます。日系の製造・物流・IT関連の現地法人も、規模次第で該当し得ます。
主な義務
- 登録：所管の連邦情報セキュリティ庁（BSI）への登録。
- リスク管理措置：リスク分析、バックアップ、サプライチェーンの安全、多要素認証など、複数領域での対策。
- インシデント報告：重大な事案は 24時間以内に early warning（速報）、72時間以内に詳細報告。
- 経営者の責任：経営層は対策の実施・監督義務を負い、サイバーリスクに関する研修も求められます。
違反した場合、特に重要な事業者には 最大1,000万ユーロ、または全世界売上高の2% の制裁金が科され得ます。
② サイバーレジリエンス法（CRA）：製品向け
サイバーレジリエンス法（CRA、2024/2847） は、デジタル要素を持つ製品（ハードウェア・ソフトウェア） にサイバーセキュリティ要件を課す規則です。IoT機器、ソフトウェア、接続機能を持つ製品を扱う日系メーカーにとって、極めて重要です。EUの公式情報は欧州委員会のCRAページで確認できます。
適用は段階的で、2026年9月11日から脆弱性・重大インシデントの報告義務、2027年12月11日から主要義務（設計段階からの安全確保、適合性評価、CEマーキング等） が適用されます。製品規制全般との関係はEU製品規制の全体像も参照してください。
③ DORA：金融分野のデジタル耐性
金融機関や重要なICTサービス提供者を対象とする DORA（デジタル・オペレーショナル・レジリエンス法、2022/2554） は、2025年1月から適用されています。金融関連のサービスを提供する場合は、ICTリスク管理や第三者リスク、インシデント報告の要件を確認する必要があります。
④ ドイツのBSIとGDPR第32条
ドイツでは、連邦情報セキュリティ庁（BSI） が情報セキュリティの中核機関であり、従来から重要インフラ（KRITIS）の保護を担ってきました。NIS2はこの枠組みを大きく広げるものです。また、個人データを扱う場合は、GDPR第32条 が「取扱いの安全性」として技術的・組織的措置を求めており、サイバーセキュリティ対策と重なります。GDPRの実務はGDPR完全ガイド、SaaS事業者向けはSaaSのGDPR実務ガイドで解説しています。
日系企業が今やるべきこと
まず行うべきは、自社が各規制の対象かどうかの判定 です。NIS2は規模と業種、CRAは扱う製品の性質で判断が変わります。対象であれば、(1) 体制と責任者の明確化、(2) リスク管理措置の実装、(3) インシデント対応・報告フローの整備、(4) サプライチェーン（取引先・委託先）の確認、(5) 経営層の関与と研修、を段階的に進めます。とりわけ、NIS2では 経営者自身が責任を負う 点が、従来のIT部門任せの体制との大きな違いです。
また、NIS2は サプライチェーンの安全 を明示的に求めています。日系企業は、取引先や委託先（クラウド・保守事業者を含む）のセキュリティ水準を、契約や評価を通じて確認する必要があります。さらに、日本本社とドイツ拠点で対応にばらつきが出ないよう、グループ全体で責任分担と情報共有の経路を整え、方針をそろえておくことが重要です。
インシデント報告のタイムライン
NIS2・CRAに共通して、重大なインシデントには 迅速な報告 が求められます。一般に、覚知から24時間以内に速報、72時間以内に詳細 という流れです。報告期限は短いため、事案発生時に誰が・どの窓口へ・何を報告するか を平時に手順化しておくことが不可欠です。
費用・体制の目安
| 項目 | 概算 |
|---|---|
| リスク評価・ギャップ分析 | 規模・範囲により変動 |
| セキュリティ対策の実装 | 既存環境による |
| 監視・インシデント対応体制 | 内製／外部委託で変動 |
公的な制裁金の大きさを踏まえれば、事前の体制整備は リスク回避の投資 と位置づけられます。
よくある落とし穴
- 「IT部門の問題」と捉え、経営層が関与しない
- 自社が対象か未判定のまま放置する
- インシデント報告の期限（24時間/72時間）を意識した手順がない
- サプライチェーン（委託先）のセキュリティを確認していない
- CRAを「将来の話」と捉え、製品設計の見直しに着手しない
よくある質問（FAQ）
Q. 中小規模でも対象になりますか。 A. NIS2は従業員50人以上または売上1,000万ユーロ以上が一つの目安です。業種と規模で判定します。
Q. 日本本社にも義務が及びますか。 A. EU域内で事業を行う拠点・製品が対象です。グループ全体での対応方針の整合が重要です。
Q. CRAは何を求めますか。 A. デジタル要素を持つ製品の設計段階からの安全確保、脆弱性対応、報告などです。段階的に適用されます。
Q. 報告はどこに行いますか。 A. NIS2ではBSIなど所管当局です。窓口と手順を事前に確認しておきます。
Q. 罰則はどの程度ですか。 A. NIS2では特に重要な事業者で最大1,000万ユーロまたは全世界売上の2%が科され得ます。
実務チェックリスト
- NIS2の対象（規模・18分野）に該当するか判定したか
- CRAの対象（デジタル要素を持つ製品）に該当するか確認したか
- BSIへの登録など必要な手続きを把握したか
- リスク管理措置（バックアップ・MFA・サプライチェーン等）を実装したか
- 24時間/72時間の報告フローと窓口を定めたか
- 経営層の関与・責任・研修を組み込んだか
- 委託先・取引先のセキュリティを確認したか
まとめ
EU・ドイツのサイバーセキュリティ規制は、組織向けのNIS2、製品向けのCRA、金融向けのDORA が柱となり、いずれも対象企業に具体的な義務と 経営者の責任 を課します。ドイツではNIS2の国内法が2025年に施行され、CRAも2026年以降に段階適用が進みます。まず自社が対象かを判定し、報告期限から逆算した体制を整えることが、制裁リスクの回避と取引先からの信頼確保につながります。
TSM合同会社では、日系企業のドイツ・EUにおけるサイバーセキュリティ規制の対象判定、体制整備、コンプライアンス対応を支援しています。規制対応にお悩みの場合は、お気軽にご相談ください（法規制の初期整理・専門家連携サービスの詳細はこちら）。
本記事は2026年6月21日時点の情報に基づく一般的な解説であり、個別の法務助言に代わるものではありません。規制は流動的なため、具体的な判断は各公式情報源の最新情報と専門家への確認のうえで行ってください。