フランスのNIS2延期はコンプライアンス免除ではない

延期は猶予ではありません。今週のニュースを「待ってもよい」という許可と受け取るフランスの組織は、自らのリスクを見誤っています。NIS2指令をフランス法に転換する法案は、2026年10月7日に国民議会本会議で審議される予定でしたが、議会の議事運営機関が前日に議題から外し、新たな日程は示されていません。

病院グループ、化学メーカー、研究機関、欧州のサイバーセキュリティ規制当局にこれまで対応したことのない受託製造業者などでセキュリティやコンプライアンスを担当している場合、一見朗報に思えるかもしれませんが、そうではありません。Silicon.frによる法案報道では、規制対象が6セクターから18セクター、約500組織からほぼ15,000組織へと大幅に拡大される内容が記されています。採決がいつ行われても、これらの組織は記憶だけでは答えられない質問を突きつけられることになります。

その質問はシンプルです。組織内外を移動する機密データが、規制当局のタイムラインで管理・記録・報告可能であったことを、要求に応じて証明できますか？NIS2コンプライアンスはセキュリティ対策であると同時に証拠の提出が求められるものであり、その証拠を揃えるには立法カレンダーよりも多くの時間が必要です。Kiteworksのセキュアなデータ交換はまさにそのギャップを埋めるものであり、この延期がCISOやチーフコンプライアンスオフィサーにとって、見出し以上に重要な意味を持つ理由です。

主なポイント

1. 延期は猶予ではない

議会は2026年10月6日に法案を議題から外しましたが、EUの転換期限は2024年10月にすでに過ぎており、欧州委員会はすでにフランスに対して財政的制裁を科すよう裁判所に求めています。

2. 規制対象範囲が約30倍に拡大

法案では、規制対象組織が約500からほぼ15,000へ、6セクターから18セクターへと拡大される見込みです。

3. 義務内容はすでに明らか

指令自体が、24時間以内の早期警告、72時間以内のインシデント通知、サプライチェーンセキュリティ義務、そして重要組織に対する最低1,000万ユーロまたは全世界売上高の2%の罰金上限を定めています。

4. ボトルネックは証拠であり、ツールではない

メール、ファイル共有、マネージドファイル転送に分散したログが、72時間の報告期限を手作業のフォレンジック作業に変えてしまいます。

5. まず範囲、次に証拠、決して待たない

CISOとチーフコンプライアンスオフィサーは、組織の対象区分を確認し、サプライヤーとの機密データ交換をマッピングし、フランスの施行令が策定される前にエクスポート可能な証拠パッケージを構築すべきです。

今週のフランスNIS2法案の動き

この法案は、重要インフラのレジリエンスとサイバーセキュリティ強化に関する法案番号1112です。クリティカルエンティティレジリエンス指令やDORA関連指令の転換も含まれており、NIS2はその一部です。政府は2024年10月15日に上院へ迅速審議手続きで提出し、上院は2025年3月12日に181対134で可決。続いて国民議会の特別委員会が2025年9月10日に独自案を採択しました。

その後、Letoによる延期の法務解説によると、10月6日に議会の議長会議が10月7日と9日の議題から法案を外したと記録されています。公式には議事日程が立て込んでおり、別の性暴力関連法案の審議が長引いているためです。報告者のエリック・ボトレル氏は、2～3週間以内に法案が復帰することを望むと述べています。次回の議長会議は10月13日に予定されており、議題から外れた法案が自動的に元の順番に戻ることはありません。

この流れをもう一度確認してください。2025年3月に上院を通過した法案が、議会段階で2度延期され、最初は2026年9月までずれ込んでいます。フランス政府が転換を放棄するとは誰も本気で考えていませんが、今後もスケジュールが不透明なままであることは覚悟すべきです。

注目すべき政治的なポイントがあります。それは摩擦の原因を示しています。上院は第16条bisを追加し、国家が暗号化プロバイダーにバックドアの組み込みやマスターキーの提供を要求することを禁止する条項です。NOVRISKによる分析では、これを削除する政府修正案が10月3日、すなわち法案撤回の3日前に提出されたと報告されていますが、両者を結びつける公的文書はありません。これは暗号化政策に関する議論であり、NIS2の義務内容とは関係ありません。延期には政治的な理由があることを示していますが、政治的な理由はやがて消滅します。

500からほぼ15,000組織への対象範囲拡大

ここに、優先順位を見直すべき数字があります。現在、旧NIS体制下で規制対象となっているフランスの組織は約500です。法案の説明資料によれば、これがほぼ15,000に拡大される見通しです。つまり、サイバーセキュリティガバナンスを国家機関に証明しなければならない組織が約30倍に増えるということです。

監督当局はANSSI（フランス国家情報システムセキュリティ庁）です。Silicon.frによると、委員会報告書はANSSIが約14,500組織を監督することを想定しています。同じ報道では、対象範囲に約1,500の地方自治体（3万人超のコミューンを含む）、中央官庁、中堅・大企業、サプライチェーン関係者が含まれることも指摘されています。

民間企業の読者にとって重要なのは2点です。第一に、組織は重要・重要度高の2区分に分類され、義務内容が重要度に応じて調整されます。第二に、国家・地方自治体およびその行政機関は罰金の対象外ですが、セキュリティや通知義務からは免除されません。公的機関で働く場合、リスクは罰金ではなく監査指摘です。

セクターリストはNIS2指令の付属書に基づき、従来のエネルギー・交通・銀行事業者をはるかに超えています。医療、デジタルインフラ、化学、郵便・宅配、研究、特定製品の製造なども含まれます。中堅の医療機器メーカー、地域ラボネットワーク、化学受託製造業者、マネージドホスティングプロバイダーなども、これまで一度もサイバーセキュリティ報告をしたことがなくても対象となり得ます。

仮想事例として考えてみましょう。オーヴェルニュ＝ローヌ＝アルプ地域圏の従業員600人の精密機器メーカーが、航空宇宙大手に部品を供給し、エンジニアリングファイル、サプライヤー品質記録、従業員データを11社とメール、SFTP、4年前に現場部門が導入したファイル共有サービスでやり取りしています。これまで同社で、誰が何を誰にどのポリシーで送ったかを監査人に示すよう求められたことはありません。しかし新体制下では、その質問が日常的になります。メーカーが月曜日に新製品を導入する必要はありません。火曜日に何を提出できるかを把握する必要があるのです。

ブリュッセルはすでに議論を終えている

NIS2の転換期限は2024年10月17日でした。フランス議会が法案審議に戻る頃には、フランスは2年遅れとなります。

EUはこれを「誤差の範囲」とはみなしません。2026年7月8日、欧州委員会はアイルランド、スペイン、フランス、オランダを欧州司法裁判所に提訴し、国内転換措置の通知義務違反を理由に財政的制裁を求めました。制裁は完全な転換が通知されるまで継続するため、延期しても「メーター」は止まりません。むしろ動き続けます。

この比較も重要です。「フランスは多くの遅延国の一つ」という見方は誤りです。ECSOのNIS2転換トラッカーによれば、27加盟国中23カ国が国内法を採択済み（ただし委員会の厳格な基準とは異なるカウント）。つまり、フランスは欧州委員会が訴訟を起こした4カ国の一つであり、「半数が未転換の欧州」ではありません。イタリアやベルギーで事業を展開している企業はすでに国内規則下にあり、グループCISOに報告するフランス子会社も親会社からNIS2対応状況を問われ始めています。

この現実的な結果は「二重速度のコンプライアンス態勢」です。グループ全体はすでにNIS2基準で評価されている一方、フランス法人は法制定を待っています。両者は最初の顧客アンケートやクロスボーダー監査で共存できません。

義務は法制定を待たない

フランスの施行令はまだ策定されておらず、Silicon.frが引用するANSSIによれば、NIS2は法律・施行令・命令がすべて公布されて初めてフランスで効力を持つとされています。公式なコンプライアンス日も未公表です。これが「待つべきだ」という最大の根拠ですが、実際には弱い論拠です。なぜなら、指令自体が施行令が具体化する内容の大部分を示しているからです。

まずは説明責任です。指令では、組織の経営陣がサイバーセキュリティリスク管理策を承認・監督し、違反時にはメンバーが責任を問われることが明記されています（指令本文）。この一文により、NIS2はIT部門の課題から経営層の課題へと変わり、チーフコンプライアンスオフィサーや法務責任者もCISOと並んで関与すべき理由となります。

次にタイムラインです。同じ指令は、重大インシデントを認知してから24時間以内の早期警告、72時間以内のインシデント通知、1カ月以内の最終報告を義務付けています。どのファイルがどの経路で流出したか把握するのに1週間かかる組織は、この要件を満たせません。インシデント対応計画が弱点なのではなく、それを支えるデータが弱点なのです。

さらにサプライチェーンセキュリティです。指令は、直接のサプライヤーやサービスプロバイダーとの関係におけるセキュリティリスク管理策を求めています。サプライチェーンリスク管理がベンダーリストとアンケートだけなら、それは単なる在庫管理であり、統制の証拠ではありません。審査官は、機密データがどのようにサプライヤーとやり取りされ、誰が承認し、どこに記録があるのかを尋ねます。

最後に罰則です。Silicon.frによれば、フランス法案では行政罰金の上限が1,000万ユーロまたは全世界年間売上高の2%（重要組織の場合）とされており、これは指令の最低基準と一致します。重要度の低い組織は700万ユーロまたは1.4%が下限です。中堅企業にとって罰金は「到達したくない上限」ですが、より早く直面するのは監査不合格、是正命令、そして最大顧客からの契約更新停止です。NIS2監査・執行の背景は、その流れがどのように進むかを示しています。

すべての期限の裏にある証拠ギャップ

多くの組織がコンプライアンスに失敗するのは、統制策がないからではありません。統制策が機能したことを証明できないからです。

これは、Kiteworksが2025年第4四半期に実施した225人のセキュリティ・IT・コンプライアンス・リスク責任者への調査でも見られた傾向です。Kiteworks 2026年データセキュリティ＆コンプライアンスリスク年次予測レポートでは、回答者のうち統制を伴うデータ交換を統合的に運用しているのは39%のみ。残りの61%は部分的・チャネルごと・最小限のアプローチであり、報告書はこの分断がプラットフォームごとに形式や保存期間が異なるログの分散につながっていると指摘しています。

このことが72時間のタイムリミットで何を意味するか考えてみてください。インシデントが発生し、セキュリティチームは関与データ・アクセス者・経路を特定しなければなりません。メールログは一つのシステム、マネージドファイル転送のログは別、ファイル共有の監査証跡はさらに別、Webフォームの提出記録はどこにあるかも分かりません。セキュリティ対策が失敗したのではなく、「組み立て」が失敗したのです。同じレポートでは、3分の1の組織が証拠品質の監査証跡自体を持っていないことも判明しています。

ベンダー調査には懐疑的であるべきですが（当社調査も含む）、ここで示された傾向はすべてのチーフコンプライアンスオフィサーが認識しているものです。ログは存在しても、それは証拠ではありません。監査人は12個のエクスポートと口頭説明を求めているのではなく、組織が数日で提示できる一貫した証拠保管の連鎖を求めています。なぜなら規制当局のタイムラインは「日単位」で動き、証拠パッケージの組み立てには通常「数週間」かかるからです。

これを「組み立てギャップ」と呼びます。ログがあることと、その内容を証明できることの間にある距離であり、NIS2調査の成否を分けるポイントです。

機密データ交換とNIS2の交差点

新たに規制対象となる組織にとって、最も直接的に影響する業務は、組織を出入りする機密データです。医療分野の患者・研究データ、製造・化学分野の設計図・配合・サプライヤー記録、人事ファイルなど、すべての流れがアクセス制御・暗号化・インシデント対応・サプライチェーンセキュリティという指令の義務が交差する境界を通過します。

ここで検討すべきアーキテクチャの前提は、チャネルごとにツールを分けるのではなく、単一のコントロールプレーンでデータ交換を管理することです。Kiteworks Control Planeでは、セキュアなMFT、セキュアメール、セキュアなファイル共有が一つのポリシーエンジンと統合監査ログを共有するため、特定ファイルに関する質問には一つの場所から一つの答えが返せます。監査ログは改ざん不可で設計され、ログフィードはリアルタイムでSIEMに流すことも可能。24時間の早期警告タイマーが動き出している時に重要です。さらに、ISO 27001、ISO 27017、ISO 27018認証やSOC2 Type IIも取得しており、顧客からのサプライヤー保証要件にも対応しています。

これが何を実現し、何を実現しないかを正確に理解しましょう。どんなソフトウェアも組織をNIS2準拠にすることはできません。コンプライアンスとは、ガバナンス・リスク管理・報告体制について規制当局が判断するものです。統合データ交換レイヤーが提供するのは「証拠」の側面であり、インシデント後に後付けするのが最も難しい部分です。そのため規制当局はツールではなくデータを規制します。ANSSIが重視するのは「どの製品を買ったか」ではなく、「誰が何にいつどの権限でアクセスしたかを示せるか」です。

医療機関の場合、GDPRや国内医療データ規則との重複により、この記録の価値はさらに高まります。同じログがデータ保護責任者の記録とCISOのインシデントファイルの両方に役立つからです。製造・化学分野では、指令のサプライヤー対応部分、すなわち知的財産や業務データが自社管理外のパートナーに渡る部分に対応します。

施行令前にやるべきこと

施行令を待つのは法解釈上は合理的ですが、準備という観点では不十分です。CISOとチーフコンプライアンスオフィサーが今できることを、一般的な計画サイクルに沿った順序で紹介します。

まず範囲を確定しましょう。自社および各子会社が重要・重要度高・対象外のどれに該当するか、指令の付属書やANSSIの公開ガイダンスを活用して判断します。小規模や未規制だったからといって安心しないでください。対象範囲は約30倍に拡大しています。

責任者を明確にしましょう。指令は経営陣に説明責任を課しているため、多くの組織ではCIO・CISO・法務が分担しているものの、誰がどの工程を担当するか明文化されていません。インシデント通知・サプライヤー保証・証拠の承認など、各工程の責任者を明記しましょう。

機密データ交換をマッピングしましょう。規制対象または機密データがサプライヤー・顧客・パートナーに流れるすべてのチャネル（シャドーITも含む）をリストアップし、各チャネルについて「組み立てギャップ」の観点で検証します。今夜このチャネルでインシデントが発生した場合、何が流れ、誰が関与し、どのポリシーが適用されたか完全な記録を揃えるのにどれだけ時間がかかるかを確認します。

24時間・72時間ドリルを実施しましょう。書面の計画をテストするのではなく、証拠をテストします。現実的なインシデントを想定し、ストップウォッチをスタートして通知内容の組み立てにかかる時間を測ります。最初は厳しい結果になるはずですが、それで良いのです。本番のインシデント時よりも10月に学ぶ方が有益です。

証拠パッケージを計画しましょう。審査官に何をどの形で提出するかを今決めておきます。ポリシー、アクセスレビュー、暗号化体制、サプライヤー保証記録、検索可能な監査証跡が中核です。NIS2ギャップ分析で不足部分を洗い出し、NIS2コンプライアンスコストを現実的に見積もって、予算協議を期限前に済ませましょう。

これらはすべて議会の可決を待つ必要はありません。ANSSIの監督下に入る最初の組織には必ず求められることです。

NIS2対応の監査証拠をメール・ファイル共有・マネージドファイル転送で構築する方法について詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事 データをめぐる綱引き：CLOUD法とSHIELD法がもたらすセキュリティ対プライバシー
• ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データを保護
• ブリーフ 主なFERPA違反3選とその回避方法
• ブログ記事 大規模な米国人個人データ保護に関する大統領令14117号
• ブログ記事 NIS2コンプライアンスが必要？まずはISO 27001から