NIS2コンプライアンス：2026年の監査前にIAMとアクセス制御を見直す
誰が何にアクセスできるか、その理由を証明できないセキュリティチームは、もはや攻撃者だけでなく、NIS2指令の下では、規制当局や経営幹部個人の責任にもさらされています。監査人はセキュリティプログラムの高度さを評価しに来るのではありません。機密性の高いシステムやデータへのアクセスが正当に認可され、定期的に見直され、ログとして記録されていることを、必要に応じて証拠として提示できるかどうかを確認しに来るのです。
この違いは「十分」の基準を大きく変えます。Help Net Securityが2026年9月1日に報じたように、NIS2の国内法化に伴う監査は、今年10月からEU加盟国全体で法的拘束力を持つようになり、複数の国が今後数週間で厳格な登録・施行日を設定しています。重要インフラ事業者（エッセンシャルエンティティ）は最大1,000万ユーロまたは全世界年間売上高の2%（いずれか高い方）の罰金、重要事業者（インポータントエンティティ）は最大700万ユーロまたは売上高の1.4%の罰金が科されます。経営陣（取締役会や指名された幹部）は、組織がサイバーセキュリティリスクに対して合理的なガバナンスを示せない場合、一時的な経営職の停止など個人責任を問われる可能性があります。
これらは、組織が過去に侵害されたかどうかには関係ありません。組織が「証拠を提示できるかどうか」が問われます。18か月間見直されていない休眠サービスアカウント、プロジェクトを離れたのに管理権限が残ったままの外部委託者、エクスポートできない監査ログなど、誰かに悪用されたかどうかに関係なく、いずれも監査で指摘されるリスクです。
このため、アイデンティティおよびアクセス管理は、技術的な衛生管理から一夜にして取締役会レベルのコンプライアンスリスクへと変化しました。NIS2コンプライアンスを単なる文書作成作業と捉えている組織は、最初の監査で失敗する可能性が高くなります。この記事では、証拠基準が求めるもの、認証情報とアクセスの可視化がなぜ最速でギャップを埋める方法なのか、そして統合された監査ログとガバナンスされたアクセスを中心としたプラットフォームが、監査人が来る前に状況をどう変えるかを解説します。
主なポイント
1. NIS2が罰するのは「証拠の欠如」であり、セキュリティの不完全さではない。
監査人が確認するのは、アクセスが正当に認可・見直し・記録されているかどうかであり、セキュリティプログラムが完璧かどうかではありません。
2. 財務的・個人的リスクはいずれも重大。
重要インフラ事業者は最大1,000万ユーロまたは全世界売上高の2%、重要事業者は最大700万ユーロまたは1.4%、経営陣は一時的な経営職停止を含む個人責任を問われる可能性があります。
3. アクセス制御の証拠は最速のコンプライアンス達成手段。
認証情報の棚卸し、休眠アカウントの削除、エクスポート可能な監査ログの有効化は、他のNIS2義務（サプライチェーンリスク管理など）が運用化に数か月かかる中、数週間で監査対応を進めることができます。
4. 規制当局が最も頻繁に発見するギャップは具体的かつ繰り返し発生する。
休眠アカウント、過剰権限ロール、90日以上見直されていない認証情報は、ほぼすべてのアクセス制御評価の失敗例で指摘される証拠ギャップです。
5. 統合監査ログと属性ベースアクセス制御がギャップを直接解消。
すべての機密データチャネルを横断する単一のエクスポート可能な監査証跡を生成し、ロールベース・属性ベースの権限を組み合わせたプラットフォームは、手作業の再構築なしで監査人が期待する証拠をコンプライアンスチームに提供します。
NIS2施行の裏付けとなる証拠基準
NIS2（正式名称：Directive (EU) 2022/2555）は、従来のNIS指令を大幅に拡大し、実質的に厳格な施行体制を導入しました。エネルギー、交通、銀行、医療、デジタルインフラ、行政などの重要・重要事業者をカバーし、加盟国が国内法に取り込んだその他の分野にも及びます。本稿で特に重要なのは2つの条項です。第21条2項(i)は多要素認証、セキュアな通信、アクセス制御ポリシーの導入を義務付け、第21条2項(d)はサプライチェーンセキュリティ対策を求め、組織の責任範囲をベンダーやサービスプロバイダーにまで拡大しています。
この2つの義務の実務的な違いは「対応にかかる期間」です。Help Net Securityの報道によれば、アクセス制御ポリシーの文書化・施行は通常2～4週間で対応できますが、サプライチェーンリスク管理プログラムは現実的に6～12か月かかります。この非対称性こそが、アクセス制御が10月のコンプライアンス期限に向けて最初に着手すべき事項となっている理由です。NIS2の中で最も組織自身が管理しやすく、監査人も最も早く証拠を確認できる要件だからです。証拠（またはその欠如）は、すでに存在するアイデンティティシステムやログリポジトリに記録されています。
監査人が確認するのは、組織が掲げるアクセス方針と実際の運用が一致しているかどうかです。例えば「四半期ごとにアクセスを見直す」と書かれていても、見直し記録を提示できなければ意味がありません。「休眠アカウントは速やかに無効化する」と主張しても、アイデンティティシステムに1年以上認証されていないサービスアカウントが残っていれば無効です。これがNIS2の証拠基準であり、セキュリティポリシー文書とインフラ実態のギャップは容赦なく指摘されます。
どのデータコンプライアンス規格が重要か？
Read Now
罰則区分と経営陣の個人責任
NIS2の財務リスクは、対象分野の重要度に応じて2段階に分かれています。重要インフラ事業者（エネルギー、銀行、医療、デジタルインフラなどの大規模組織）は、直近の会計年度の全世界売上高の2%または最大1,000万ユーロ（いずれか高い方）の行政罰金が科されます。重要事業者（郵便、廃棄物管理、食品生産、製造業などを含む広範なカテゴリ）は、最大700万ユーロまたは売上高の1.4%の罰金対象です。
NIS2を従来のコンプライアンスフレームワークと一線を画すのは、これらの企業罰金の上に「個人責任」が課される点です。サイバーセキュリティリスク管理を担う経営陣（取締役会や上級幹部）は、十分な対策を講じなかった場合、個人として責任を問われます。各国当局は、責任ある法人・自然人を公表する声明を要求でき、重大な場合は是正完了まで指名個人の経営職務を一時停止させる権限も持ちます。これは単なるギャップ分析の指摘とは異なり、CISOやコンプライアンス責任者、取締役会が同じインセンティブで監査前に証拠ギャップを解消する動機となります。
この責任構造により、NIS2は今年の取締役会報告サイクルで最も議論されるトピックの一つとなっています。459人のセキュリティ・コンプライアンス・技術リーダーを対象としたKiteworksデータセキュリティ＆コンプライアンスリスク：2026年年次調査レポートでは、欧州および英国の組織がAIやデータ規制要件を他地域よりも高い割合で最重要コンプライアンス課題に挙げており、これはGDPR、EU AI法、NIS2の具体的な施行環境が直接影響していると分析されています。この種の規制圧力は、すぐに取締役会の議題や予算要求、法務部門との個人リスクの議論に反映されます。
なぜ認証情報とアクセスの可視化が最速のコンプライアンス達成手段なのか
すべてのアクセス制御の失敗は、最終的には認証情報に行き着きます。それが従業員、外部委託者、サービスアカウント、あるいは誰も覚えていないAPIキーであっても同じです。Verizonの2026年データ侵害調査レポートによれば、脆弱性の悪用が認証情報の悪用を抜いて最も一般的な初期侵入経路となり、全体の31%を占めていますが、認証情報の悪用リスクが消えたわけではありません。攻撃チェーンのより深い部分に移動しただけです。Help Net Securityが報じたVerizonの2026年調査では、全侵害の39%で認証情報が何らかの形で悪用されており、侵入の「玄関」ではなく、内部移動の「道具」として使われるケースが増えています。
コストデータも、これが単なるセキュリティ課題ではなくコンプライアンスプログラムにとって重要な理由を裏付けています。IBMの2026年データ侵害コストレポートによると、侵害1件あたりの世界平均コストは499万ドルで前年から12%増加し過去最高を記録しました。アイデンティティ＆アクセス管理は、IBMが調査したコスト削減要因の中で3番目に大きな効果を持ち、適切に導入された場合、平均22万5,622ドルのコスト削減につながります。一方、管理不十分なシークレットやキーは逆に19万8,933ドルのコスト増加要因となり、規制違反もさらに20万1,112ドルの追加コストを生みます。つまり、アクセスガバナンスは見栄えの良い「ソフトコントロール」ではなく、侵害コストと規制リスクの両方に直接的な影響を与える数少ないレバーの一つです。
この点でも、認証情報の可視化が「最速のコンプライアンス達成手段」として評価される理由があります。サービスアカウント、APIキー、証明書など、管理されていないすべての認証情報の棚卸しは、ほとんどのアイデンティティチームが既存のツールで即座に着手できます。特権・リモートアクセスアカウントへのフィッシング耐性のある多要素認証の適用も、同様に短期間で実現可能です。どちらも新たな調達や長期の統合プロジェクトを必要とせず、必要なのは棚卸しを完了し、その結果に基づいて行動する規律だけです。多くの場合、予想以上に多くの休眠アカウントや孤立した権限が見つかります。
監査人が最も頻繁に指摘するアクセス制御証拠のギャップ
アクセス制御評価でほぼ必ず指摘される3つの具体的なギャップがあり、それぞれ異なる是正アプローチが必要です。
最も多いのは休眠アカウントです。これは、利用者やプロジェクト、連携が終了した後もディレクトリ上で有効なまま残っているユーザーアカウント、サービスアカウント、API認証情報です。四半期ごとのライフサイクルレビューを、場当たり的なクリーンアップではなく文書化されたプロセスとして実施することがNIS2監査人の期待値です。このレビューがなければ、それ自体が指摘事項となり、休眠アカウントが実際に悪用されたかどうかは関係ありません。
2つ目は過剰権限ロールです。従業員が部署異動や一時的なプロジェクト責任を担う際、あるいは前任者から権限を引き継ぐ際に、古い権限がそのまま残ることでアクセス権が蓄積されていきます。ロールベースアクセス制御と、デバイスの状態や場所、データの機密性などより細かな条件に対応する属性ベースアクセス制御を組み合わせることで、歴史的な蓄積ではなく現状の必要性に合わせた権限管理が可能です。NIST SP 800-63BやENISAのガイダンスも、アクセスはデフォルトで最小化し、定期的なスケジュールで再取得させるべきという同じ原則を示しています。
3つ目は未レビューの認証情報（未使用アクセスに紐づくアカウントやキーで、90日以上認証されていないもの）です。これはNIS2ギャップ分析で最初に表面化しやすいギャップで、ログデータから直接測定でき、インタビューやポリシーレビューを必要としません。自組織のアイデンティティ基盤を即座にクエリし、このリストを数分で出せる組織は、手作業で数週間かけて再構築する組織とは根本的に異なる監査対応力を持っています。
Kiteworks 2026年年次調査レポートは、この証拠ギャップがどれほど広がっているかを数値で示しています。調査対象組織の63%が過去12か月で監査指摘、是正計画、取締役会へのエスカレーション、契約違反ペナルティ、公式な規制調査など、何らかのコンプライアンス上の影響を経験しました。半数は1営業日以内に完全なデータアクセス監査記録を提出できず、改ざん検知付き監査証跡を備えていたのはわずか33%でした。レポートの推奨も明確です。DORA、NIS2、EU AI法の監査義務は、調査対象組織の半数が現時点で対応できておらず、証拠能力の構築は規制当局から要請されてから後追いでできるものではありません。
監査対応可能なアクセス制御プログラムの構築
これらのギャップ解消は、新しい技術を導入することよりも、多くの組織がすでに持っているコントロールを運用化することが重要です。四半期ごとのアクセスレビューサイクルを文書化し、繰り返し実施することが基盤となります。このサイクルは人だけでなくすべてのアカウントタイプを対象とし、セキュリティチームの立ち会いなしで監査人が確認できる記録を残す必要があります。
アクセス制御をゼロトラスト・アーキテクチャ原則（ネットワークの場所に関係なくデフォルトで信頼しない）に基づいて構築すれば、過剰権限アカウントの発生を未然に抑制できます。特権・リモートアクセスへの多要素認証（可能な限りNIST SP 800-63Bセクション5.2.10に準拠したフィッシング耐性型）の適用は、最も一般的な初期侵入経路を遮断します。これらのコントロールは特別なものではなく、監査をスムーズに通過する組織とそうでない組織の違いは、技術的に強制され、自動で記録され、決まったスケジュールでレビューされているか、単なる文書化に留まっているかです。
集中管理されたエクスポート可能な監査ログが、プログラム全体をつなぎます。監査人は「どこかにログがある」ではなく、「誰が、いつ、何に、どの権限でアクセスしたか」を一元的に示す記録を求めます。これはサードパーティリスクとアクセス制御が直接交差するポイントでもあり、ベンダーや外部委託者のアクセスこそ、プロジェクト終了後に放置されやすい認証情報の代表例です。
休眠アカウントや古い権限、監査ログの網羅性を一画面で可視化するCISOダッシュボードは、監査開始前に監査人が求める情報をコンプライアンス・セキュリティ責任者が把握できるため、NIS2評価を「慌てて対応」から「既存の運用確認」へと変えます。
KiteworksがNIS2証拠要件にどのように対応するか
Kiteworksのセキュアデータ交換は、NIS2監査人が重視する「証拠ファースト」原則に基づいて構築されています。プラットフォームは、メール、マネージドファイル転送、ファイル共有、Webフォームなど、機密コンテンツが移動するすべてのチャネルで単一かつ統合された監査証跡を生成するため、監査人から要求があった際に、複数システムからアクセス履歴を再構築する必要がありません。ロールベースおよび属性ベースのアクセス制御により、コンテンツレベルで最小権限を強制し、NIS2監査で最も指摘されやすい過剰権限ロールのギャップに直接対応します。
KiteworksはFedRAMP中程度相当性、ISO 27001コンプライアンス認証、SOC2報告書の認定を取得しており、NIS2も自己宣誓だけでなく文書化・検証可能な証拠でサポートする規制フレームワークの一つです。10月のコンプライアンス期限に向けて急ぐ組織にとって、認証情報の棚卸し、四半期ごとのレビュー、エクスポート可能な監査ログは、プラットフォームの構造的な機能として標準搭載されており、ゼロから構築する必要はありません。
既知の証拠ギャップを放置するほどコンプライアンスコストは急増するため、最速の対応策は新たなインフラを最小限に抑えることです。アクセスガバナンスと監査ログを、この証拠基準に特化したプラットフォームに集約する方が、後から複数のポイントツールをつなぎ合わせて可視化を実現するよりも、コストも時間も大幅に削減できます。
NIS2アクセス制御証拠のギャップを次回監査前に解消したい方は、カスタムデモを今すぐご予約ください。
よくある質問
NIS2は従来のNIS指令よりも大幅に対象範囲が拡大され、製造業、食品生産、郵便・宅配サービス、デジタルプロバイダーなど、従来の重要インフラ以外の重要事業者分野も広くカバーしています。元の指令では対象外と考えていた多くの組織も、NIS2コンプライアンスルールの下では、特に重要・重要事業者へのベンダーとして納入している場合、対象となります。加盟国ごとに事業者規模や分野定義に柔軟性があるため、自社の国内法に対する正式なNIS2ギャップ分析が、適用範囲を確認する唯一の確実な方法です。
監査人は通常、すべてのアカウントタイプを対象とした四半期ごとのアクセスレビュー記録、休眠・未使用認証情報の最新棚卸し、多要素認証が特権・リモートアクセスに適用されている証拠、そして手作業で組み立てるのではなく要求時にエクスポートできる集中管理された監査ログを求めます。これらの情報が一元的に可視化されるCISOダッシュボードがあれば、監査要請時の即日対応と数週間の混乱の差となります。
NIS2は、組織だけでなく経営陣（取締役会やサイバーセキュリティリスク監督を担う指名上級幹部）にも責任を拡大しています。各国当局は、責任者の公表や、重大な場合には是正完了まで経営職務から一時的に排除することもできます。これは企業罰金だけの場合と比べて実質的に異なるリスクであり、アクセス制御証拠が取締役会レベルの議題となる理由です。GDPRコンプライアンスなどもプライバシー責任者への個人責任を導入しましたが、NIS2は同じ論理をサイバーセキュリティガバナンスにも拡大しています。
Help Net Securityの報道では、既存のアイデンティティ基盤がある組織では、アクセス制御の実装は2～4週間で完了するとされています。これは、第21条2項(d)のサプライチェーンリスク管理（通常6～12か月）よりもはるかに迅速です。この期間は、認証情報の棚卸し、休眠アカウントの削除、エクスポート可能な監査ログの有効化に集中した場合を想定しています。ゼロトラスト・セキュリティ原則に基づき、ロールベース・属性ベースのアクセス制御がすでに導入されている組織では、コントロールの設定と検証のみで済むため、さらに短期間で対応可能です。
追加リソース
- ブログ記事 データを巡る綱引き：CLOUD法とSHIELD法がセキュリティとプライバシーをどう対立させるか
- ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データを保護
- ブリーフ よくあるFERPA違反トップ3とその回避方法
- ブログ記事 大統領令14117号：米国人の大量機密個人データ保護
- ブログ記事 NIS2コンプライアンスが必要ですか？まずはISO 27001から