【EU】欧州委、サイバーレジリエンス法発表。全てのデジタル機器メーカーにセキュリティ確保義務

　欧州委員会は9月15日、2020年EUサイバーセキュリティ戦略及び2020年EUセキュリティ連合戦略を基に、デジタル機器のにサイバーセキュリティ仕様を義務付けるEU規則「サイバーレジリエンス法」を制定する政策を打ち出した。製品のライフサイクル全体が対象となる。今後、EU理事会と欧州議会との協議に入る。

　サイバーレジリエンス法の内容は、主に4つ。まず、デジタル機器の販売時にサイバーセキュリティを義務付けるルールを定める。次に、デジタル機器の製品設計、開発、製造に関する義務と、製造事業者の責任を規定する。3つ目は、製品の販売・提供後も含めたライフサイクル全体で、サイバーセキュリティを確保するために製造事業者が負う義務を規定する。4つ目は、当局の監督義務の規定。

　同法の対象は、ネットワークに直接または間接的に接続される全ての製品。ウェアラブルやIoT等も対象となる。但し、医療機器、航空機、自動車等、既存のEU規則でサイバーセキュリティの要件が定められている製品は対象外。

　同法の制定に向けては、フォン・デア・ライエン欧州委員長が2021年9月のEU一般教書演説で披露。欧州委員会で検討を重ね、今回方針が発表された形。

　同法は、「ネットワークおよび情報システムのセキュリティに関する指令（NIS指令）」と、欧州議会と理事会が最近政治的合意に達した」EU全域のサイバーセキュリティの高い共通レベルのための措置に関する指令（NIS 2指令）」、EUサイバーセキュリティ法を補完するものとなる。

　同法の狙いは、相次ぐランサムウェア攻撃等のサイバー攻撃等への対応。製造事業者に対策の義務を課すことが大きな狙い。欧州委員会は、今回のサイバーレジリエンス法せ世界各国へのモデルとするところまで視野に入れている。

【参照ページ】State of the Union: New EU cybersecurity rules ensure more secure hardware and software products

株式会社ニューラル サステナビリティ研究所