DORA、NIS2、CRA:ヨーロッパの新しいサイバーセキュリティルールブックへのフィールドガイド

2025年1月17日には、欧州のほとんどの企業が準備して2年を過ごしたという規制が施行され、多くの規制は満たせませんでした。 データ保護規則ではなく、病院やエネルギーグリッドを目的としていませんでした。 銀行、保険会社、ファンドマネージャー、決済プロバイダーの&mdashを目的とし、実行し続けるテクノロジーベンダーで重要なことにしました。 その名前はDORAであり、それは大陸を突破する3つの規制波の最初のものです。

過去10年間にサイバーセキュリティ法の進化を重んじている人は、このパターンを知っています。新しいディレクティブが到着し、メンバーの状態は異なる速度でそれを翻訳し、企業が移動ターゲットを追いかけています。 今度は別のものが層密度です。 DORA、NIS2、Cyber Resilience Act(CRA)はもう1つ交換しません。 それらは重複し、相互参照し、場所で、意図的に別のものを除外します。 コンプライアンスのロードマップを構築しようとするセキュリティリーダーにとって、それは機会とトラップの両方です。

なぜヨーロッパはレジリエンスを規制していますが、ただプライバシー

GDPRは、欧州の組織に、法的体重の責任として個人データについて考えることを教えました。 新しい世代のルールは、 ではなく、 を保持するデータではなく、 が、誰かがあなたを攻撃したときに動作し続けることができますか?

シフトは非審理的です。 Cyberattacksは、より高度でダメージを受け、社会を機能させ続けるセクターを成長させました — 財務、エネルギー、輸送、健康、電気通信— 最も相互接続され、最も露出されているもの。 単一の妥協されたソフトウェア製造者は時間の何百もの施設を渡るさざりできます。 規制当局は、その依存性を見て、自発的なベストプラクティスが十分でないと結論付けました。

目標は、これらの規則の背後にあるフレームワークの単語で、運用レジリエンス &mdash を改善しています。そして、この目標は、物理的および論理的なセキュリティを 2 ではなく 1 つの問題として扱います。 GDPR、電気通信部門の規則、EUサイバーセキュリティ法などの認証スキーム、および重要な組織に関するCER指令から、これらの規制が古い義務と並んでいます。 それらは整頓されたスタックではありません。 それらは格子です。

DORA:財務とそのサプライヤーのレジリエンス規則

DORA — デジタル運用レジリエンス法、正式な規制(EU)2022/2554— 公開されました 2022年12月2025日、直接適用されました。 「直接適用」は重要なフレーズです: ディレクティブとは異なり、DORAは国の法律に翻訳する必要はありません。 同じ日に、EU加盟国全員に書面で申請します。

その最初の仕事は調和しています。 DORA、銀行、保険会社、年金基金、ファンドマネージャーがそれぞれICTリスクに関する異なる国のルールに直面する可能性がある前に。 DORA は 1 つの枠組みの下でそれらを引っ張り、そうすることで、ネットを拡大し、単一の国の政令よりも多くのエンティティティをカバーします。

その2番目の仕事は、サプライチェーンのために不快なものを得る場所です。 DORA は、堅牢な ICT リスク管理フレームワーク &mdash を維持するために金融機関を義務付けています。その義務は、重要なサービスや製品を支えるテクノロジープロバイダーに直接流れます。 重要なインフラ、クラウド、ソフトウェアをヨーロッパの銀行に販売する場合、Doraは、フランクフルトまたはサンフランシスコに本社を構えているかどうかを、契約交渉の一部となりました。

金融セクターが実証しなければならないことについて

• A 文書化された、ボードレベルのICTリスク管理フレームワークは、誰も読んでいないポリシーのフォルダではありません
• 堅く、定義されたwindows
• 内の有能な当局へのインシデントレポート 重要な企業に対する脅威主導の貫通テストを含む定期的なレジリエンステスト
• 重要なICTサードパーティプロバイダの監督および契約上の制御

弊社では、試験要件変更の会話を最速で見てきました。 DORAによる脅威評価テストはチェックボックススキャンではありません。 特定の質問に答えるために設計された知能主導の演習です: 有能で意欲的な攻撃者が私たちの最も重要な機能をターゲティングした場合、支払いを解決したり、クレームを処理したり、レジャーをまっすぐに保つことができますか?

注意: DORA は、現在、運用およびメンテナンスフェーズにあります。 レギュレータと機関は、実際のテストと実際のインシデントレポートからレッスンを描画しています。これらのレッスンは、他のセクターの&mdashで最高の練習を形作り出す可能性があります。特にビジネスの継続とサプライチェーンのセキュリティの周りに。

NIS2:Eighteen Sectors、One Baseline

DORAが専門機器である場合、NIS2は汎用です。 2022年12月に採用された指令(EU)2022/2555は、一般的な中規模および大企業に適用する18の重要なセクターをカバーする統一された法的枠組みと元のNIS指令を置き換え、強化します。

2つの関係は、人々を旅するので、正確に述べる価値があります。 DORAがlex specialis &mdashであるため、金融セクターはNIS2から除外されます。一般的なものを上書きする特定の法律。 銀行の場合、DORAに従う。 あなたが電気通信事業者であるならば、水ユーティリティ、病院、デジタルプロバイダー、または覆われたセクターの1つにあるメーカーは、あなたのベースラインです。

NIS2は、一度にいくつかの方向でバーを上げます。 リスク管理と通知業務を、これまで独自の独立した体制を持っていた通信を含む、はるかにセクターの&mdashに拡張します。 国のサイバーセキュリティ戦略が更新されるように要求します。 それはサプライ チェーンの保証の厳密な条件を置いて下さい。 経理性を上回る: シニア管理は、サイバーセキュリティの成果を所有し、技術的なチームに委任し、希望するものではありません。

トランスポジションの問題

ここは摩擦です。 NIS2は、各メンバーの状態が国の法律に書き込む必要があるという命令です。 ほとんどは遅くなっています。 スペインは、サイバーセキュリティの協調とガバナンスに関する予備的なドラフト法に関する公共の協議で、16 1月2025日にトランスポジションプロセスを開始しました。 その他の国は様々なステージで、先日、いくつかのラギング。

その驚異的なタイムラインは、多国籍者にとって本当に厄介な状況を生み出します。同じ企業は、1つの国の範囲で完全にでき、別のレポートポータル、異なるしきい値、異なる監督当局に規制されています。 また、このディレクティブは、以前に一般電気通信法に座っているセクターのサイバーセキュリティ義務を反訴し、CER指令の重要な企業に対する義務に合意しなければなりません。

注意: 行動する前に、国家の転帰が確定するのを待つしないでください。 義務 — リスクアセスメント、セキュリティ対策、短期期限内のインシデントレポート、デモンストレーション可能なコンプライアンス — ディレクティブのテキストで既にクリアされています。 遅く開始する企業は、制御しなくなった期限の下で制御を構築します。

CRA:セキュリティは、製品自体に来ます

第三の波は、大きぶりの2つを単独で残します。 あなたが購入する製品。 規制(EU)2024/2847、サイバーレジリエンス法は、2024年12月10日に施行されました。 その主な義務は、11 12月2027&mdashから適用されます。 あなたが関与する作業をカウントするまで遠くに聞こえる日付。

DORA と NIS2 がサービスの規定を規制する場合には、CRA は、消費者デバイスから産業コンポーネントに至るまで、ソフトウェアとハードウェアをデジタル要素で製品を調整します。 市場が持続的に不足しているセキュリティを持っているため、存在します。 買い手は、製品がセキュリティを念頭に置いて構築されたかどうかを簡単に伝えることができず、メーカーは販売後に投資するために少しのインセンティブを持っていました。

CRA は、製品が連動する機能のセットで変更しました。

• 設計によるセキュリティは、製品から製品に組み込まれています。
• 製品サポート寿命を横断した脆弱性管理
• >
• >
• >>
• >>>
• >>
• >>
• >
• >>>>
• >>>>>>
• > セリウムの印の要素は見るべき1です。 マーケティングクレームからサイバーセキュリティを市場アクセスの条件に変えると同時に、CEマークはすでに電気安全のために機能します。 あなたの製品が合っていない場合, あなたは単に評判の損傷に直面していません — あなたは、欧州市場でそれを置くことができないに直面しています. また、CRAは、米国サイバートラスト・マークなどのラベル作成のイニシアチブと共に、購入の時点で、セキュリティを目に見えるようにするための広範な国際プッシュの一部です。

  3つの規則のコライド— 彼らは助ける場所

  3つの楽器は、地面の印象的な量を覆います。 下の表は、コンプライアンス チームが念頭に置く必要があります。

  DORA									金融機関およびそのICTプロバイダー	17 Jan 2025	運用レジリエンスとサードパーティのリスク
  NIS2	18重要なセクター、中小企業		国別		リスク管理とインシデント報告
  CRA	デジタル要素を持つ製品メーカー	11 Dec 2027	Secure design,update, CE marking

  複雑性は、各規則に個別にとどまりません。 それは、それら間の相互運用性にあります, 整列しない期限, そして、異なる有能な当局は、それらを解釈し、強制します. 銀行、ソフトウェアベンダー、コネクティッドデバイスのメーカーである会社は、それぞれ独自のレポートプラットフォームと「タイムリーな通知」手段の独自のアイデアで、一度に3つの異なるスーパーバイザーのレジムにそれ自体の答えを見つけることができました。

  当局の真の課題は、あまりにも&mdashであり、ソースのテキストは、それについてさわやかなcandidです。 レギュレータは、インシデントマネジメントやレポートプラットフォーム、認証レジムなど、最大限のシンプルさを促進しなければなりません。 リソースが利用可能であることを確認し、企業に助言を提供し、義務を重ねて矛盾させないように、セクター間で効果的に調整しなければなりません。

  エスケープハッチとして認証

  1つの実用的なスレッドは、ISO 27000ファミリーなどのセキュリティスキームと国際認証を制定し、コンプライアンスの牽引可能な結合組織として統合されています。 既に成熟したISMSを実行している場合は、ゼロから起動しません。 既存の制御を新しい義務にマッピングしています。 — ゼロから構築するよりもはるかに安い演習。

  製紙ではなく、実際のセキュリティエンジニアリングに投資した企業にとって、新しい政令は見た目よりも負担が少ない。 これらの規制はますます証拠を求めるので、ほとんどのコントロールが紙にのみ存在するものになるのに苦労する組織:テスト結果、インシデントのタイムライン、サプライチェーンの検証、適合性評価。

  重要:これらの規則は、あなたに証拠の負担をシフトします。 コンプライアンス&mdashの実証、テスト、ドキュメント、およびレポートの&mdashを通して、今では達成として重要である。 未テストの制御と不在な制御は、スーパーバイザーと同じです。

  この意味は、セキュリティプログラム

  法的な詳細から戻って、一貫性のある画像が現れます。 欧州は、デジタルレジリエンスがインフラであることを決定しました, ITの懸念ではありません, そして、それに応じて動作するように市場を強制するために規制を使用しています. 3つの楽器は、金融システムの運用継続性(DORA)、重要なセクターのベースライン衛生(NIS2)の3つの角度から問題に攻撃し、他の製品のセキュリティは(CRA)に依存します。

  セキュリティリーダーにとって、実践的な対応は3つの独立したコンプライアンスプログラムを構築するものではありません。 1つの強力なセキュリティプログラムを構築し、それを外側にマップすることです。 重要なサービス全体で正直なリスクアセスメントから始まります。 あなたのサプライヤーを在庫し、それらが重要であるかを理解します。 インシデント検出とレポート機能が標準で、パニックなしで24時間通知ウィンドウに会うことができます。 そして、テスト — 本当にテスト — 主張するコントロールは、これらのレジムの1つが最終的には、証拠を求めるので、.

  期限は厳格ですが、寛大ではありません。 DORAは既にライブ中です。 NIS2 の義務は、国によって結晶化国です。 2027年12月、CRAの主要業務分野は、ほぼ2つのフル製品開発サイクルを発揮し、ほとんどのハードウェアメーカーにサービスを提供しています。 生き残るために、事務の練習ではなく、その操作を困難にするための戦略的な機会としてこれを治療する組織は、単に寛容ではなく、本物に違反することがより困難であることを見つけるでしょう。 つまり、最終的にはポイントです。