Summary

  • Council of the EUは10月21日、複数のEU法に関わる事故を欧州共通の受付に出す当初案を改め、各加盟国に国内の入口を置く交渉方針を決めた。
  • ENISAの情報サイトは適用される届出義務と国内の送付先を示す。案文は、そのサイトで事故通知を受け取り、送信し、保存することを禁じる。

事故が起きたとき、担当者に必要なのは立派な玄関より、確実に届く宛先だ。一件のサイバー事故が複数のEU法に触れるなら、どの報告をどこへ出すのか。10月21日のCouncil of the EUの発表は、European Commissionが構想したEU共通の受付を国内の入口に置き換える。欧州には道案内が残り、書類を預かる机は各国に置かれる。

交渉案の第23a条は、ENISAが運営する情報拠点に仕事を二つ与える。届出義務を見つけやすくし、適切な国内の入口へ導くことだ。同条4項はさらに踏み込む。拠点は通知を提出、転送、保存、処理できず、報告者や事故を特定する情報も集められない。案内板の下に投函口を付けない設計である。

受領を担う第23b条では、加盟国が既存の仕組みをつなぎ、所管当局やCSIRTに情報を配る余地がある。国内の権限配分を保ちながら、各国の入口同士の相互運用を目指す。ENISAは拘束力のない技術・運用上の勧告と、各国が使えるオープンソースの仕組みを用意する案だ。共同の道具箱はあっても、窓口の当番は国ごとに決まる。

案文は国内システムの新設・改修と国境を越える接続に費用がかかり得ると認める。通知様式をそろえ、複数国に影響する事故の連絡を助ける条項も続く。報告者が感じる便利さは、最初のクリックだけでは決まらない。届出が適切な当局に届き、受領の証拠を追えるかが肝心だ。

これは理事会の交渉方針で、欧州議会の立場が出た後に条文を詰める。すでに動くCyber Resilience Actの製品安全通報には、その制度による受付がある。