要約

  • 欧州委員会のCOM(2026) 13案は、重要・不可欠な事業体とドメイン名登録サービスをENISAの登録簿に加える。
  • その次のアクセス条項は、複数のサービス提供者区分と航空会社について当局の照会を認めるが、重要・不可欠な事業体を一つの区分として挙げていない。

登録簿を広げるのは一文で済む。誰がその記録を読めるのかは、別の一文が決める。NIS2簡素化案では、この二つの線引きが同じ明瞭さで書かれていない。

現行NIS2のArticle 27がENISAに置く登録簿は、DNSサービス、トップレベルドメイン登録機関、クラウドとデータセンター、コンテンツ配信ネットワーク、マネージドサービス、いくつかのオンライン基盤といった対象を持つ。各国の単一窓口が条文所定の情報をENISAに送り、当局は要請に応じて、列挙された区分に関する情報へアクセスする。必要な場合は秘密情報の保護も求められる。

重要・不可欠な事業体の情報は、いまは別の経路を通る。Article 3(4)は加盟国に国内リストの整備を求め、対象事業体のIPアドレス範囲もその情報に含める。現行Article 27は、同条2項(f)のIP範囲をENISAに転送する情報から明示的に外している。この規定の下では、そのデータは国内側にとどまる。

欧州委員会案は入口を変える。改正後のArticle 27(1)では、重要・不可欠な事業体とドメイン名登録サービス提供者をENISAの登録簿に載せ、Article 3(4)に基づく情報を各国窓口から受け取る。現行2項の独立した提供者リストは削除され、IP範囲を転送から除く例外も新しい転送文にはない。

ただし、何を登録するかと、誰に閲覧させるかは別の制御だ。提案の次の文は、当局から要請があれば、DNSサービス、ドメイン登録機関、登録サービス、クラウド、データセンター、配信ネットワーク、運用サービス、オンライン市場、検索サービス、ソーシャルネットワーク、航空会社に関する情報をENISAが提供すると定める。重要・不可欠な事業体は、ひとまとまりの区分としてそこに現れない。

提案文には、重要・不可欠な事業体の記録も当局のアクセス対象に含まれるのか、という問いが残る。別の箇所では、ENISAが越境リスクを分析し、加盟国間の協力を支援する役割を担う。ENISAの分析、国内当局による個別記録の照会、加盟国による事業体の監督は別々の権限だ。登録簿を広げるなら、Article 27はその違いも書き分ける必要がある。

IPアドレス範囲が議論を具体化する。ネットワーク上の証拠を一つの事業体に結び付けたり、複数国の調査を調整したりする用途は考えられる。だが、実務では誰が何の目的で照会し、古い範囲や誤った記録を誰が直すのかが効いてくる。RIPE NCCは5月12日の意見書で、IP範囲が必要なセキュリティ業務、事業体が報告する項目、重複作業を避ける手段、費用対効果の根拠を欧州委員会に求めた。アクセス文は次の問いを残す。集約後の記録を誰が開けるのか。

登録簿を大きくし、閲覧を職務に応じて絞る設計は可能だ。ENISAは越境リスクを分析し、各国機関は自らの職務に必要な記録だけを閲覧する。その設計なら、条文に対象区分、照会できる機関、照会の目的を明記すべきだ。ENISAの分析と当局の照会を同じ「アクセス」に押し込めれば、国ごとに違う運用が生まれる。

10月21日のRIPE LabsによるEU規制更新は、報告者案がデータ最小化とIP範囲の国内監督を重視すると伝えた。11月2日時点で、欧州議会の立法手続ページは委員会決定待ちと示している。9月24日付の報告草案と、10月13日提出の修正案も記録されている。確認点は単純だ。主管当局はArticle 27(1)に基づいて、ある重要事業体の記録を請求できるのか。できるなら誰が、何の任務のために請求するのか。最終文がそれを答えられなければ、アクセス条項は未完成だ。

出典：NIS2指令 · 欧州委員会案 COM(2026) 13 · RIPE NCCの2026年5月12日意見書 · 欧州議会手続 2026/0012(COD)