NIS2と取締役会：「委任できない」責任とサイバーリスク管理の現実

取締役会がサイバーセキュリティ対策を他人任せにできなくなりました。NIS2指令が義務付ける「非委任可能な責務」は、まさに役員の首を締める現実的な課題です。もう「IT部門に任せた」では済みません。

NIS2が求める取締役会の役割とは？

NIS2指令（EU 2022/2555）は、域内の重要・重要機関に対し、サイバーリスク管理体制の強化を求めています。特に注目すべきは、取締役会が自ら関与しなければならない事項が明確にされたことです。ACN（欧州サイバーセキュリティ機関）のFAQは、どの決定は委任できず、どのようにリスク対策を承認すべきかを具体的に示しています。

非委任可能な義務：取締役会の“手首”を鍛えよ

FAQによれば、サイバーリスク管理方針の承認、リスクアペタイトの設定、セキュリティ投資の全体枠組みは取締役会の専権事項です。これらの決定を子会社や執行役に丸投げすることはできません。まるで「目玉焼きを他人に焼かせて後で文句を言う」ようなもの – 自分で準備しなければ、責任を取れないのです。

実務：サイバーリスク対策を“承認”するとは？

では、取締役会は具体的に何をすればいいのか？NIS2は、予防、検知、対応、復旧の全フェーズをカバーするリスク管理プロセスを義務付けています。取締役会は、これらのプロセスが実効的であることを確認し、定期的に報告を受ける体制を整える必要があります。単に「承認しました」のハンコを押すだけでは不十分で、実質的な議論と理解が求められます。

Featured snippet: 取締役会の非委任義務とは？

非委任義務とは、サイバーリスク管理方針の承認、リスクアペタイトの設定、セキュリティ投資の枠組み決定など、取締役会自身が行わなければならず、執行役や外部ベンダーに委任できない事項です。ACN FAQはこれらの活動を具体的に列挙しています。

詳細はEUR-LexのNIS2条文をご参照ください。

よくある誤解と実践ポイント

「取締役会はITに詳しくない」問題

多くの役員が「サイバーは専門用語が多くて理解できない」と嘆きますが、NIS2は取締役会に対し、最低限のリスクリテラシーを要求します。研修の受講やアドバイザーの活用は有効ですが、「理解したふり」は致命的です。

報告ラインの再構築

CISO（最高セキュリティ責任者）を取締役会直属にする、四半期ごとにサイバーリスク報告を義務付けるなど、ガバナンス構造の見直しが急務です。自社のビジネスに合わせた「生きた」ルール作りが鍵です。

FAQ