オランダ、サイバーセキュリティ法と重要インフラ回復力法が2026年8月15日より施行

2026年8月15日、オランダにおいて「Cyberbeveiligingswet（Cbw：サイバーセキュリティ法）」および「Wet weerbaarheid kritieke entiteiten（Wwke：重要インフラ回復力法）」が施行されました。これらの法律は、オランダ国内の組織におけるデジタルおよび物理的な回復力を強化し、不可欠なサービスの継続性を確保することを目的としています。

これにより、数千もの組織が新たな法的義務を遵守することが求められます。

司法・安全保障大臣のDavid van Weel氏は、「デジタル攻撃、破壊行為、その他の妨害は、私たちの社会に大きな影響を与える可能性があります。これらの法律の施行により、組織とオランダ全体の回復力を高める重要な一歩を踏み出します」と述べています。

Cyberbeveiligingswet（サイバーセキュリティ法）

この法律は、EUのNIS2指令をオランダ国内で実施するものであり、従来のWet beveiliging netwerk- en informatiesystemen（Wbni）を置き換えるものです。エネルギー、飲料水、デジタルインフラ、医療、政府、運輸など、18のセクターで必須または重要なサービスを提供する組織が対象となります。

組織は、自らがCyberbeveiligingswetの対象となるかどうかを判断する責任があります。対象となる組織には、主に以下の義務が課せられます。

• 登録義務（Registratieplicht）: 組織は、Nationaal Cyber Security Centrum（NCSC）が管理する国家エンティティ登録簿に登録する必要があります。登録後、組織はNCSCまたは当該セクターに指定されたCSIRTのサービスを利用でき、サイバー脅威に関する情報やインシデント発生時の支援を受けることができます。
• 注意義務（Zorgplicht）: 組織は、ネットワークおよび情報システムのセキュリティリスクを管理し、インシデントを防止またはその影響を軽減するために、適切かつ比例した措置を講じる必要があります。
• 報告義務（Meldplicht）: 組織は、重大なインシデントを法定期限内にCSIRTおよび管轄当局に報告する必要があります。これはNCSCの報告ポータルを通じて行うことができます。重大なインシデントの閾値は、関係する担当大臣の省令に規定されており、セクターによって異なる場合があります。
• 経営者の責任（Bestuurlijke verantwoordelijkheid）: 組織の経営陣は、注意義務の枠組みで講じられる措置を承認し、その実施を監督する責任を負います。経営者は、リスクとセキュリティ対策を評価するための十分な知識を持ち、適切なトレーニングを受ける必要があります。
• 監督と執行（Toezicht en handhaving）: 監督機関は、組織がCyberbeveiligingswetの義務を遵守しているかを確認します。

監督に関する詳細を知りたい方は、9月3日に開催されるウェビナー「Toezicht op de Cyberbeveiligingswet（サイバーセキュリティ法の監督）」に登録して参加することができます。

Wet weerbaarheid kritieke entiteiten（重要インフラ回復力法）

この法律は、EUのCER指令をオランダ国内で実施するものです。その目的は、破壊行為、テロ犯罪、異常気象、その他の妨害など、多様な脅威に対する重要インフラの回復力を高めることです。

この法律は、エネルギー、運輸、飲料水、医療、政府、デジタルインフラ、銀行、化学、金融市場インフラ、廃水、宇宙、原子力、気象、食品の生産・加工・流通など、約500の組織に適用されます。対象となる組織は、担当省庁によって「重要インフラ」として指定されます。

Wet weerbaarheid kritieke entiteitenの対象となる組織には、主に以下の義務が課せられます。

• リスク評価（Risicobeoordeling）: 指定後9ヶ月以内に、組織は独自のリスク評価を実施する必要があります。これにより、組織は必須サービスの継続性を妨げる可能性のあるリスクと、それらのリスクがもたらす影響を特定します。
• 注意義務（Zorgplicht）: 指定後10ヶ月以内に、組織は必須サービスの回復力を高めるために、適切な技術的、組織的、物理的措置を講じる必要があります。