企業が実装すべきサイバーセキュリティ・ガバナンス体系 ― 法律・政策・ガイドラインを「自社がやるべきこと」へ翻訳する ―

2026年7月、ある月曜日の早朝。食品物流大手の社内システムに障害が発生しました。原因は外部からの不正アクセスでした。冷蔵倉庫の入出庫業務と冷凍食品の出荷業務に支障が生じ、影響はただちに取引先へ広がりました。翌日には、同社に食材の保管と店舗への配送を委託していた大手外食チェーンが、影響の見通しを公表しました。全国の店舗で、商品の一部の品切れ、販売メニューの制限、営業時間の短縮、臨時休業に至る可能性があるという内容でした。攻撃を受けたのは物流事業者でしたが、影響は取引先の店頭にまで及びました。

この出来事は、今のサイバーセキュリティをめぐる二つの現実を示しています。

一つは、情報が漏れていなくても事業は止まるということです。この事案では、障害の発生当初、社外への情報流出は確認されていませんでした。それでも、出荷が止まれば実害は生じます。守るべき対象は、データだけでなく事業そのものにも広がっています。

なお、その後の調査で、被害を受けたサーバに個人情報が保管されていて、漏えいのおそれがある事案として、個人情報保護委員会へ報告されています。

もう一つは、自社が無事でも、取引先が止まれば事業は止まるということです。外食チェーンのシステムは侵害されていませんでしたが、影響は免れませんでした。企業は、自社だけでなく、取引先や委託先を含むつながり全体で事業継続を考える必要があります。

サイバーセキュリティが情報システム部門だけの課題ではなく、経営そのものの問題である理由は、ここに凝縮されています。この認識は、今や多くの経営層に共有されています。

しかし、問題はその先にあります。「対策しなければならない」とわかっていても、「では、何から手をつければよいのか」が、驚くほど見えにくいのです。

その見えにくさの原因の一つは制度にあります。今は被害の予防と拡大防止を、個々の企業努力に委ねず、社会全体を守るための制度として、各国で急ピッチで整えられています。

国内では、基幹インフラの事業者を対象とする新たな法律が動き出します。サイバー対処能力強化法（正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」）です。届出・報告義務の施行は2026年10月です。EUではデジタル製品への規制が段階的に適用され、米国も独自の制度を整えています。さらに、政府のガイドライン、業界標準、取引先から求められる評価制度が加わり、企業を取り巻くルールは増え続けています。

だからこそ、多くの企業ではまず、制度名、施行日、自社が対象かどうかを一覧表に整理します。ところが、表を作り終えても「自社は何をすればよいのか」は見えてきません。制度を一つずつ追いかけるという発想そのものに、限界があります。

なぜ制度を一覧にしても「やるべきこと」が見えにくいのか

一覧表を作れば、自社に関係する法律や規制の存在は把握できます。しかし、そこから先へは進めません。理由は、制度が性質の異なる複数の軸を同時に含んでいるからです。

1. 国・地域：日本、EU、米国など、事業地域によって制度が異なる

2. 強制力：罰則を伴う法律、推奨に止まるガイドライン、取引条件として求められる評価制度が併存する

3. 対象：社内体制、自社が提供する製品、取引先との関係など、要求が向けられる先が異なる

4. 時間：すでに施行された制度、施行を控える制度、段階的に適用される制度が混在する

これら複数の軸を一枚の表に押し込もうとすると、無理が生じます。国・地域で分ければ強制力や対象が見えにくく、強制力で分ければ性質の異なる対象が同じ欄に混在します。一覧表は「どのような制度があるか」は教えてくれますが、「自社が何をすべきか」には答えてくれません。

問題は、制度を整理しきれないことではありません。制度を起点に考えている限り答えが出にくい、という構造にあります。必要なのは、発想の起点を制度から企業へ切り替えることです。

制度は、違う言葉で「同じこと」を求めている

制度ではなく、企業の側を起点に考えてみます。つまり、「どのような制度があるか」ではなく、「企業は、何を備えるべきか」から出発します。この視点に立つと、国・地域も強制力も対象も異なる制度が企業に求めている内容に、明確な共通点が見えてきます。

例えば、EUの規制は経営陣の関与を求め、日本のガイドラインは経営者のリーダーシップを掲げています。表現も強制力も異なりますが、共通しているのは、経営がサイバーセキュリティに責任を持つことです。また、EUは製品に含まれる部品の把握を求め、日本の新たな法律は重要な機器・ソフトウェアの届出を義務づけ、評価制度は取引先の対策状況の可視化を促します。向けられる対象は異なりますが、いずれも自社が守るべきものの正確な把握を求めています。

各国の制度が似た要求を掲げるのは偶然ではありません。サイバー攻撃が企業の事業と社会基盤を脅かしているという、共通の現実に対応しているからです。であれば、制度ごとに別々の対応策を考えるのではなく、制度に共通する「備えの軸」を見いだし、そこへ自社の力を集中させれば足ります。一つの備えが、複数の制度への対応になります。

本記事では、この「備えの軸」を五つの要求事項に整理します。この五つは独立した施策の寄せ集めではなく、次の図のように一つの循環をなしています。これを軸に据えることで、複雑な制度の全体像を、「自社が何をすべきか」を示す一枚の地図へと変えていきます。

要求事項1.  経営が「関与している」ことを、外部に説明できるようにする

ほとんどの制度で最初に問われるのは、技術ではありません。経営が関与しているか、そしてその事実を社外に説明できるかどうかです。かつてセキュリティは情報システム部門に任せる課題と考えられていましたが、今は複数の制度が経営層自身の関与を明確に求めています。

例えばEUのNIS2指令は、対象企業の経営陣に、リスク管理策の承認とその実施状況の監督を求めています。経営陣が自ら研修を受けることは義務です（従業員への研修は奨励にとどまります）。さらに、企業がリスク管理の義務に違反した場合に経営陣が責任を問われうる仕組みを、加盟各国が国内法で整備することも求めています。

国内では、経済産業省の「サイバーセキュリティ経営ガイドライン」が、経営者自らのリーダーシップで対策を進めることを、経営者が認識すべき三原則の第一に掲げています。その背景には会社法があります。大会社である取締役会設置会社では、取締役会が内部統制システムの整備について決定しなければなりません。条文でいえば「業務の適正を確保するために必要な体制」の整備です。この体制には「損失の危険の管理」、すなわちリスク管理体制が含まれます。企業活動がデジタルに依存する現在、サイバーリスクはこの「損失の危険」の中核です。したがって、経営層の関与は努力目標ではなく、取締役が負う責任の一部になりつつあります。重大なインシデントが起きたとき、経営が関与していなかったという事実は、経営責任に直結しかねません。

では、「経営が関与している」とは、具体的にどのような状態でしょうか。三つの要素に分けて考えると整理しやすくなります。

1. 責任の所在が明確であること

   CISOなどの責任者を定め、その役割と権限を明確にする。

2. 経営の会議体でこの問題が扱われていること
   サイバーリスクと対策の状況を取締役会や経営会議へ定期的に報告し、経営判断の対象とする。

3. 社外へ説明できること

自社の体制と取り組みが実際に機能していることを、投資家、顧客、取引先へ説明できる状態に保つ

とくに重要なのが、③社外へ説明できること　です。社内に体制があるだけでは足りません。その体制が実際に機能していることを、社外の目に示せるかどうかが問われます。

冒頭の食品物流事業者の事案でも、攻撃を受けた企業と影響を受けた取引先は、それぞれ「どのように備えていたのか」を説明する立場に置かれました。インシデントが起きれば、企業の説明責任はただちに表面化します。だからこそ、平時から経営が「関与し、説明できる」状態を整えておくことが、企業と経営そのものを守る備えになります。

要求事項2. 自社のリスクを、経営の言葉で説明できるようにする

経営が関与する体制を整えたうえで、次に問われるのはリスクの説明です。自社がどのようなリスクを抱え、それにどう対処しているかを、経営の言葉で語れるかどうかです。「対策をしていること」と「リスクを管理できていること」は同じではありません。ウイルス対策ソフトの導入やアクセス権限の見直しを積み上げても、それだけでは足りません。自社にとって何が重大な脅威で、どこに優先して人と資金を投じるべきか。その判断の全体像がなければ、リスク管理とは呼べません。

近年の制度も、まさにこの「判断の全体像」を求めています。

EUのNIS2指令は、自社が直面するリスクを分析し、その大きさに見合った対策を講じることを要求しています。国内の「サイバーセキュリティ経営ガイドライン」も同様です。サイバーリスクを経営課題と認識して組織全体の対応方針を定め、そのうえでリスクを把握して対応計画を策定することを求めています。NISTのサイバーセキュリティフレームワークも同じ方向にあります。2024年公開の2.0版では「統治（GOVERN）」が新たな機能として加えられ、他の五つの機能――識別、防御、検知、対応、復旧――の中心に置かれました。これらに共通するのは、リスク管理を作業ではなく経営判断として扱う発想です。どのリスクを受け入れ、どのリスクに人と資金を投じるか。本来、経営が判断すべき事項です。

リスクを経営の言葉で説明できる状態にするには、次の三つが必要です。

1. 守るべきものに優先順位がついていること
   何が止まると事業への影響が大きいか、何が漏れると重大な損失につながるかを明確にする。

2. リスクが経営の判断材料になっていること
   対策の必要性と、見送った場合に残るリスクを、いずれも事業への影響として示す。

3. 判断が記録され、定期的に見直されていること

4. 事業環境や脅威の変化に応じて、リスクの評価と対応方針を更新する。

リスク管理の質を決めるのは、自社の何が重要で、何が弱く、どこに脅威が迫っているのかを把握できているかどうかです。それが見えないまま講じる対策は、憶測の域を出ません。

もし経営会議で「自社にとって最大のサイバーリスクは何か。それに対して何に、いくら投じているか」と問われたら、答えられるでしょうか。答えに詰まるとすれば、原因は対策の不足ではなく、リスクを経営の言葉へ翻訳する仕組みがまだ整っていないことかもしれません。

要求事項3. 自社と取引先の「見えていない資産」をなくす

経営の関与とリスク管理は、いずれも自社が守るべきものを把握できていることを前提にしています。

ところが、クラウドの利用や外部委託が広がるなか、企業が実際に使っているシステム、サービス、アカウントの全体像は、以前より見えにくくなっています。攻撃者は、こうした管理の目が行き届かない部分を侵入口に選びます。

2025年10月、大手オフィス用品通販事業者がランサムウェア攻撃を受け、受注と出荷の業務が停止しました。同社が公表した調査結果によれば、突破口は、例外的に多要素認証（MFA）が適用されていなかった業務委託先向けの管理者アカウントでした。高い権限を持つアカウントが奪われたことが、被害の急速な拡大につながりました。影響はその企業だけにとどまりません。同社に物流を委託していた複数の小売事業者が、自社は攻撃を受けていないにもかかわらず、ネット通販の停止に追い込まれました。通販サイトの全面復旧までには、約3か月を要しました。

この事案は、二つの課題を示しています。

1. 見えていない資産は、管理が及びにくい周辺に存在すること
   委託先に付与したアカウントや運用上の例外措置も含め、主要システムの外側まで管理範囲を広げる。

2. 守るべき範囲は、自社の外にも広がっていること
   取引先や委託先が侵害されれば自社の事業も影響を受けるため、外部との接点そのものを把握しておく。

制度も、資産の可視化を重視しています。EUのサイバーレジリエンス法（CRA）は、デジタル要素を持つ製品の製造者に対し、製品に含まれる脆弱性と構成部品を特定・文書化することを求めています。その手段として要求されるのが、SBOM（ソフトウェア部品表）です。少なくとも上位の依存関係を対象とし、機械可読な形式で作成することが求められます。ただし、これは公開義務ではありません。技術文書として保持し、市場監視当局から求めがあった際に提出するものです。

国内でも同じ流れです。サイバー対処能力強化法により、基幹インフラの事業者が重要な機器・ソフトウェアを届け出る制度が2026年10月に始まります。取引先の対策状況を可視化する評価制度も、運用開始が予定されています。

また、外部から自社の弱点がどう見えているかを継続的に確認するASM（アタックサーフェス・マネジメント）も、見落とされた入口を見つける手法として注目されています。経済産業省は導入のガイダンスを公表しています。

守るべきものが見えていなければ、経営の関与もリスク管理も有効に機能しません。自社の資産、運用上の例外、委託先、取引先との接点を継続的に把握することが、すべての対策の土台です。「見えていない資産をなくす」というこの要求事項は、他のすべての前提となるものであり、もっとも地味でありながら、もっとも重要な取り組みです。

要求事項4. インシデントを「時間内に」報告できる体制をつくる

インシデント報告で最初に問われるのは、手続きではありません。異常が起きたことに、速やかに気づけるかどうかです。

近年、各国の制度は、重大なインシデントを短時間で報告するよう企業に求めています。EUのサイバーレジリエンス法（CRA）の報告対象は、自社製品について現に悪用されている脆弱性、または重大なインシデントです。CRAはこれらについて、認識から24時間以内の早期警告と72時間以内の通知、さらに最終報告を義務づけています。この報告義務は2026年9月11日から適用されます。NIS2指令、2026年10月に施行されるサイバー対処能力強化法、個人情報保護法にも、それぞれ報告先と期限の異なる報告義務があります。

なお、個人情報保護法は2026年7月に改正法が公布され、2028年までに順次施行される予定です。漏えい等の報告対象の見直しや課徴金制度の導入が含まれます。報告体制は、この改正を織り込んで設計する必要があります。

当局への報告は、攻撃の情報を共有し、社会全体の被害拡大を防ぐために必要です。顧客や取引先への説明は、企業への信頼を守ることにつながります。いずれも、事務手続きとして片づけられる性質のものではありません。

「24時間以内に報告せよ」という義務は、裏を返せば「24時間以内に、異常が起きたことを検知できていること」を前提にしています。制度は報告書の提出を求めているように見えて、実際には、異常を検知し、影響を判断し、動き出せる体制を求めています。

時間内に報告できる体制には、次の三つが必要です。

1. 異常に気づく仕組みがあること
   攻撃の兆候や不審な動きを継続的に監視し、被害が広がる前に検知する。

2. 誰が何をするかが決まっていること
   連絡、影響の判断、経営への報告、社外への通知を担う人と手順を明確にしておく。

3. 報告先と期限を把握していること
   自社に適用される制度ごとに、報告先、期限、必要な情報を事前に整理しておく。

これらはいずれも、事故が起きてから整えることはできません。報告義務は、有事の行動を求める制度であると同時に、平時の監視、判断、連絡の備えを問うものです。

もし今、自社で攻撃が始まったとしたら、どれほどの時間で気づき、誰が判断し、どこへ報告するのか。即答できるでしょうか。確信が持てないなら、報告義務はまさにその備えを促すための制度だと考えることができます。

要求事項5. 対策が機能することを、定期的に検証する

最後の要求事項は、一度整えた対策が今も機能しているかを、定期的に確かめることです。

セキュリティ対策に完成はありません。脅威も自社のシステムも変化し、昨日まで有効だった防御が今日も通用するとは限りません。対策は、導入した時点で完成するのではなく、継続的に検証されて初めて意味を持ちます。

ある大手飲料メーカーは、米国NISTのサイバーセキュリティフレームワークに基づく評価を行い、外部の専門家による模擬攻撃も実施していたと、のちの記者会見で説明しています。それでも2025年秋にランサムウェア攻撃を受け、受注と出荷の業務がほぼ全面的に復旧するまでに半年余りを要しました。

この事案が示すのは、対策を講じていることと、その対策が、その後も機能していることは別だという現実です。診断で見つかった弱点を実際に改善したか。診断後に追加されたシステムも点検の対象に入っているか。確認し続けることが求められます。

制度も、自己申告だけでなく検証された事実を重視する方向へ進んでいます。国内では、取引先の対策状況を評価する制度 ― サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）― の準備が進んでいます。対策の水準を★で示す設計で、基礎的な水準はセキュリティ専門家の確認を伴う自己評価、より高い水準は第三者評価機関による評価が想定されています。

なお、この制度をめぐっては、2026年4月に経済産業省と内閣官房が注意喚起を出しています。「評価を取得しなければ取引が規制される」「入札から除外される」といった説明で製品やサービスを売り込む例が確認されたためです。SCS評価制度への参加は任意で、特定の製品を導入しなければ評価を得られないという仕組みでもありません。新しい制度が動き出す局面では、誤った情報が営業の材料に使われることがあります。制度の内容を一次情報で確かめる姿勢そのものが、ガバナンスの一部です。

また、対策は時とともに劣化するという前提に立てば、認証や評価に有効期限が設けられ、繰り返し証明することが求められるのも当然の帰結です。

対策を検証し続けるためには、次の三つが必要です。

1. 定期的に弱点を洗い直すこと
   システムや事業の変化を反映し、一度の診断で終わらせずに点検を繰り返す。

2. 実際に試してみること
   模擬攻撃や訓練、演習を通じて、防御と対応手順が実際に機能するかを確かめる。

3. 第三者の目を入れること
   外部の専門家や評価制度を活用し、自社だけでは気づきにくい弱点を客観的に確認する。

重要なのは、一度実施して終わりではないことです。検証の結果を経営が把握し、必要な改善を判断する。この循環があって初めて、要求事項1で示した「経営の関与」が実質を伴うものになります。

経営が関与し、リスクと資産を把握し、異常を検知して報告し、その仕組みが機能するかを検証する。この流れが回り続けることで、ガバナンスは一過性の取り組みではなく、継続して機能する仕組みになります。

制度の全体像：自社に及ぶ義務の地図

五つの要求事項を確認したところで、制度の全体像を見てみましょう。次の図では、これまで紹介した制度を、経営がまず確認すべき二つの軸で整理しています。

• 縦軸：強制力—どれだけ強く対応を求められるか

• 横軸：対象—社内体制、製品、取引先など、何に対する要求か

※弊社CTCサイバーセキュリティ・リサーチ・センターで以下についての解説記事を掲載しています

• サプライチェーン強化に向けたセキュリティ対策評価制度」の全体像（SCS評価制度）

• デジタル製品に課せられた新たな法的義務と日本企業に求められる対応とは（EU CRA）

• 能動的サイバー防御とは？

• アタックサーフェスマネジメント（ASM）と制度要件

• EU NIS2指令

制度には、国・地域、強制力、対象、施行時期など複数の軸があります。ここで強制力と対象の二つに絞ったのは、自社に関係する制度とその位置づけを把握しやすくするためです。この図から、三つのことが読み取れます。

1. 多くの企業は、複数の領域に同時に該当する
   例えば、EUへデジタル製品を提供する企業には、社内の体制と製品の双方に関する義務が及びます。一つの制度への対応だけでは足りません。

2. 強制力は、法律だけではない
   取引先の評価制度のように、法的義務ではなくても、取引条件として事実上の対応が必要になるものがあります。企業を取り巻く変化は、「義務の増加」としてだけでなく、「取引の前提条件の高度化」としても捉える必要があります。

3. この図は「答え」ではなく「地図」である
   自社の位置は、業種、海外展開の有無、提供する製品、サプライチェーン上の立場によって変わります。重要なのは、図を使って自社に関係する領域を特定し、対応の優先順位を定めることです。

では、自社は何から始めればよいのか—四つの問い

では、自社は何から始めればよいのか――四つの問い

五つの要求事項すべてに一度に取り組むのは、現実的ではありません。重要なのは、まず自社にとってとくに重要な要求事項を見極め、そこから着手することです。

その手がかりとなるのが、次の四つの問いです。

①問い1 自社の事業が止まると、誰が困るか

自社の製品やサービスが社会インフラや多くの取引先を支えている場合、とくに重要になるのは、事業を止めないための検知・対応体制（要求事項4）です。「自社が止まると、その先で誰が困るのか」を具体的に思い描くことが出発点になります。

②問い2 EUや米国と取引があるか

関係する可能性があるのは、次の三つです。EUへデジタル製品を提供する企業にはCRA。EU域内で指令が列挙するセクターに属し、一定の規模以上の事業を行う企業にはNIS2指令。米国国防省（DoD）の調達に関わる企業にはCMMCです。いずれも、対象となる契約や製品に該当すれば、任意の取り組みではなく義務です。ただしCMMCは2026年7月に第二段階の要求の適用が停止され、制度全体の見直しが進んでいます（既存の防衛関連情報の保護義務そのものは継続しています）。海外展開は、その地域の規制への対応を伴います。自社の取引地域と、適用される制度を確認する必要があります。

③問い3 自社は「製品」を世に出しているか

ソフトウェアやデジタル機能を持つ製品を提供している場合、社内体制だけでなく、製品そのものの安全にも責任が及びます。製品に含まれるソフトウェア部品を把握し、脆弱性へ速やかに対応できるよう、資産の可視化（要求事項3）と製品の脆弱性管理を重視することになります。

④問い4 自社はサプライチェーンのどこにいるか

多くの取引先から調達する企業は、委託先や供給元が侵害された場合に自社へ及ぶ影響を把握する必要があります。一方、大企業へ製品やサービスを提供する企業は、取引先から対策状況の説明を求められる可能性があります。自社が「調達する側」か「供給する側」かによって、備えの重心は変わります。

四つの問いは、「はい／いいえ」で答えて終わるものではありません。問いを通じて、自社が義務の地図のどこに位置し、どの要求事項を優先すべきかを明らかにすることが目的です。

どの問いから考えても、最後に行き着くのは「自社は守るべきものを把握できているか」という問いです。事業継続、製品の安全、取引先を含む対策のいずれも、守る対象が見えていなければ始まりません。優先順位に迷う場合は、まず要求事項3「見えていない資産をなくす」から着手することが、確実な第一歩になります。

制度に追われない

ここまで、制度の全体像を、企業が備えるべき五つの要求事項として整理してきました。

1. 経営が関与し、説明できること（Governance）

2. リスクを経営判断へつなげること（Risk Management）

3. 守るべき資産と取引先との接点を把握すること（Asset Management）

4. 異常を検知し、時間内に報告できること（Detection & Response）

5. 対策が機能するかを継続的に検証すること（Continuous Assurance）

制度を一つずつ追いかけていると、企業は新しい制度が現れるたびに、対象かどうかの確認と個別対応に追われます。しかし視点を変えれば、各国の規制は、ここで整理した五つの要求事項のうち「何を、どこまで求めているのか」を、それぞれの言葉で表現しているにすぎません。制度はばらばらに見えても、求めているものは一致しています。

この軸が定まっていれば、新しい規制が現れても、同じ枠組みのなかに位置づけられます。制度の数が増えても、備えの軸が増えるわけではありません。

もう一つ重要なのは、制度が始まるのを待たないことです。要求の内容がすでに公表されているなら、施行や運用開始を待たず、自社の状態を棚卸しして備えを始めるべきです。前倒しの対応は、単なる制度対応コストではなく、経営基盤を先に強くするための投資になります。

五つの要求事項と、自社の位置を確かめる四つの問い。この二つは、これからも増え続ける制度のなかで、自社の優先順位を見定めるための地図となるはずです。

CTCでは、長年にわたるセキュリティ運用の支援やコンサルティングの知見を生かしながら、企業ごとの事業特性やリスクに応じたセキュリティ対策の設計・実装を支援しています。自社のセキュリティ成熟度を高める──、そのための伴走支援を提供していきます。

※本記事の内容は2026年8月時点の情報に基づいています。政省令・ガイドラインの策定状況により内容が変わる可能性がありますので、最新の公式発表もあわせてご確認ください。

参照リンク

本記事で扱った制度について、政府機関・公的機関が公開している一次情報のうち、特に重要なものを抜粋して掲載しています。各リンク先はポータルで、関連する条文・ガイドライン等も辿ることができます。

1. 国内の法律

■ 内閣府「サイバー安全保障（サイバー対処能力強化法）」
法律の条文、施行令、インシデント報告に関する命令、基本方針が集約されています。
（出典：https://www.cao.go.jp/cybersecurity/index.html ）

■ 国家サイバー統括室（NCO）
サイバーセキュリティ戦略をはじめ、政府全体の政策動向を確認できます。
（出典：https://www.cyber.go.jp/ ）

2.国内のガイドライン・評価制度

■ 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」
経営者が認識すべき3原則と重要10項目を示した、企業向けの中心的な指針です。（出典：https://www.meti.go.jp/policy/netsecurity/mng_guide.html ）

■ 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
制度の概要とFAQ。開始時期や、任意の制度である旨が示されています。
（出典：https://www.meti.go.jp/policy/netsecurity/scs.html ）

■ IPA（情報処理推進機構）「SCS評価制度 特設サイト」
制度の運営主体による解説。★3・★4の評価方法など、実務的な情報が掲載されています。
（出典：https://www.ipa.go.jp/security/scs/index.html ）

3. EUの規制

■ 欧州委員会「Cyber Resilience Act（サイバーレジリエンス法）」
デジタル製品に対する要求事項と、報告義務の適用時期が示されています。
（出典：https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act ）

■ 欧州委員会「NIS2 Directive（NIS2指令）」
経営陣の関与とリスク管理体制に関する要求事項の根拠となる制度です。
（出典：https://digital-strategy.ec.europa.eu/en/policies/nis2-directive ）

4. 国際的な枠組み

■ NIST（米国国立標準技術研究所）「Cybersecurity Framework（CSF 2.0）」
国際的に広く参照される枠組み。統治（Govern）機能を中核に据えています。
（出典：https://www.nist.gov/cyberframework ）