EUにお住まいなら、企業がハッキングを受けたことをどれだけ迅速に認めなければならないかを定める3つの法律があります。NIS2、DORA、GDPRを2026年に比較したものでは、適用範囲、24時間・72時間のインシデント対応期限、€10Mから€20Mの範囲の罰金、そして2026年11月までにどの加盟国が対応済みだったかを検討しています。本記事ではそれを平易な言葉に置き換えます。NIS2 DORA GDPR侵害報告の短いまとめはこうです。期限は厳しく、罰則は大きく、そしてルールはどの国でも同じように適用されるわけではありません。

NIS2、DORA、GDPRの侵害報告期限が実際に意味するもの

比較の中で際立つ2つの数字は24時間と72時間です。これらは、組織が重大なインシデントを認識した時点から動き始める期限です。1日または3日以内にあなたに通知が来ることを約束するものではありません。

実際には、これらの期限は主に企業が規制当局または監督当局に報告することに関するものです。この早期報告により、当局は攻撃が複数の組織を同時に襲っているかどうかを把握できます。より短い最初の期限（24時間）は一般的に初期の速報を意味し、より長い期限（72時間）は何が起きたかについてより完全な全体像を把握する時間を残します。情報源の比較では、各法律がどのように期限を割り当てているかの詳細をすべて明示しているわけではないため、正確な文言については各規制の公式テキストまたは各国当局を確認してください。

また、3つの法律はそれぞれ異なる領域を対象としています。

  • GDPRは個人データに関するもので、EU内の人々のデータを扱う組織に適用されます。
  • NIS2は社会にとって重要と見なされるセクターにおけるネットワークおよび情報システムのセキュリティに関するものです。
  • DORAは金融セクターにおけるデジタル・オペレーショナル・レジリエンスに関するものです。

この重複のため、1つのインシデントが同時に複数の法律を引き起こす可能性があります。顧客データを流出させる金融機関へのサイバー攻撃は、3つすべてに基づく問題を提起する可能性があります。

企業が侵害についてあなたに伝えなければならないとき：これがあなたにとって意味すること

ここで期待値を調整する必要があります。24時間または72時間の期限は、翌日にあなたの受信箱が通知で埋まることを意味するものではありません。最初の報告は通常当局に提出され、影響を受ける個人への通知は独自の条件を持つ別のステップです。これらの条件は、関係する法律とあなたへのリスクの重大さに依存します。

この枠組みから合理的に得られることは次のとおりです。

  • 規制当局が最初に聞く。正式な期限は、公表ではなく当局への報告に適用されると考えるべきです。
  • 初期通知は不完全な場合があります。短い最初の報告では、原因、規模、またはあなたのデータが関係していたかどうかが省略される場合があります。
  • あなたの権利は主にGDPRに由来します。これは個人データを中心とした法律であるため、あなたが何を聞く権利があるかを知りたいときに参照すべき法律です。
  • セクターが重要です。あなたの銀行、決済プロバイダー、または不可欠なサービスが攻撃を受けた場合、GDPRに加えてNIS2またはDORAの義務が適用される場合があります。

これはいずれもあなた自身の注意に代わるものではありません。適切に運営されている報告システムであっても、インシデントとあなたへの通知の間にはギャップが残るため、侵害について聞いたらすぐにパスワードを変更し、多要素認証を有効にし、アカウントの異常な活動に注意することが役立ちます。

NIS2、DORA、GDPRの罰金の比較

比較では、罰則を€10Mから€20Mに及ぶ範囲として位置づけています。この範囲は、議員が期限の見逃しと弱いセキュリティをどれほど真剣に受け止めているかを示しています。期限内に報告しないこと自体が、侵害とは別のコンプライアンス違反です。

正確さに関する1つの注意点。情報源の要約は全体的な範囲を示していますが、どの法律がどの金額を設定しているかを示す行ごとの内訳は示していません。法律ごとの金額を推測するつもりはありません。罰則構造には異なる上限、売上高の割合、各国の実施上の選択が含まれる可能性があるからです。特にDORAについては、詳細は各加盟国が罰則をどのように設定するかに依存する場合があります。特定の法律の正確な数値が必要な場合は、規制自体または各国当局のガイダンスをお読みください。

範囲が示しているのは、規制当局が実際の影響力を持っているということです。複数の重複する義務を満たさなければならない企業にとって、不適切に処理されたインシデントは、一度に複数のコンプライアンス問題を生み出す可能性があります。

EU加盟国がNIS2とDORAを制定しているかどうかを確認する方法

比較では、2026年11月までにどのEU加盟国が対応したかも追跡しており、EUのルールが常にすべての場所で同時に発効するわけではないことを思い出させてくれます。NIS2は指令であるため、各加盟国が国内法に転換する必要があり、進捗は国によって異なる場合があります。あなたの国がどこに位置するかを確認する実用的な方法は次のとおりです。

  1. あなたの国の政府のサイバーセキュリティ当局を検索する。通常、国内のNIS2法制の状況を公表し、誰が登録または報告しなければならないかを示しています。
  2. あなたの金融規制当局を確認する。DORAについては、国内の金融監督当局が、銀行、保険会社、決済会社にルールがどのように適用されるかについて最良の情報源です。
  3. あなたのデータ保護当局を確認する。GDPRについては、苦情の申し立て方法と、あなたが持つ通知に関する権利を説明しています。
  4. EUの公式テキストを読む。規制と指令自体が、期限と範囲に関する最終的な権威です。

あなたの国が遅れているとしても、それはGDPRを排除するものではありません。GDPRは何年にもわたってEU全体で適用されており、個人データが流出した際の最も直接的なツールであり続けています。

主なポイント

NIS2 DORA GDPR侵害報告を理解することは、いくつかの点に集約されます。24時間と72時間の期限は主に規制当局への報告を規定しており、罰金は相当なものであり、各国の採択状況は異なります。今週数分かけて、あなたの国のNIS2とDORAの状況を調べ、通知を受け、データ保護当局に苦情を申し立てるGDPR上の権利を確認してください。

EU以外の制度が同様の疑問にどう対処しているかを見たい場合は、UK Cyber Security Resilience Billに関する我們的報道をお読みください。これは重要インフラを正式な国家枠組みに取り込み、独自のインシデント報告義務に取り組んでいます。EUのアプローチと比較すると、異なる政府がより迅速で構造化された侵害開示にどのように収束しているかがわかります。