EUサイバーセキュリティ法（CSA）改正の射程とAIガバナンスへの示唆 / EUデジタル・オムニバス / ENISAの役割変容、認証の停滞、そして「規制の簡素化」へ雑感

0　はじめに

　欧州連合（EU）のデジタル政策は、今、大きな転換点を迎えている。
本日、2026年1月14日、欧州委員会は2019年に制定された欧州サイバーセキュリティ法（Cybersecurity Act：以下、CSA）の改正案を提示する見込みである。これに先立ち、欧州議会調査局（EPRS）は「デジタル・パッケージ――サイバーセキュリティ法の改正：実装からの教訓（Digital Package - Revision of the Cybersecurity Act: Implementation takeaways）」と題するブリーフィング資料を公表した。

　2019年のCSA制定当時、その主眼は欧州ネットワーク・情報セキュリティ庁（ENISA）への恒久的な権限付与と、欧州共通のサイバーセキュリティ認証枠組み（ECCF）の構築にあった。しかし、それから数年が経過した現在、サイバー空間を取り巻く脅威環境と法規制のランドスケープは、当時の想定を遥かに超える複雑さを呈している。2024年にはEU域内のサイバー攻撃が150%増加するという衝撃的なデータが示され、地政学的な緊張を背景とした重要インフラへの脅威は日常化している。一方で、NIS2指令、サイバーレジリエンス法（CRA）、サイバー連帯法といった強力な規制が次々と成立し、企業はコンプライアンスの迷宮に迷い込みつつある。

　今回は、EPRSのブリーフィングおよび関連する専門家の議論を基に、CSA改正の深層を読み解く。特に、ENISAの役割拡大に伴う構造的な課題、認証制度（ECCF）における主権と市場の相克、そして今回の改正の目玉ともいえる「デジタル・オムニバス規則」による規制簡素化の動きに焦点を当て、法学的かつ実務的な観点から検討を加える。これは、AI法（AI Act）の実装フェーズに入ったEUにおいて、セキュリティとガバナンスがいかに統合されようとしているかを知る上で、極めて重要な示唆を含んでいる。

1　問題の所在　脅威のインフレと規制の断片化

　CSA改正を巡る議論の出発点は、皮肉なことに、EUがこれまで積み上げてきた規制の成功そのものにある。EUは、デジタル単一市場における高いレベルのサイバーセキュリティを確保するため、包括的な法整備を進めてきた。しかし、その結果として生じたのは、規制の重複と断片化という新たなリスクであった。

　第一に、脅威の質的変化と量的拡大である。EPRSの資料によれば、2024年のサイバー攻撃の急増は、単なる犯罪の増加にとどまらず、国家支援型アクターによるハイブリッド脅威の台頭を意味している。2025年4月に公表された「ProtectEU戦略」においても、ICTサプライチェーンの脆弱性が域内市場の分断を招くリスクとして指摘されており、従来の「市場統合」のための規制から、「安全保障」のための規制へと、その重心がシフトしていることが窺える。特に、マネージド・セキュリティ・サービス（MSS）プロバイダーなどのサプライチェーン上の重要な結節点が攻撃対象となっている現実は、2025年1月に採択されたCSAのターゲット改正（managed security servicesに関するもの）の背景ともなっている。

　第二に、規制環境の輻輳（ふくそう）である。CSA制定以降に導入されたNIS2指令は重要インフラ事業者等のレジリエンスを、CRAはデジタル製品の安全性を、サイバー連帯法は緊急時の対応調整をそれぞれ規定している。これらは相互に補完的であることが理想であるが、実務の現場では、定義の不一致、管轄の不明確さ、そして何より報告義務の多重化という形で軋みを生じさせている。企業は、あるインシデントが発生した際、NIS2に基づきCSIRTへ、GDPRに基づきデータ保護当局へ、そして場合によってはCRAに基づきENISAへと、異なるフォーマットとタイムラインで報告を強いられる可能性がある。

　したがって、今回のCSA改正における核心的な問いは、「増大する脅威に対して、既存の多層的な規制をいかに統合・調整し、ENISAを中心とした執行体制を実効的に機能させるか」という点にある。欧州委員会が掲げる「簡素化（Simplification）」のアジェンダは、単なる行政改革のスローガンではなく、規制の実効性を維持するための生存戦略といえる。

2　ENISAの役割変容　資源の非対称性とマンデートの再定義

　CSA改正の最大の焦点の一つは、ENISA（欧州サイバーセキュリティ庁）のマンデート（権限と任務）の再定義である。ENISAは、2019年CSAによって恒久的な地位を得て以降、EUのサイバーセキュリティ・エコシステムにおける中心的なアクターとして急速に存在感を高めてきた。

　しかし、その成功の代償として、ENISAは深刻なリソース不足とアイデンティティの揺らぎに直面している。EPRSの分析によれば、ENISAの役割は、当初の「単一市場における法規制の調和支援」というテクニカルなものから、インシデント対応の調整、状況認識（Situational Awareness）の共有、さらには政策立案への直接的な関与といった、より政治的かつ運用的な（Operational）領域へと拡大している。専門家組織Interfaceによる2025年3月のレビューは、ENISAが新たな法規制（NIS2、CRA等）からの要請と、加盟国および産業界からの期待、そして悪化する脅威環境の板挟みになっている状況を「多面的な役割（multifaceted role）」への移行に伴う苦しみとして描出している。

　具体的には、以下の3つの側面での課題が顕在化している。

　まず、リソースの制約である。欧州会計監査院（ECA）の特別報告書（05/2022）は、ENISAがリソース不足により、EUの機関・組織（EUIBAs）に対して十分な能力構築支援を提供できていないと指摘した。ENISAには高度な専門知識が蓄積されているものの、それを個別の機関のニーズに合わせてデリバリーする余力がないのが実情である。

　次に、優先順位の欠如である。チェコの国家サイバー情報セキュリティ庁（NÚKIB）などの加盟国当局は、ENISAの分析能力を評価しつつも、より政策に関連性の高いアウトプットと、戦略的な優先順位付けを求めている。あらゆる領域に手を広げる何でも屋化は、組織の疲弊を招くだけでなく、加盟国の権限との摩擦を生む原因ともなる。

　最後に、調整メカニズムの不備である。NIS2指令やサイバー連帯法により、ENISAは大規模インシデント時の調整役を期待されているが、加盟国（特に情報機関や防衛当局）は国家安全保障に関わる情報の共有に慎重である。2024年12月の理事会結論や、2025年3月のワルシャワ・コール（Warsaw Call）が、ENISAに対し、より明確なタスク定義と分業を求めた背景には、こうした加盟国側の警戒感も透けて見える。

　今回の改正案では、ENISAのマンデートを現状のタスク量に見合ったものに再調整（re-calibrate）し、リソース配分を最適化するためのガバナンス改革が盛り込まれることが予想される。

3　認証制度（ECCF）の停滞　技術的主権と市場の相克

　CSAのもう一つの柱である欧州サイバーセキュリティ認証枠組み（ECCF）についても、その進捗は芳しくない。ECCFは、ICT製品・サービスのセキュリティレベルを可視化し、デジタル単一市場の信頼を醸成するための切り札として導入された。しかし、これまでに採択されたスキームは、コモンクライテリアに基づく「EUCC」（2024年1月採択）など一部にとどまり、クラウドサービス（EUCS）や5G、デジタルIDウォレット（EUDI）に関するスキーム開発は遅延を重ねている。

　この遅延の真因はどこにあるのか。EPRSの資料やステークホルダーの意見を分析すると、技術的な複雑さ以上に、政治的な主権の対立が影を落としていることが分かる。

　特に、クラウドサービスの認証スキーム（EUCS）を巡っては、データの保存場所や管理主体の国籍要件、いわゆる主権要件（sovereignty requirements）をどの程度スキームに組み込むかについて、加盟国間で激しい論争が続いている。欧州議会ITRE委員会の2025年6月の報告書が、主権的クラウド（sovereign cloud）の定義とその適用範囲の明確化を求めていることは、この問題が単なる技術基準の策定を超え、経済安全保障やデジタル主権を巡る政治闘争の場となっていることを示唆している。

　一方で、産業界（Business Europe, Digital Europe等）は、こうしたプロセスの政治化を強く懸念している。彼らは、認証スキームの開発がエビデンスに基づき、透明性を持って行われるべきだと主張し、政治的な要件が市場の分断やイノベーションの阻害要因となることを警戒している。また、連合ローリング作業計画（URWP）の更新の遅れが、企業の長期的な投資計画や製品開発の予見可能性を損なっているとの不満も根強い。

　さらに法的な論点として、認証の任意性と義務性の境界線が曖昧になっている問題がある。CSA上の認証は本来任意（Voluntary）であるが、CRAやNIS2指令、あるいはAI法が、コンプライアンス証明の手段としてこれらの認証を参照することで、実質的には市場アクセスのための義務となりつつある。Orgalim（欧州エンジニアリング産業協会）などは、この「ソフトローのハードロー化」が過度な負担となることを懸念する一方、Online Trust Coalitionのように、認証の実質的な不可欠性を認め、むしろ法的な義務化と影響評価のセット導入を求める声もあり、見解は割れている。

4　「デジタル・オムニバス」による解決策　報告義務の一元化と簡素化

　以上のような規制の輻輳と認証の停滞という行き詰まりを打開するために、欧州委員会が打ち出したのが「簡素化（Simplification）」という新たな方向性である。その具体的表現が、CSA改正とセットで議論されている「デジタル・オムニバス規則（Digital Omnibus Regulation）」案（2025年11月提案）である。

　デジタル・オムニバスの核心は、インシデント報告プロセスの「一元化」にある。現在、企業はGDPR、NIS2、CRA、eIDASなど、複数の法規制に基づいて、異なる当局へ、異なるフォーマットで、異なる期限内に報告を行う義務を負っている。これは企業のリソースを枯渇させるだけでなく、当局側にとっても情報の断片化を招き、迅速な状況把握を困難にしている。

　提案されている解決策は、ENISAの管理下に「単一報告プラットフォーム（Single Reporting Platform）」を設置し、事業者が一度の入力で複数の法的義務を履行できるワンストップショップを構築することである。これは、ビルクネン副委員長が推進する負担軽減の旗印の下、最も産業界から歓迎されている施策の一つである。

　しかし、この仕組みが機能するためには、法的な調整だけでなく、技術的な標準化が不可欠である。各法令が定義するインシデントの閾値や、報告すべき情報の粒度（Taxonomy）を統一できなければ、単一プラットフォームは単なる転送装置に過ぎず、実質的な負担軽減には繋がらない。また、ENISAに情報が集中することに対する加盟国当局の抵抗感も予想される。情報は権力であり、自国の重要インフラに関する機微な情報を、どこまでEU機関に委ねるかという主権の問題がここでも顔を覗かせる。

　それでも、2025年4月のProtectEU戦略が描くように、内部市場の断片化を防ぎつつ、ICTサプライチェーンのリスクを低減するためには、調和されたアプローチ以外に道はない。CSA改正は、この「調和」と「簡素化」を、スローガンとしてではなく、法的なメカニズムとして実装する試みといえる。

5　おわりに　AI時代のサイバーセキュリティ・ガバナンス

　2026年のCSA改正は、単なる既存法の見直しにとどまらず、2019年以降に積み上げられた野心的なデジタル規制群を、実務の現場でワークさせるための統合プロセスの始まりを意味している。

　これまでのEUのサイバーセキュリティ政策が「ルールの策定」に重点を置いていたとすれば、これからは「ルールの運用と最適化」が主戦場となる。ENISAには、限られたリソースの中で優先順位を見極める戦略性が求められ、認証制度には、政治的な主権論争と技術的な信頼性のバランスを取る高度な舵取りが求められる。

　特に、欧州地域委員会（CoR）が2025年7月に警告したように、AI法、医療機器規則（MDR）、そしてCSAの間での認証メカニズムの重複は、規制のショッピング（regulatory shopping）を招きかねない重大なリスクである。AIシステムの安全性（Safety）とサイバーセキュリティは不可分であり、CSAに基づく認証基盤が揺らげば、AIガバナンス全体の信頼性も損なわれることになる。

　日本企業にとっても、この動向は対岸の火事ではない。EU市場で活動する以上、CRAやNIS2の要件は直接的に適用されるし、EUが構築しようとしている単一報告プラットフォームや認証エコシステムは、将来的な国際標準（ISO/IEC等）や日本の制度設計にも影響を与える可能性が高い。

　法は技術の進化を後追いする宿命にあるが、今回のCSA改正は、法規制そのもののアップデートを迅速に行おうとするEUの意思の表れとも捉えられる。その成否は、条文の緻密さだけでなく、ENISAや加盟国当局、そして産業界が、この新しい枠組みをいかに「使いこなす」かにかかっている。

6　サイバーセキュリティまとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。