オールハザード対応の枠組みを確立

2022年11月22日、欧州議会は、EUの重要インフラの保護を強化するための規則を最終的に承認したことを公表しました。欧州議会は、賛成595票、反対17票、棄権24票で、EUにおける重要インフラの保護強化に関する理事会との交渉での合意を確認する投票を行いました。

新しい規則では、重要インフラの定義が加盟国間で整合するように調和が図られることになります。

背景、経緯

重要インフラは、自然災害や悪天候にさらされるだけでなく、敵対する国家や非国家主体によるハイブリッド攻撃の標的にもなっています。EUとその域内市場においては、重要インフラ、ネットワーク、重要サービスの提供者の相互接続性が高まっているため、脆弱性を低減するための協調的な取り組みが急務となっています。

また、特定の資産を保護することから、それらを運用する重要インフラのレジリエンスを強化することへと焦点を移す必要があります。これらの課題に対応するため、欧州委員会は、欧州の重要インフラに関する2008年の指令を見直し、その特定手続きと保護に関する共通のアプローチを確立することを提案しました。

重要事業体の耐障害性に関する指令（CER）に関する欧州委員会の提案は、エネルギーと運輸にのみ適用されている現行の規則の範囲を拡大し、エネルギー、輸送、銀行、金融市場インフラ、デジタルインフラ、健康、飲料水及び排水、行政、宇宙の10分野を対象としていました。

この提案では、自然災害、事故、テロ、内部脅威、パンデミックなどの公衆衛生上の緊急事態などによる破壊的な事象を、重要な事業体が予防、抵抗、吸収、回復できるようにするために、加盟国を支援するオールハザード対応の枠組みを確立しようとするものです。

加盟国は、重要な事業体を特定しリストアップして国家戦略を採用し、定期的なリスク評価を実施し、事業体は、自らリスク評価を行って回復策を講じ、破壊的事件を報告しなければなりません。また、本提案では、現地での検査や、違反した場合の罰則も想定されています。

欧州で特に重要な事業者、すなわち加盟国の3分の1以上（すなわち9カ国）に必須サービスを提供している事業者は、特定の監視の対象となります。

物理的なリスクに対する回復力に焦点を当てたCERの提案は、サイバーレジリエンスの強化を目的としたネットワーク・情報セキュリティ指令（NIS2）の見直しと同時に発表されたもので、NIS2との整合性を確保するため、NIS2には、物理的なリスクに対するレジリエンスの強化が盛り込まれていました。NIS2の規定は、CERの下で特定されたすべての重要な事業体に適用されることになります。

欧州議会では、自由人権・司法・内務委員会（LIBE）を中心に、5つの委員会が本提案について検討を進めてきました。LIBE 委員会は 2021年10月15日に報告書を採択し、理事会は12月20日にその一般的なアプローチに合意しました。

2022年6月28日に共同立法者による政治的合意は、最終的に司法、議会、中央銀行を除く11の行政機関が含まれます。理事会が希望したように、加盟国は防衛、国家安全保障、公共安全保障、法執行に携わる企業を義務から除外することができる条項があります。

議会の交渉担当者は、法の支配を保護する制度を対象範囲とし、欧州で特に重要な事業体として認定されるための閾値を（9カ国から）6カ国以上に引き下げることにしました。加盟国は21カ月以内に新規則を国内法に反映させる必要があります。

規則の概要

安全が保障された欧州を実現するためには、生活様式を支える重要なシステムの総合的なレジリエンスを強化する必要があります。重要インフラを対象とするこの法令は、気候変動の危機と、ロシアのウクライナに対する侵略戦争のために欧州連合内で増加している破壊行為の両方に対応するものです。

重要インフラを物理的・デジタル的脅威から保護することは、EUの課題としてこれまで以上に重要視されており、特に最近のノルドストリームのガスパイプラインに対する妨害行為に照らして、その重要性が高まっています。EUの重要なインフラは、これらの脅威に対して強靭であり続ける必要があります。

エネルギー、輸送、銀行、金融市場インフラ、デジタルインフラ、飲料水及び廃水、食品（生産、加工、配送を含む）、健康、行政、宇宙の11分野をカバーするこの法令は、重要だと考えられる関係者のリスク評価と報告の要件を厳しくしています。

新規則によると、加盟国は国家レジリエンス戦略を採用し、国境を越えたコミュニケーションは各加盟国の指定された単一窓口を通じて行うことになっています。同時に、重要な関係者が不必要な事務的負担に直面しないよう、この戦略と他のレジリエンス強化のための取り組みとの間で二重の報告を避けるべきとされています。

透明性を確保するため、重要な役割を担う者は、事件や妨害があった場合には国の当局に報告すべきであり、当局は公共の利益に適う場合には国民に報告すべきであるとされています。

新規則の下では、重要なサービスを提供する企業は、自らリスク評価を実施し、破壊的なインシデントを報告しなければなりません。

また、加盟国は、レジリエンスを高めるための国家戦略を採用し、定期的なリスク評価を実施することが義務付けられています。国家当局は、重要インフラの立入検査を実施する可能性を持ち、コンプライアンス違反の場合には罰則を導入する必要があります。

参考情報

• MEPs approve new rules to protect essential infrastructure
• Resilience of critical entities