今週は、Health-ISAC®ヘルスケアのハッキング® 本稿では、米国および欧州連合におけるサイバーインシデント報告の動向について最新情報を提供する。サイバーインシデント報告制度の策定、実施、改訂は、当局に有用な情報を提供することと、報告義務を負う対象機関に負担をかけることとの間で、依然として緊張を伴う政策分野である。本稿では、Health-ISAC加盟機関が米国における新たなサイバーインシデント報告政策の策定にどのように貢献できるか、また、欧州連合が対象機関の負担軽減のためにどのような措置を講じているかについて概説する。
念のためお知らせしますが、これは Hacking Healthcare ブログの公開バージョンです。さらに詳しい分析と意見については、H-ISAC のメンバーになって、このブログの TLP Amber バージョン (メンバー ポータルで入手可能) を受け取ってください。
PDFバージョン：
テキストバージョン:
Hacking Healthcareへようこそ® !
アメリカ大陸ホビー演習2026
本日の記事に入る前に、第7回アメリカ大陸ホビー演習が間近に迫っていることをお知らせします。Health-ISAC会員の皆様には、ぜひ参加をご検討ください。この演習は、Health-ISAC会員、米国政府機関、その他の重要インフラ部門が参加する終日ワークショップおよび机上演習です。この演習は、大規模災害発生時および発生後に医療部門が直面する課題への認識を高め、医療部門と政府機関の間における永続的な関係を構築することで、理解、対応、復旧計画および活動を強化することを目的としています。
今年のホビー演習は6月24日にワシントンD.C.で開催されます。参加希望者はこちらから登録できます。
https://portal.h-isac.org/s/community-event?id=a1YVn000005srUHMAY.
さらに詳しく知りたい方は、昨年の報告書をこちらからご覧いただけます：https://health-isac.org/2025-americas-hobby-exercise-after-action-report/
サイバーインシデント報告に関する最新情報
まず、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が改訂した、重要インフラ向けサイバーインシデント報告法（CIRCIA）に関するタウンホールミーティングの通知について検討します。[I] 次に、欧州連合のネットワークおよび情報システム（「NIS」）協力グループが発表した、NIS2インシデント報告を統一するための新しいテンプレートについて評価します。
CISA主催CIRCIAタウンホールミーティングの新しいスケジュール
CIRCIAは法律として署名されてから4年以上が経過し、昨年秋に最終規則が制定される予定だった時期から1年近くが経過したが、いまだに最終決定には至っていない。当初の草案に対する強い反発、2024年の政権交代とそれに伴う政策の優先順位変更、そしてCISAに影響を与えた大規模な政府機関閉鎖などが、遅延の一因となっている。これには、CISAが2月中旬に発表した一連のタウンホールミーティングの延期も含まれる。このタウンホールミーティングは、「CIRCIA規則制定案通知（NPRM）の範囲と負担を精緻化するための意見を提出する限定的な追加機会」となるはずだった。[II]
CISAは、直近の政府機関閉鎖から復旧し、業務を再開したことを受け、先日、改訂版（かつ短縮版）のタウンホールミーティングのスケジュールを発表した。[III] 新しいスケジュールでは、会議の回数を7回から4回に減らし、2回の全体会議は維持しつつ、重要インフラ分野の会議をまとめて開催する。
- 全体会議1 – 2026年6月15日（月）
- 重要インフラ部門グループA – 2026年6月16日（火）
- 緊急サービス部門、医療部門、公衆衛生部門を含む
- 全体会議2 – 2026年6月17日（水）
- 重要インフラ部門グループB – 2026年6月18日（木）
これらの会議はそれぞれ東部時間午前11時30分から午後3時30分まで開催される予定です。ただし、CISAは会議のスケジュールを延長、変更、または中止する権利を留保します。CISAが期待するフィードバックに関して、通知には「CIRCIAの規制要件の明確化または負担軽減を図りつつ、重要インフラ分野におけるサイバー脅威の状況に対する連邦政府の可視性を高めるために、CISAが最終規則に導入できる具体的かつ実行可能な改善策」を求めていると記載されています。[IV]
ただし、CISA では次のような特定の興味深いトピックを特定しています。[V]
- 重大なサイバーインシデントに該当する可能性のある、または該当しない可能性のあるインシデントの提案例について、CISAが提示した例が正確かどうか、また、重大なサイバーインシデントに該当する可能性のある、または該当しない可能性のあるインシデントの例のリストに含めると有用な他の種類のインシデントがあるかどうかを含めて検討する。
- CIRCIAの規制報告要件を、サイバーインシデントや身代金支払いの報告を義務付ける既存の連邦法、州法、地方自治体法、部族法、または準州法（SLTT）の法律、規則、指令、または類似の政策と調和させるための潜在的なアプローチ。他の連邦法またはSLTT法、規則、指令、または政策とCIRCIAの報告要件との間の、実際または可能性のある重複や矛盾をどのように軽減するか。
NIS 2 インシデント報告共通テンプレート
5月26日、欧州委員会は、NIS協力グループのおかげでEUが「企業のコンプライアンス簡素化に向けた重要な一歩」を踏み出したと発表した。[VI] 「インシデント報告のための共通テンプレートに合意すること。」[VII] この発表によると、これらのテンプレートは「サイバーインシデントを報告するための明確で統一された形式を提供する」ものであり、NIS2の対象となる組織がインシデント報告義務を遵守する際に直面する全体的な管理上の負担を軽減するとのことだ。[VIII]
欧州委員会は、「EU全体で報告項目を統一することで、企業にとってコンプライアンスが簡素化され、NIS2義務の履行における一貫性が確保され、複雑さが軽減され、最終的にはサイバーセキュリティの回復力が強化される」と強調した。委員会はまた、この取り組みが、デジタルオムニバスに基づくインシデント報告のための単一エントリーポイントの提案など、他の簡素化の取り組みとも広く整合していることを改めて強調した。[IX]
発表は、今後の手順の概要を示すことで締めくくられており、その中で欧州委員会は、実施法を通じてこれらのテンプレートを採用し、すべての欧州連合加盟国に義務付ける意向を表明した。
以下の「行動と分析」セクションでは、このNIS2に関するニュースから何が期待できるかを分析し、CIRCIAが関与する上で考慮すべき事項について概説します。
アクションと分析
**Health-ISAC メンバーシップに含まれます**
[I] https://www.federalregister.gov/documents/2026/05/26/2026-10417/town-hall-meetings-to-provide-input-on-cyber-incident-reporting-for-critical-infrastructure-act
[II] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings?utm_campaign=subscription+mailing+list&utm_medium=email&utm_source=federalregister.gov
[III] https://www.cisa.gov/topics/cyber-threats-and-advisories/information-sharing/cyber-incident-reporting-critical-infrastructure-act-2022-circia
[IV] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings?utm_campaign=subscription+mailing+list&utm_medium=email&utm_source=federalregister.gov
[V] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings?utm_campaign=subscription+mailing+list&utm_medium=email&utm_source=federalregister.gov
[VI] NIS協力グループは、NIS指令に基づき「加盟国間の協力と情報交換を確保する」ために設立され、EU加盟国、欧州委員会、およびEUサイバーセキュリティ機関（ENISA）の代表者で構成されています。一般的に、同グループはEU加盟国間の戦略的協力と情報交換を支援・促進します。その責任と権限に関する詳細は、NIS2の前文64～66項および第III章第14条に記載されています。
[VII] https://digital-strategy.ec.europa.eu/en/news/nis2-cooperation-group-adopts-common-templates-incident-reporting?pk_source=ec_newsroom&pk_medium=email&pk_campaign=Shaping%20Europe%27s%20Digital%20Future%20website%20updates/en
[VIII] https://digital-strategy.ec.europa.eu/en/news/nis2-cooperation-group-adopts-common-templates-incident-reporting?pk_source=ec_newsroom&pk_medium=email&pk_campaign=Shaping%20Europe%27s%20Digital%20Future%20website%20updates/en
[IX] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14855-Simplification-digital-package-and-omnibus_en
[X] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings?utm_campaign=subscription+mailing+list&utm_medium=email&utm_source=federalregister.gov