メインコンテンツへスキップ

健康-ISAC ハッキング ヘルスケア 6 年 3 月 2026 日

今週、Health-ISAC®のHacking Healthcare®は、米国と欧州連合におけるサイバーインシデント報告の動向に関する最新情報をお届けします。サイバーインシデント報告制度の開発、導入、改訂は、当局に有用な情報を提供することと、報告義務を負う対象機関に負担をかけることとの間で、依然として緊張を伴う政策分野です。今回の最新情報では、Health-ISAC会員が米国における新たなサイバーインシデント報告政策の策定にどのように貢献できるか、また、欧州連合が対象機関の負担軽減のためにどのような措置を講じているかを概説します。

念のためお知らせしますが、これは Hacking Healthcare ブログの公開バージョンです。さらに詳しい分析と意見については、H-ISAC のメンバーになって、このブログの TLP Amber バージョン (メンバー ポータルで入手可能) を受け取ってください。

PDFバージョン：

 

テキストバージョン:

Hacking Healthcareへようこそ® !

アメリカ大陸ホビー演習2026

本日の記事に入る前に、第7回アメリカ大陸ホビー演習が間近に迫っていることをお知らせします。Health-ISAC会員の皆様には、ぜひ参加をご検討ください。この演習は、Health-ISAC会員、米国政府機関、その他の重要インフラ部門が参加する終日ワークショップおよび机上演習です。この演習は、大規模災害発生時および発生後に医療部門が直面する課題への認識を高め、医療部門と政府機関の間における永続的な関係を構築することで、理解、対応、復旧計画および活動を強化することを目的としています。

今年のホビー演習は6月24日にワシントンD.C.で開催されます。参加希望者はこちらから登録できます。

https://portal.h-isac.org/s/community-event?id=a1YVn000005srUHMAY.

さらに詳しく知りたい方は、昨年の報告書をこちらからご覧いただけます：https://health-isac.org/2025-americas-hobby-exercise-after-action-report/

サイバーインシデント報告に関する最新情報

まず、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）による重要インフラ向けサイバーインシデント報告法（CIRCIA）タウンホールに関する改訂通知を検証します。[i]次に、欧州連合のネットワークおよび情報システム（NIS）協力グループによるNIS2インシデント報告を統一するための新しいテンプレートの発表を評価します。

CISA主催CIRCIAタウンホールミーティングの新しいスケジュール 

CIRCIAは、法律として署名されてから4年以上が経過し、昨年秋に最終規則制定が予定されてから1年近くが経過したが、いまだに最終決定に至っていない。当初の草案に対する強い反発、2024年の政権交代とそれに伴う政策の優先順位変更、CISAに影響を与えた大規模な政府機関閉鎖などが、遅延の一因となっている。これには、CISAが2月中旬に発表した一連のタウンホールミーティングの延期も含まれる。タウンホールミーティングは、「CIRCIA規則制定案通知（NPRM）の範囲と負担を精緻化するための意見を提供する限定的な追加機会」となるはずだった。[ii]

最近の政府機関閉鎖からCISAが再開したことを受け、同機関は最近、改訂版（かつ短縮版）のタウンホールミーティングのスケジュールを発表した。[iii]新しいスケジュールでは、ミーティングの回数が7回から4回に減り、2回の全体セッションは維持され、重要インフラ部門がまとめられている。

  • 全体会議1 – 2026年6月15日（月）
  • 重要インフラ部門グループA – 2026年6月16日（火）
    • 緊急サービス部門、医療部門、公衆衛生部門を含む
  • 全体会議2 – 2026年6月17日（水）
  • 重要インフラ部門グループB – 2026年6月18日（木）

これらの会議はそれぞれ東部時間午前11時30分から午後3時30分まで開催される予定です。ただし、CISAは会議のスケジュールを延長、再スケジュール、またはキャンセルする権利を留保します。CISAが期待するフィードバックに関して、通知には「CIRCIAの規制要件の負担を明確化または軽減しつつ、重要インフラ部門のサイバー脅威の状況に対する連邦政府の可視性を高めるために、CISAが最終規則に実装できる具体的で実行可能な改善策」を求めていると記載されています。[iv]

しかし、CISAは以下のような特定の関心事項を特定しています。[v]

  • 重大なサイバーインシデントに該当する可能性のある、または該当しない可能性のあるインシデントの提案例について、CISAが提示した例が正確かどうか、また、重大なサイバーインシデントに該当する可能性のある、または該当しない可能性のあるインシデントの例のリストに含めると有用な他の種類のインシデントがあるかどうかを含めて検討する。
  • CIRCIAの規制報告要件を、サイバーインシデントや身代金支払いの報告を義務付ける既存の連邦法、州法、地方自治体法、部族法、または準州法（SLTT）の法律、規則、指令、または類似の政策と調和させるための潜在的なアプローチ。他の連邦法またはSLTT法、規則、指令、または政策とCIRCIAの報告要件との間の、実際または可能性のある重複や矛盾をどのように軽減するか。

NIS 2 インシデント報告共通テンプレート

5月26日、欧州委員会は、NIS協力グループ[vi]が「インシデント報告のための共通テンプレートに合意した」ことにより、EUが「企業のコンプライアンスを簡素化するための重要な一歩」を踏み出したと発表した。 [vii]この発表では、「テンプレートはサイバーインシデントを報告するための明確で統一された形式を提供する」ものであり、NIS2の対象となる組織がインシデント報告義務を遵守する際に直面する全体的な管理上の負担を軽減するとしている。[viii]

欧州委員会は、「EU全体で報告項目を統一することで、企業にとってコンプライアンスが簡素化され、NIS2義務の履行における一貫性が確保され、複雑さが軽減され、最終的にはサイバーセキュリティの回復力が強化される」と強調した。委員会はまた、この取り組みが、デジタルオムニバスに基づくインシデント報告のための単一エントリーポイントの提案など、他の簡素化の取り組みとも概ね一致していることを改めて強調した。[ix]

発表は、今後の手順の概要を示すことで締めくくられており、その中で欧州委員会は、実施法を通じてこれらのテンプレートを採用し、すべての欧州連合加盟国に義務付ける意向を表明した。

以下の「行動と分析」セクションでは、このNIS2に関するニュースから何が期待できるかを分析し、CIRCIAが関与する上で考慮すべき事項について概説します。

 

アクションと分析
**Health-ISAC メンバーシップに含まれます**

 

[i] https://www.federalregister.gov/documents/2026/05/26/2026-10417/town-hall-meetings-to-provide-input-on-cyber-incident-reporting-for-critical-infrastructure-act

[ii] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings?utm_campaign=subscription+mailing+list&utm_medium=email&utm_source=federalregister.gov

[iii] https://www.cisa.gov/topics/cyber-threats-and-advisories/information-sharing/cyber-incident-reporting-critical-infrastructure-act-2022-circia

[iv] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings?utm_campaign=subscription+mailing+list&utm_medium=email&utm_source=federalregister.gov

[v] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructor-act-circia-rulemaking-town-hall-meetings?utm_campaign=subscription+mailing+list&utm_medium=email&utm_source=federalregister.gov

[vi] NIS協力グループは、NIS指令により「加盟国間の協力と情報交換を確保する」ために設立され、その構成員にはEU加盟国、欧州委員会、およびEUサイバーセキュリティ機関（「ENISA」）の代表者が含まれます。一般的に、同グループはEU加盟国間の戦略的協力と情報交換を支援し、促進します。その責任と権限に関する詳細情報は、NIS2の前文64～66および第III章第14条に記載されています。

[vii] https://digital-strategy.ec.europa.eu/en/news/nis2-cooperation-group-adopts-common-templates-incident-reporting?pk_source=ec_newsroom&pk_medium=email&pk_campaign=Shaping%20Europe%27s%20Digital%20Future%20website%20updates/en

[viii] https://digital-strategy.ec.europa.eu/en/news/nis2-cooperation-group-adopts-common-templates-incident-reporting?pk_source=ec_newsroom&pk_medium=email&pk_campaign=Shaping%20Europe%27s%20Digital%20Future%20website%20updates/en

[ix] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14855-Simplification-digital-package-and-omnibus_en

[x] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings?utm_campaign=subscription+mailing+list&utm_medium=email&utm_source=federalregister.gov

Live@eXchange 2日目 – Health-ISAC 医療機器セキュリティアナリスト
医療業界を標的とした新たな脆弱性