欧州委員会は2026年1月20日、EUのサイバーセキュリティ体制と能力を強化する新たな「サイバーセキュリティパッケージ」を提案したと発表しました。2019年制定の現行サイバーセキュリティ法（Cybersecurity Act）を改定する提案と、NIS2指令（指令2022/2555）の簡素化を図る改正提案の2部構成となっています。
背景には、2019年の現行法制定以降、地政学的情勢の変化や国家アクターによる高度化したサイバー攻撃能力の発展など、EUの重要部門を取り巻く脅威環境が大きく悪化していることがあります。新パッケージは、ICTサプライチェーンセキュリティの横断的枠組み、欧州サイバーセキュリティ認証枠組み（ECCF）の簡素化・強化、NIS2実施に伴う行政負担の削減、欧州サイバーセキュリティ庁（ENISA）の体制強化という四つの柱で構成されています。
ICTサプライチェーン規制と電力部門への適用
新サイバーセキュリティ法は、EUと加盟国が連携して、不当な外国の干渉や重要なICTサプライチェーンの依存リスクに対处するための信頼できるICTサプライチェーン枠組みを新設し、電信事業者が重要資産に高リスクサプライヤーを使用しないようにすることを企図しています。さらにNIS2指令の対象範囲や定義を明確化する改正も含まれており、電力や化学などの分野では適用範囲を適切に規定するため、より精密な法文化が必要であるとされています。一方で、海底データケーブルという重要度を増すインフラについては、より包括的に指令の適用対象とすることが目指されています。
認証枠組みの見直しとENISAの体制強化
改定後の欧州サイバーセキュリティ認証枠組み（ECCF）では、企業がICT製品・サービスに加え自らの「サイバー態勢」を認証できるようにするとともに、新規スキームの開発に明確な法定期限（原則、1年以内）を設け、ENISAがスキーム管理者として管理を担う体制とします。ENISAについては予算を75%以上増額し、各加盟国が、2名ずつのリエゾンオフィサーを指名することで実務面の連携を強化します。また、NIS2指令の対象範囲・定義を明確化することで2万8,700社（うぢ6,200社は小規模企業）のコンプライアンス負担を軽減するほか、新しい「小中型企業（small mid-cap）」区分を設け、2万2,500社のコンプライアンスコストを削減する方針です。
出典：https://digital-strategy.ec.europa.eu/en/faqs/cybersecurity-package-questions-answers