オランダのサイバーセキュリティ法（NIS2）と中小企業のサイト｜取引先から求められること

オランダで会社や個人事業を営んでいると、2026年の夏ごろから、取引先からこんな文面が届くことがあります。「貴社のセキュリティ対策について、添付の質問票にご回答ください」。差出人は、エネルギー、運輸、医療、食品、IT サービスなど、重要とされる分野の会社です。

背景にあるのが、2026年8月15日に施行されたオランダのサイバーセキュリティ法（Cyberbeveiligingswet、通称 Cbw）です。EU の NIS2 指令をオランダの国内法にしたもので、対象になる会社に、セキュリティ対策・NCSC への登録・インシデント報告を義務づけます。

ここで混乱しやすいのが、自社は対象ではないのに、対象の会社から要件を求められるという点です。法律の義務は対象の会社にあります。しかしその会社は、自社の供給網（toeleveringsketen、トゥレーフェリングスケイテン）の安全も確保しなければなりません。サイトやホスティングを預かる側にも、確認の作業が回ってきます。

この記事では、NCSC・KVK・RVO・官報などの一次情報（2026年10月31日確認）と、報道を突き合わせ、次の三つを整理します。

• 施行の状況と日付（まだ動く可能性がある点も含めて）
• 自社が直接の対象かどうかを確かめる、セクターと規模の二段階
• 対象外でも求められる内容と、サイトとホスティングで用意しておくもの

DevNJ はサイト制作・運用の会社であり、法律事務所ではありません。ここに書くのは一般的な情報であって、法的助言ではありません。

この記事が主に根拠にした情報

• NCSC「Cyberbeveiligingswet (NIS2)」の各ページ（施行日、登録、zorgplicht の10措置、監督、FAQ）
• NCSC「Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?」（セクターと規模の基準）
• KVK（商工会議所）「Nieuwe Cyberbeveiligingswet: voldoe jij al aan de regels?」（供給先に求められる事項の例）
• RVO「Mijn cyberweerbare zaak (MCZ)」（小規模事業者向け補助金。ウェブサイトは対象外）
• 官報 Stb. 2026, 187（法律）と、報道（Security Management、Accountant.nl、SRA、Consultancy.nl）

1. いま何が起きているか：2026年8月15日に施行された

最初に、日付と状況を整理します。制度の話は日付が命ですが、この法律は施行日が何度も動いた経緯があります。いまは確定していますが、運用の細部はこれからも更新される前提で読んでください。

施行までの経緯

EU の NIS2 指令（2022/2555）は、加盟国が2024年10月17日までに国内法にすることを求めていました。オランダはこの期限に間に合いませんでした（Security Management の経緯まとめによる）。その後、2025年第3四半期、2026年1月1日、2026年第2四半期と目標が変わり、最後の計画は2026年7月1日でした。

2026年4月15日に下院が法案（36.764）を可決し、6月2日に上院の委員会が報告を出しました。政府の説明書（nota）で、施行が7月1日から8月15日に移ることが示されました。法律は2026年7月8日付で、官報 Stb. 2026, 187 に載り、施行を定める決定が Stb. 2026, 189 です（官報の掲載ページ）。

図の灰色の点は、期限を逃した出来事です。茶色の点は確定した日付です。表にすると、次のとおりです。

この表から言えるのは、施行日は確定しているものの、そこに至る過程で何度も予定が動いたということです。運用の細部（監督の進め方など）も、同じように変わる可能性があります。

施行後の状況

NCSC のページは、2026年8月15日に施行されたと書いています。対象になる組織は8,000社超とされています。Accountant.nl は8月の報道で、対象と見込まれる8,000社超のうち約3,200社が登録簿に載ったと伝えました。

NCSC の FAQ には、監督について「具体的な進め方は整備中」という趣旨の記述があります。罰金額は、NCSC の解説ページにも載っていません。参考として、EU の NIS2 指令は加盟国に対し、最高額の上限を少なくとも次の水準にするよう求めています（欧州委員会の NIS2 FAQ、2026年10月31日確認）。必須事業体は1,000万ユーロか前年の全世界売上の2%、重要事業体は700万ユーロか1.4%で、いずれも高いほうです。これは指令が求める上限の水準であり、オランダ法の実際の額はこの記事では確認していません。

日付が動いた経験から言えること

予定が何度も動いた法律でも、施行されれば義務は始まります。Security Management は、延期されても義務の中身は変わらないので、準備を続けるよう勧めていました。取引先の側も、施行日を待たずに質問票を出し始めていた可能性があります。

2. この法律は何を求めているか：三つの義務

Cbw が対象の組織に求めるのは、登録・措置（zorgplicht）・報告（meldplicht）の三つです。NCSC のトップページも、この三つをカードで並べています。この章の内容は、取引先が何を気にしているかを知る手がかりになります。

表のとおり、義務は対象の組織自身に課されます。供給元や委託先に直接課されるものではありません。ただし措置の中に「供給網の安全」が含まれているので、間接的に委託先へ要件が伝わります。

登録（registratie）

登録は mijn.ncsc.nl で行います。ログインには eHerkenning（保証レベル EH2 以上で、KvK 番号に結びつく代理権が必要）か SSOnRijk を使います。五つのステップ（組織の情報、追加情報、連絡先、ネットワーク情報、確認と送信）があり、登録内容が変わったときは14日以内に MijnNCSC で届けるのが法的義務です（NCSC の登録ページ）。

措置（zorgplicht）

NCSC は、最低限の10の措置を示しています。組織が自分でどの措置が適切かを決め、その土台がリスク管理だと説明されています。経営層の責任については、NCSC のトップページに説明があり、監督の措置は、きわめて例外的な場合には個々の取締役にも及びうると FAQ に書かれています。

報告（meldplicht）

重大なインシデントは、CSIRT と所管の監督機関の両方に届けます（官報の解説）。最初の報告は24時間以内です。委託先のサイトが原因の障害でも、対象の会社が報告を求められる可能性があるため、取引先は委託先からの連絡の速さを気にします。

3. 自社は直接の対象か：セクターと規模の二段階

自社が対象かどうかは、セクターと規模の二段階で判断します。NCSC は、この二つが「当てはまるかどうか」を確かめる質問として整理しています。

図は流れを示しただけで、判定そのものではありません。実際の判定は、NCSC のページと自己評価ツールで行ってください。

セクターの確かめ方

NCSC によると、法律は別表1と別表2に挙がるセクターに適用されます。別表1にはエネルギー、運輸、銀行、医療、行政に加え、Digitale infrastructuur（デジタルインフラ）と Beheer van ICT-diensten（ICT サービスの管理）が挙がっています。別表2にはデジタル提供者、食品、研究、製造などが含まれます。サイトやサーバーの保守を請け負う制作会社・ホスティング会社は、規模の基準を満たせば直接の対象になりうるため、別表1の二つのセクターの定義（官報と NCTV のページ）を自社の業務と照らして確かめてください。NCSC のページ自体には、この二つの詳しい説明はありません。セクターによっては、所管の省庁が個別の基準を定めており、NCTV のページから調べられます。

規模の基準

NCSC のページでは、次のどちらかを満たすと「規模として十分」とされています。

表のとおり、売上と総資産は両方が条件です。なお KVK のページは「50人以上かつ売上1,000万ユーロ超」と短く書いており、NCSC の文面と違います。二つの公的ページで書き方が違うため、この記事では詳細な基準を載せている NCSC を優先します。

数え方の注意

NCSC は、従業員・売上・総資産を数えるとき、パートナー企業と関連企業（親会社や子会社）も合算するよう書いています。グループ会社の一員だと、単体では小さくても基準を超えることがあります。

規模に関係なく対象になる場合

次の組織は、規模の基準が適用されません。

• DNS サービスの提供者（顧客のドメインの DNS を自社で運用しているホスティング会社や制作会社は、従業員数に関係なく当てはまる可能性があるので、NCSC の自己評価ツールで確かめてください）
• 公衆向けの電子通信ネットワーク・サービスの提供者
• トラストサービスの提供者
• トップレベルドメイン名の登録機関
• 行政機関

KVK のページも、トラストサービス、DNS、ドメイン登録サービスの提供者は常に対象になるとしています。さらに、小規模の組織でも、所管の大臣が個別に指定すれば対象になりえます。

対象外なら登録は不要

NCSC は、法律の対象でなければ登録する必要はないと書いています。ただし、セキュリティ対策そのものは、続けておくのが賢明とも添えています。

4. 対象外でも、取引先から求められる理由

法律の義務が対象外の会社に及ばないのに、なぜ質問票が来るのか。ここがこの記事の核心です。

義務は対象の取引先にあり、供給網の確認がその一部

NCSC の zorgplicht のページには、10の措置のひとつに「供給網を安全にする」が入っています。内容は、直接の供給者を洗い出し、供給網のリスクを整理し、供給者と対話して強靱さを高めることです。自社の対策が万全でも、供給者やサービス提供者の安全に左右される、とも説明されています。

KVK の「Ik lever aan een Cbw-bedrijf（対象企業に納めている）」の節は、対象企業が供給網のサイバーセキュリティを確保する義務を負うので、供給者も自社のセキュリティを示す必要があると書いています。対象外の小さな会社でも、取引先が対象なら厳しい要件を求められる可能性があります。

図は、要件が上から下へ流れることを示しています。つまりサイトの運営者は、上からは質問を受け、下には同じ質問を返す位置にいます。

取引先から実際に聞かれうること

KVK は、供給者が対象企業から聞かれる可能性がある事項を例示しています。要件は取引先ごとに違うので、何が求められるかを事前に話し合うよう勧めています。

表のとおり、質問の多くは、サイトとホスティングの運用に結びつけられます。全部に答える必要があるかどうかは取引先次第です。聞かれた項目を、そのまま自社の状況に当てはめて答えるのが基本です。

政府も、供給者の負担を認識している

オランダ政府（Rijksoverheid）は2024年10月に、NIS2 の義務を負う会社の供給者を対象にした調査（Digital Trust Center の委託）を公表しています。ページには、対象の組織は自分たちの供給網の安全に責任を負うため、供給網の企業にはより高い基準が求められるだろうという趣旨が書かれています。調査の中身（人数や結果）は、この記事では確認できていません。

5. NCSC の10措置とサイト運営の対応

NCSC が示す10の措置のうち、サイトとホスティングに関わるものを抜き出します。分かりやすいように、それぞれを「サイト運営では何に当たるか」に引き直しました。引き直しの欄は DevNJ の整理であり、NCSC の文言ではありません。

この表から見えるのは、10の措置のうち半分以上は、サイトの日々の運用に直結するということです。特に3・4・6・8は、質問票でもよく聞かれる領域です。

6. サイトとホスティングで用意しておくもの

ここからは、実務の話です。以下は法律が小さな会社に直接求めるものではなく、取引先に聞かれても答えられるようにするための、DevNJ の整理です。

使っているソフトの一覧（資産管理）

最初の一歩は、何を使っているかの一覧です。CMS（WordPress など）、プラグイン、テーマ、PHP のバージョン、ホスティング会社、ドメインの管理先、メールの送信サービス、アクセス解析のタグ。これがないと、脆弱性のニュースが出たときに「自分のサイトは影響を受けるか」を答えられません。

2026年10月に話題になった PHP の脆弱性（PHP2Shell）でも、最初に問われたのは「自分のサイトの PHP の版はいくつか」でした。経過は「PHP2Shell その後の経過」にまとめています。

更新の記録

NCSC は、セキュリティ更新を適切な期間内に入れる方針（patchmanagement）を持つよう書いています。さらに、新しいシステムを選ぶときは、提供元がその後も更新を出し続けるかを確かめるよう添えています。

記録は難しくありません。次の項目を表にして、更新のたびに1行足します。

表のとおり、5列で足ります。目的は、質問が来たときに「いつ・何を・誰が」を示せることです。

バックアップと復元の確認

NCSC は、停止を前提に備えることを求めています。具体的には、バックアップの方針に、頻度・保管場所・テストする時期を決めておくことです。

• 頻度：更新が多いサイトは日次、静的なサイトは更新のたびなど、サイトの性質に合わせる
• 保管場所：サーバーと同じ場所だけに置かない。別のホスティングやストレージにも置く
• 復元の確認：実際に戻せるかを定期的に試し、結果を記録する

バックアップが「ある」だけでは、質問票に十分に答えられません。戻せた記録があると、答えが具体的になります。

脆弱性への対応

NCSC は、研究者が脆弱性を安全に報告できる連絡窓口を置くことも、措置に挙げています。小さなサイトでも、問い合わせフォームとは別に、セキュリティ上の連絡を受ける宛先を一つ決めておく価値があります。

あわせて、更新の期限を自社で決めておきます。たとえば「重大な脆弱性は告知から何日以内に適用するか」を一行書くだけでも、方針として示せます。日数は、サイトの重要度と更新の難しさで決めてください。

管理者アカウントと二段階認証

KVK の例には、すべてのアカウントで二段階認証を使っているかが入っています。NCSC もパスキー（FIDO2）や多要素認証を勧めています。CMS の管理画面、ホスティングの管理画面、ドメインの管理画面、メールの管理者アカウントの四つを、まず確かめます。辞めた人や、もう関わっていない制作会社のアカウントが残っていないかも、同時に棚卸しします。

委託先との契約

自社のサイトを制作会社やホスティング会社に任せているなら、その会社が自社にとっての供給元になります。次の章で、契約で確かめる点を整理します。

7. 委託先（ホスティング・制作会社）との契約で確かめる点

Consultancy.nl は、Cbw が IT の委託契約の見直しを促すと書いています。従来の契約はサービス水準や価格が中心で、セキュリティの条項は「適切な対策」といった一般的な表現にとどまることが多い、という指摘です。以下は、その記事の趣旨と NCSC の説明を、サイト運用に引き直した整理です。

表から言えるのは、責任範囲を文章にしておくことの大切さです。「サーバーのことはホスティング会社が見ているはず」「サイトの更新は制作会社がやっているはず」という思い込みが、質問票の場で最も困ります。

インシデントの連絡期限

Consultancy.nl は、NCSC への報告に、24時間以内の早期警告、72時間以内の中間報告、1か月以内の最終報告があると説明しています。そのうえで、委託先に8〜12時間以内に知らせてもらう条項の例を挙げています。この時間は同記事の例示であって、法定の期限ではありません。

再委託先

ホスティング会社が別のクラウド事業者を使っている場合、要件はその先にも及ぶ必要があります。契約で、再委託先の一覧を開示してもらい、変更時に通知を受ける形を相談してください。

出口（契約終了時）

乗り換えのときにデータを返してもらえるか、どの形式か、いつまでか。契約に書かれていないと、切り替えが難しくなります。Consultancy.nl も、代替先への切り替え手順を決めておくことを挙げています。

契約の文言は、法的な効果を持ちます。上の表は確認項目の一覧であって、条文の案ではありません。実際の文言は弁護士などの専門家に確かめてください。

8. 費用とお金の考え方

DevNJ の料金には触れません。ここでは、費用の考え方と、使えそうな公的支援を整理します。

費用はどこにかかるか

サイト側の備えにかかる費用は、大きく三つに分かれます。

1. 最初の整理：一覧づくり、記録の様式づくり、管理者アカウントの棚卸し
2. 継続の運用：更新の適用と記録、バックアップの復元確認、年1回の見直し
3. 契約の見直し：ホスティング・制作会社との責任範囲の確認（専門家への相談を含む）

どれも金額は規模と体制で大きく変わります。一般的な相場をこの記事では示しません。根拠となる公的な数字を確認できていないためです。見積もりを取るときは、上の三つに分けて比べてください。

MCZ 補助金：使えるが、ウェブサイトは対象外

小規模事業者向けに、「Mijn cyberweerbare zaak（MCZ）」という補助金があります。RVO のページによる条件は次のとおりです。

表のとおり、MCZ は社内の業務システムを守る費用が対象で、ウェブサイトの対策には使えません。社内パソコンのバックアップや二段階認証には使える可能性があります。申請の詳細と最新の条件は RVO のページで確かめてください。予算がなくなる前に締め切られることがあります。

業界の枠組み

MKB-Nederland と VNO-NCW が運営する「Samen Digitaal Veilig」は、供給者のデジタルの強靱さを高めるための枠組みです。MKB Servicedesk（2025年8月4日更新）によると、中小企業は顧客や取引先の要件に応じて3段階の認証を取れます。現在の制度の内容と費用は、この記事では確認していません。取引先が特定の認証を求めてきたときの選択肢として、頭に入れておいてください。

9. つまずきやすいところ

制度の説明だけでは気づきにくい、実務での落とし穴をまとめます。

表から言えるのは、取り繕うより正直に答える方が得ということです。質問票の回答は契約や信頼に結びつきます。できていない項目は、いつまでに対応するかを添えて返すほうが、あとで困りません。

「対象外」の判定も見直しが要る

規模は、事業が伸びれば変わります。従業員が50人に近づいたとき、グループに入ったとき、売上と総資産が増えたときは、再度確かめます。

10. 日本の事業者が欧州向けサイトを持つとき

読者の中には、日本から欧州向けのサイトを運営している、あるいは検討している事業者もいるでしょう。その場合の注意点を、確認できた範囲で書きます。

この記事で確かめていないこと

Cbw は、オランダの法律です。EU 域外の事業者や、別の EU 加盟国に拠点を持つ事業者が、どの国のどの法律の対象になるかは、拠点の置き方と提供するサービスによって違います。この記事では、その判断の基準を一次情報で確かめていません。ここは専門家に確かめるべき点です。

取引先として求められる側面は同じ

一方、オランダの対象企業と取引する場合は、日本の事業者であっても、供給者として質問を受ける可能性があります。質問の中身（二段階認証、更新、バックアップなど）は、国を問わず共通しています。

表のとおり、立場によって最初の一歩が違います。判断に迷ったら、取引先に「御社は Cbw の対象ですか。対象なら、供給者に何を求めますか」と聞くのが、いちばん早い方法です。KVK も、要件は取引先ごとに違うので事前に話し合うよう勧めています。

11. ケースで考える（以下は架空の例です）

以下の三つは、立場ごとの答えの違いを示すための架空の例です。実在の会社や人物ではありません。

表のとおり、ケース C は従業員が50人未満でも、売上と総資産がともに1,000万ユーロを超えるため、セクターが別表に入っていれば規模の基準を満たします。ケース A と B は、法律の義務こそ直接はありませんが、取引先の状況によって行動が変わります。

ケース A の動き方

取引先の食品メーカーが対象なら、質問票が届く可能性があります。A の事務所は、①使っているソフトの一覧、②更新の記録、③バックアップの復元確認、④管理者の二段階認証、⑤ホスティング会社との契約の責任範囲、の五つをまず整えます。届いた質問に、できているものは「はい」、できていないものは「対応中、○月まで」と答えます。

ケース B の動き方

ネットショップは、支払い代行サービスやプラットフォームに多くを任せることが多く、自社の責任範囲を把握するのが重要です。MCZ 補助金はウェブショップの対策が対象外なので、使えるのは社内の端末などに限られます。

12. やってはいけないこと

表から言えるのは、「分からないことは分からないと言う」ことが、いちばん安全だということです。この記事も、確認できなかった点（オランダ法の罰金額、監督の詳細、海外の事業者の扱い）は、あえて書いていません。

13. 動く順番とチェックリスト

最後に、明日からの動き方を順番に並べます。

手順

1. NCSC の「Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?」で、セクターと規模を確かめる。迷ったら NIS2 自己評価ツールを使う
2. 主な取引先に、Cbw の対象かどうかを尋ねる。対象なら、供給者に求める要件の一覧をもらう
3. サイトとホスティングで使っているソフトの一覧を作る（CMS、プラグイン、PHP、ホスティング、ドメイン）
4. 更新の記録の様式を決め、直近の更新から書き始める
5. バックアップの頻度と保管場所を決め、復元を一度試して結果を残す
6. 管理者アカウントの二段階認証を確かめ、使っていないアカウントを整理する
7. ホスティング・制作会社との契約を読み、責任範囲と連絡期限を確かめる。足りなければ相談する
8. 1年後に見直す日を決める

チェックリスト

• 自社が直接の対象か（セクターと規模）を確かめた
• 主な取引先が対象かどうかを聞いた
• 使っているソフトの一覧がある
• 更新の記録を残し始めた
• バックアップの復元を試して記録した
• 管理者アカウントに二段階認証をかけた
• 脆弱性を知らせてもらう連絡先を決めた
• ホスティング・制作会社との責任範囲を文章にした
• 見直しの日を決めた

14. まとめ

• Cbw は2026年8月15日に施行された。EU の NIS2 指令の国内法で、旧 Wbni を置き換える
• 直接の対象かどうかは、セクター（別表1・2）と規模（50人以上など）の二段階で判断する
• 対象外の会社は法律上の義務を直接は負わないが、対象の取引先から供給網の確認として要件を求められる
• サイト側の備えは、ソフトの一覧、更新とバックアップの記録、連絡先、委託先との契約に絞れる
• MCZ 補助金（上限€1,250）はウェブサイトの対策には使えない
• オランダ法の罰金額や監督の詳細は、この記事では確認できていない。専門家と所管の監督機関に確かめる
• 日付と運用は変わりうる。2026年10月31日時点の整理であり、法的助言ではない

サイトの更新・バックアップ・契約の整理を外部に相談したいときは、サービスの内容を見たうえで、お問い合わせから状況をお知らせください。取引先から届いた質問票の項目を添えていただくと、話が早く進みます。

参考にした情報源

いずれも2026年10月31日に確認したものです。制度と日付は変わるため、実際の手続きの前に公式サイトで最新の情報を確かめてください。

公的機関

• NCSC：Cyberbeveiligingswet (NIS2)：施行日（2026年8月15日）、対象組織の数
• NCSC：Cyberbeveiligingswet のトップページ：三つの義務、経営層の責任
• NCSC：Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?：セクターと規模の基準
• NCSC：Registreer jouw organisatie：登録の手順、変更の届出
• NCSC：Zorgplicht：10の措置、供給網、バックアップ、更新
• 欧州委員会：NIS2 FAQ：指令が求める罰金上限の水準
• NCSC：Toezicht：監督機関
• NCSC：FAQ：監督の運用が整備中である旨
• KVK：Nieuwe Cyberbeveiligingswet: voldoe jij al aan de regels?：供給者に求められる事項の例
• RVO：Mijn cyberweerbare zaak (MCZ)：補助金の条件、ウェブサイトが対象外である点
• Rijksoverheid：Flitspeiling NIS2 bij toeleveranciers（2024年10月16日）：供給者を対象にした調査の概要
• NJB：官報 Stb. 2026, 187 と 189：法律の概要、日付、Wbni の廃止

報道・解説

• Security Management：施行が7月1日から動いた経緯：経緯の時系列
• Accountant.nl：Cbw 施行後の登録状況：登録数の報道
• SRA：Cbw は思ったより多くの組織に関わる：取引先への影響
• MKB Servicedesk：サイバー法規が中小企業に与える影響：Samen Digitaal Veilig
• Consultancy.nl：Cbw と IT 委託契約：契約の見直しの視点

関連記事

• PHP2Shell その後の経過｜運営者が確かめる点：PHP のバージョン確認と更新の実務