EUの実情から分かる、情報共有に立ちはだかる「壁」とは

　今年9月11日、EUのサイバーセキュリティ政策はちょっとした節目を迎えました。EUのサイバーレジリエンス法（Cyber Resilience Act、以降CRA）に基づく「Single Reporting Platform（以降SRP）」の初期運用が開始されたのです。

　SRPは、デジタル要素を含む製品のメーカーが、実際に悪用されている脆弱性や重大なインシデントを報告するためのオンラインプラットフォームです。メーカーはSRPを通じて一度報告すれば、関係する当局に情報が伝達される仕組みになっています。9月11日からメーカーの報告義務が適用され、SRPによる報告受付が始まりました。このSRPは、EU域内の製品に関するサイバーセキュリティ情報を集約するための重要な仕組みとして注目すべきでしょう。

　ところが、SRPが稼働を開始した11日後の9月22日、EUのサイバーセキュリティを考えるうえで、かなり気になる報告書が公開されました。それは欧州会計監査院（European Court of Auditors、以降ECA）の特別報告書19/2026「Detecting and responding to cybersecurity incidents - EU cooperation framework progressing, but only partially effective due to implementation delays and limited information sharing（サイバーセキュリティインシデントの検知と対応 - EUの協力の枠組みは進展しているが、実施の遅れと情報共有の制限によって効果は限定的）」です。

　この報告書においてECAは、EUが近年、サイバーセキュリティに関する規制やネットワーク、インシデント対応の仕組みを整備してきたことは認めています。その一方で、重大なサイバーインシデントや大規模なインシデントの検知・対応については、EUの取り組みは「部分的にしか」機能していないと結論付けています。その大きな理由として挙げられているのが、情報共有の不足と、仕組みの実装の遅れです。

　EUにはサイバーインシデントに対応するための「仕組み」がないわけではありません。むしろ、さまざまな仕組みが作られています。各国のCSIRTによる「CSIRTs Network」に加え、大規模なサイバーインシデントが発生した場合の危機管理を担う「EU-CyCLONe」、欧州連合サイバーセキュリティ機関（The European Union Agency for Cybersecurity、以降ENISA）などがすでに存在しています。問題は、それらが十分につながっていないことなのです。

EUのサイバーセキュリティ・ネットワークおよびメカニズム 2016-2025（欧州会計監査院の特別報告書19/2026より）

　EUにおけるサイバーインシデント対応の中心的な仕組みの1つが、NIS2指令です。

　NIS2では、対象となる事業者に対して、重大なインシデントが発生した場合、早期警告を24時間以内、インシデント通知を72時間以内に行い、その後、最終報告を提出することが求められています。また、加盟国は国内で報告されたインシデントを集約し、ENISAに報告することになっています。

　こうした仕組みだけを見ると、EUではサイバーインシデントに関する情報がかなり集まっているように思えます。

　ところが、ECAが指摘しているのが「大規模（large-scale）なサイバーインシデント」の扱いです。

　ECAによれば、2016年以降、EU加盟国が「大規模なサイバーインシデント」と分類したインシデントは1件もありません。しかし、実際に国境をまたいで大きな影響を及ぼしたインシデントが存在しないわけではありません。その具体例としてECAが挙げているのが、2025年9月に発生したコリンズ・エアロスペース社へのランサムウェア攻撃です。

　この攻撃では、空港のチェックインや手荷物処理、搭乗手続きなどに利用されていたシステムが影響を受け、イギリス（非加盟国）のヒースロー空港、ベルギーのブリュッセル空港、ドイツのベルリン・ブランデンブルク空港、アイルランドのダブリン空港などで大きな混乱が発生しました。

　ところが、このインシデントについて、影響を受けた加盟国からEUレベルで正式な通知が行われることはありませんでした。また、ECAによれば、CSIRTs NetworkはEU-CyCLONeに対して、同インシデントを支援すべきとの助言を行っていません。そのため、EU-CyCLONeも協調的な危機管理を支援することができませんでした。

　このように、実際には複数の国にまたがって大きな影響が発生しているにもかかわらず、それがEUレベルの「大規模なサイバーインシデント」として把握されていないのは、かなり深刻な状況です。

　この原因としてECAが指摘している問題の1つが、EUの各ネットワーク間における手続きや基準の不足です。

　例えば、CSIRTs NetworkとEU-CyCLONeの間には、協力のための手続きが十分に整えられていません。また、「脅威（threat）」「脅威アクター（threat actor）」「インシデント（incident）」「影響（impact）」といった用語について、共通の分類法（taxonomy）が存在していません。

　さらに、どのようなインシデントを「大規模（large-scale）」として扱い、いつEUレベルでエスカレーションするのかという共通の基準も十分に整備されていません。

　つまり、各国がそれぞれ情報を収集し、その情報をそれぞれ異なる基準で評価していれば、EU全体として状況を把握しようとしたときに、情報を単純に組み合わせることができないのは当然でしょう。

　ECAは、こうした情報共有の制約として、NIS2の国内法制化の遅れや、インシデントが国境を越えて影響を及ぼしているかどうかを判断することの難しさ、さらに各国の国家安全保障関連法や、情報共有に対する信頼の不足なども挙げています。

　さらに注目すべきなのが、情報を集めるための仕組みそのものにも問題があるという点です。

　ECAは、加盟国からENISAへの報告について、2018年から2021年には年間100件から500件だったものが、2024年には1276件に増加したことを指摘しています。

　一方、ENISAが2025年10月に公開した年次報告書「ENISA Threat Landscape 2025」によれば、2024年7月1日から2025年6月30日までの期間について、オープンソースインテリジェンス（OSINT）などから特定したインシデントの件数は4875件となっています。

　もちろん、両者は対象や定義が異なるため、単純に数字を比較することはできません。それでもECAは、こうした差から、重大なインシデントの全てが加盟国から報告されているわけではない可能性を指摘しています。ただし、加盟国からENISAに提供されるデータは匿名化されているため、実際にどれだけのインシデントが報告されていないのかを正確に把握することはできません。

　さらに、「国境を越えた重大なインシデント（significant cross-border incidents）」についても、2025年に加盟国から報告されたのは14件にとどまりました。また、2024年は2件、2023年は0件、2022年は3件となっています。

　これに対し、ENISAが2024年9月に公開した年次報告書「ENISA Threat Landscape 2024」によれば、2カ国以上の加盟国を標的としたインシデントは322件確認されています。この322件の全てがNIS2などに従って報告されるべきだった、とは言えません。両者は調査方法や対象が異なるからです。それでも、「EU全体に影響するサイバーインシデントをどの程度把握できているのか」との疑問を持つには十分な数字でしょう。

　ECAが指摘しているのは、情報共有だけではありません。

　EUでは「European Cybersecurity Alert System」という、国境を越えたサイバー脅威を検知・共有するための仕組みも整備されています。その中核となる「ATHENA」や「ENSOC」といったサイバーハブについて、ECAの監査時点ではまだ運用が開始されていませんでした。

　調達手続きが遅れており、調達開始から18カ月が経過した時点でも、いずれのロットについても契約が締結されていなかったとECAは指摘しています。

　さらに、欧州委員会の通信ネットワーク・コンテンツ・技術総局（Directorate-General for Communications Networks, Content and Technology、DG CONNECT）にはサイバー状況センター（Cyber Situation Centre）が設置されていますが、ECAはENISAなどが持つ機能との重複を指摘し、EUレベルでの状況把握能力を合理化する余地がまだあるとしています。

　それぞれの仕組みが個別に整備されても、それらが相互に連携し、必要な情報が必要な相手にリアルタイムで伝わらなければ、EU全体としての状況把握につながらないのは当然でしょう。

　今回のECAの特別報告書を踏まえると、9月11日に運用が開始されたCRAのSRPについても、少し違った見方ができます。

　SRPは、メーカーが実際に悪用されている脆弱性や重大なインシデントを報告するための重要な仕組みです。1回の報告で関係当局に情報を伝達できるため、これまでより効率的な情報共有が期待できます。

　しかし、「報告する仕組み」ができたからといって、それだけでEU全体のサイバーインシデントを把握できるようになるわけではありません。今回のECAの報告書が示しているのは、まさにこの点です。

　必要なのは、単に情報を集めることではありません。何を報告すべきなのかを共通化し、どの情報をどの組織に、どのタイミングで伝えるのかを明確にし、さらに各国や各組織が持っている情報を組み合わせて、EU全体として状況を把握できるようにすることです。

　ECAも、情報共有を強化するため、各国の国家安全保障上の制約や法的・技術的な問題への対応を検討するとともに、リアルタイムでのインシデント報告を可能にすることなどを勧告しています。

　また、EUレベルで存在するさまざまな状況把握能力を合理化し、ENISAと欧州委員会による共同での情報収集・分析などを検討すること、さらに「European Cybersecurity Alert System」をEU全体の仕組みに統合し、CSIRTs NetworkやEU-CyCLONeなどとの相互運用性を高めることも勧告しています。

　EUでは、CRAのSRPのように新しい仕組みが次々と整備されています。しかし、今回のECAの報告書が示すように、「仕組みがあること」と「EU全体の状況を把握できること」は別の問題です。

　サイバー攻撃は国境を意識してくれません。だからこそ、国境を越えた攻撃をEU全体で把握するためには、単に各国から情報を集めるだけでなく、それをリアルタイムで共有し、同じ基準で分析し、必要な組織が迅速に動けるようにする必要があるのです。

　今回紹介したEUの問題は、EUに限らず、日本を含め、世界中の同様の情報共有の取り組みにも起こり得る問題です。これからEUがこの問題をどのように解決していくのか注目していくべきでしょう。

　最後に、今回のECAの報告書の趣旨とは別の話になりますが、情報共有については思うところがあります。

　情報共有を強化することは確かに重要です。しかし、報告義務を課される企業や組織にとって、情報の収集・分析や報告書の作成には、人員や時間などのコストがかかります。報告や共有を求めるのであれば、そうした負担をどう軽減するのかという視点も必要でしょう。制度を現場で十分に機能させるために、制度を設計する関係者には、こうした負担の軽減についても十分に検討していただきたいと思います。