はじめに

本稿は、EUデジタル法制等への実務対応についてコンパクトに解説し、企業の担当者の対応の出発点の一助となることを目的としている。
前回の前編ではEUデジタル法制の全体像とデータ法の実務対応のポイントについて取り上げたが、後編の今回はそれ以外のデジタル法制の中からGDPR、サイバーレジリエンス法、NIS2指令、AI法、デジタルサービス法、さらに製品安全性に関する規制の概要と対応のTo Doを取り上げるとともに、プロジェクトの進行方法（実務上よくある悩みへの対応ポイントを含む）について解説する。

各法令の概要と対応のTo Doリスト

GDPR

GDPRは、EEA（欧州経済領域）域内に適用される統一的な個人情報保護法であり、2018年5月25日から適用開始されている。違反時の制裁金は、最大で2,000万ユーロ、または、事業者の場合には前会計年度の全世界年間売上高の4%のいずれか高いほうであり、ほかにも、違反時には、当局から処理の禁止や所定の作為・不作為の命令等がある。GDPR違反は、データ主体（本人）からの民事訴訟の対象にもなる。

GDPR対応のTo Doリストは以下のとおりである。

サイバーレジリエンス法

サイバーレジリエンス法は、欧州内で販売されるIoT製品を含むデジタル製品に対して包括的なサイバーセキュリティ要件を遵守することを義務づけ、また、デジタル製品の脆弱性への対応やユーザーへのセキュリティアップデートの提供等について規定し、サイバーセキュリティリスクから、欧州内のデジタル製品のユーザーを保護することを目的とした法律である。
サイバーレジリエンス法は、2024年12月10日に発効され、2027年12月11日以降に市場に出された製品に適用開始される予定である（同日より前に市場に出された製品であっても実質的改変が加えられた場合は適用となる）（69条2項）。報告義務に関する規定は、同日より前に市場に出された製品についても、2026年9月11日に適用になる（69条3項）。
同法においては、違反類型ごとに制裁が定められている。附属書Iにおける義務、製造業者の各義務（13条）および報告義務（14条）に違反した場合には、最大1,500万ユーロまたは全世界の年間売上高の最大2.5%のいずれか高い金額の制裁金が課せられる（64条2項）。その他の義務（19条および20条を含む）に違反した場合には、最大1,000万ユーロまたは全世界の年間売上高の最大2%のいずれか高い金額の制裁金が課せられる（64条3項）。

サイバーレジリエンス法対応のTo Doリストは以下のとおりである。

NIS2指令

NIS2指令は、重要インフラのサプライチェーンにおいて不可欠なエンティティにフォーカスしており、幅広い分野の事業者を対象にサイバーセキュリティリスクに関する義務を課している。同指令については、各加盟国において2024年10月17日までにNIS2指令に則った国内法が整備され、2024年10月18日からはNIS指令に代わりNIS2指令が適用されることが予定されていたが、現状、多くの加盟国において国内法の整備が依然として進行中である。
制裁は、必須エンティティにおいては1,000万ユーロ、または全世界年間総売上高の2％のいずれか高い方、重要エンティティにおいては700万ユーロ、または全世界年間総売上高の1.4％のいずれか高い方の額が上限とされている（34条4項、5項）。
NIS2指令の適用の考え方は複雑であり、必須エンティティと重要エンティティという概念が存在し、企業規模やリスクに応じてどちらのエンティティとして指令が適用されるかが異なる。典型例としては、大企業に分類され、高度にクリティカルなセクター（付属書I）に属する企業等が必須エンティティに該当し、中企業で高度にクリティカルなセクターまたはその他のクリティカルなセクター（付属書II）に属する企業等が重要エンティティに該当する。

図表1　企業規模の定義（Article 2 of the Annex to Recommendation 2003/361/EC）

図表2　 NIS2指令におけるセクター分類

いずれのエンティティにおいても同一のセキュリティ対策が必要だが、必須エンティティは32条により、重要エンティティ（33条）よりも厳格な当局の監督に服することになる。原則として、当該事業者の拠点がある加盟国の法令の適用を受けるとされており、域外適用はないものとされている（26条1項本文）が、たとえば、マネージドサービスプロバイダー、マネージドセキュリティサービスプロバイダーには域外適用があるものとされており、欧州の外部企業やグループ企業からIT・セキュリティ関係のサービスを受託している場合には、日本企業にも域外適用がありうることに留意が必要である。

NIS2指令対応のTo Doリストは以下のとおりである。

AI法

AI法は世界的にみても厳格なEU統一のAI規制である。AI法の特徴の一つとしては、リスクベースドアプローチを採用したことが挙げられる。AIのリスクを四つのカテゴリー、すなわち、「許容できないリスク」「ハイリスク」「透明性のリスク」「最小リスク」に分類し、許容できないリスクがあるAIシステムは禁止され、ハイリスクのあるAIシステムには多くの義務がかけられ、透明性のリスクがある特定AIシステムについては、透明性に関する義務がかけられ、最小リスクのAIには義務がかかっていない。なお、AI法においては、汎用目的AIモデルに関する規制も含まれている。

図表3　AI法の規制全体像（リスクベースドアプローチ）

AI法の適用開始日は以下のとおりである。

図表4　AI法の適用開始日

AI法違反の制裁金は以下のとおりである。

図表5　AI法違反の制裁金

AI法対応のTo Doリスト（汎用目的AIモデル以外）は以下のとおりである。

デジタルサービス法

デジタルサービス法は、オンラインでの違法情報の拡散防止のために、以下のとおり、幅広いデジタルサービスを規制する。
仲介サービスには、単なる導管、キャッシング、ホスティングサービスが含まれ、単なる導管、キャッシングの場合には規律が軽い（連絡窓口設置、EU代理人設置、利用規約についての規律（例：コンテンツモデレーション等に関する定めをおく等）、透明性報告義務）。
ホスティングサービス提供者の義務として追加されるものは、違法コンテンツ通知の仕組みの構築、違法コンテンツ削除・アカウント停止等の際の説明義務、犯罪の疑いがある場合の当局通報義務である。
ホスティングサービスの中に、オンラインプラットフォームとオンライン検索エンジンが含まれ、より重い義務を負う。更に、超大規模オンラインプラットフォームと超大規模オンライン検索エンジンはより重い義務を負う。
典型的には、コミュニケーションやコンテンツ投稿機能があるサービス等に仲介サービス（ホスティングサービス）として、適用されることに留意が必要である。
違反時の制裁金については、加盟国は、全世界の全事業年度の年間売上の6％を上限として定めることができるとされている（52条1項・3項）。

デジタルサービス法対応のTo Doリスト（オンラインプラットフォームと検索エンジン以外）は以下のとおりである。

製品安全性に関する規制（参考）

EUデジタル法制とは離れるが、EU市場において、コネクティットデバイスやデジタル製品を上市するにあたっては、以下の製品安全性に関する規制にも留意しておく必要がある。

図表6　製品安全性に関する規制

プロジェクトの進行方法（実務上よくある悩みへの対応のポイントを含む）

以上のようなEUデジタル法制への対応にあたっては、まず、自社製品・サービスへの各法令の適用の有無と範囲の整理が必要である。自社ビジネスの全体像を洗い出し、各法令の適用の有無を確認することになるが、これは一苦労であり、法務・コンプライアンス部門の担当者のみで対応することは現実的ではない。

会社全体として、どの部署が対応プロジェクトを主導するのかを検討することが必要であり、一つの部署ですべてを対応することは難しい場合が多い。品質保証部門・EU事業を行う事業部門・セキュリティ／情報管理部門等の協力が不可欠であり、プロジェクトチームを組むことが想定される。特に、EUにおいては上記Ⅱ6.のとおり、従前から製品安全性の規制が存在しており、サイバーレジリエンス法やAI法においてもこれらの規制が参照されている。したがって、製品安全性規制対応のためのCEマーキング等の対応の経験がデジタル法制対応にも活かされることになるため、これらの規制対応を所管している部門の関与が不可欠となる。更に、日本本社と欧州拠点の役割分担も検討しておく必要がある。

実務上は、現場が協力してくれないので事実調査が進まないケースがあり、現場事業部門をどう巻き込むのかが課題になるが、現場事業部門としても多忙な中で協力する必要性が理解できないと協力に消極的になるため、対応の必要性を理解してもらう取り組みが必要になる。たとえば、現場向けに説明会を開いて理解を得るような工夫をすることも考えられる。また、大前提として、プロジェクト予算の確保や社内体制を充実させるために、トップマネジメントに対応の必要性を理解してもらう必要性もある。

企業としては、適用範囲の分析ができれば、To Doのリストアップをして、現状の対応との差分の洗い出しを行い、未実行となっているTo Doを実行することになる。この場合に、法令の解釈が固まっていない、指令の場合に加盟国法が制定されていない、ガイドラインや実務で使うひな形等が固まっていない等、固まっていないことだらけではあるが、すべてが固まるまで待ち、法令の適用範囲の分析やTo Doのリストアップと現状の対応との差分の洗い出しも後回しにしてしまうのは得策ではない。不明確な点が残る中でも進められるところまでは対応を進めておくことが重要である。最終的には、法令の適用が開始されても、解釈が明確にならない部分が残ることも想定しつつ、長期的な計画を立て、適宜修正しながら対応プロジェクトを遂行していくべきである。たとえば、データ法対応においては、どこまでが法令上の義務の対象となるデータなのかや営業秘密の解釈等は不明確な点が残る。もっとも、事実調査（データマッピング）を行う段階では、自社のコネクティットデバイスに関するデータについてできるだけ幅広く情報を得ておき、いざアクセスを求められた際に、自社としてどうしても出したくないデータがあるのか、また、出すことはできるが機密保持のための措置を講じたいデータがあるのかといった現場の要望も洗い出しておくことはできるはずである。このような現場の要望を法解釈上裏付けることができるのかは後で検討することも可能であり、法解釈が固まっていないので調査をすること自体が不可能であるとか、意味がないということにはならない。