ENISA、AIで加速する脆弱性発見に対応強化を提言　EUのサイバー対策を評価

何が起きたのか：EUの能力と重要インフラの備えを評価

EUのサイバーセキュリティ機関ENISAは2026年11月10日、域内の対策状況を評価する報告書を公表した。欧州委員会と、加盟国の協力の場であるNIS協力グループと共同で取りまとめる隔年の報告である。今回は、加盟国の能力と資源、重要インフラの対策、供給網の依存関係を評価し、今後の政策で改善すべき5つの方向を示した。AIによる脆弱性の発見と悪用の加速は、その対応能力を見直す背景に位置付けられている。^[1]

評価に使われたEUサイバーセキュリティ指標は、100点満点で平均71.53点となった。多くの加盟国で成熟した対策が進む一方、インシデントに対応する専門組織CSIRTの成熟度は54.76点で、国による差もある。重要インフラの各分野でも対策の進み方が異なり、ENISAはAIが攻撃にさらされる度合いの差を拡大させる可能性を指摘した。国全体の評価と、現場の対応能力を併せて見ることが必要となる。^[1]

提言は、制度の実効的な運用、危機時の対応能力、重要インフラの備え、供給網と国境をまたぐリスク、人材・教育の5分野である。複数の加盟国で事業を行う組織が制度へ対応しやすい環境と、危機時に関係者が情報を共有して連携できる体制を求めている。企業が読む際は、自社の拠点が属する分野と、その拠点を支える取引先・対応組織の関係から、提言が自社業務に関わる箇所を確認できる。^[1]

なぜ今なのか：AIが脆弱性発見と悪用を加速

AIは、攻撃側と防御側の双方の能力を増幅させる。ENISAは、モデルの進化が脆弱性の発見と悪用を速め、発見の大規模化によって処理能力の向上が必要になったと説明する。脆弱性を見つける活動が広がれば、受け付けた情報の確認や関係者との調整を担う組織にも対応が求められる。発見の速度と、対応を進める能力をそろえることが今回の課題である。^[1]

制度面では、脆弱性の情報公開を関係者間で調整するCVDの国家方針を持つ国が、2024年以降、7か国から17か国へ増えた。ENISAは、この進展と併せて、AIによる発見の大規模化に対応できる能力の改善を挙げている。政策の整備が進む中で、次に問われるのは、寄せられる脆弱性情報を実際の対応へつなげる運用である。供給網の各段階で、安全な開発から運用まで一貫した対策を組み込むよう求めている。^[1]

重要インフラでは、規制への対応がセキュリティ投資の主な動機だと答えた組織が70%だった。一方で、各分野の業務の実態には差があり、古い設備や仕組みの制約、供給網のリスク、AIを使った脅威の速度と規模を踏まえる必要がある。ENISAが示す方向は、分野の重要性に応じて備えを高めることである。投資を検討する企業も、現場の設備と運用条件を確認したうえで、対応が滞りやすい業務を把握したい。^[1]

日本の企業にとって何が変わるか：EU拠点と取引先の連絡体制を点検

EUに拠点や取引先を持つ日本企業では、ENISAが重視する情報共有と供給網管理を、自社の連絡体制の点検に使える。まず、現地拠点で受けた脆弱性情報を誰が確認し、日本側の製品・システム担当へどう伝えるかを確認したい。現地の対応組織や提供元と調整する担当も合わせて整理する。これは、迅速な情報共有と関係者の連携という提言を、企業の実務へ当てはめた確認事項である。^[1]

供給網については、自社の開発と運用に加え、外部の製品やサービスに依存する業務を対象にする。ENISAは国境をまたぐ依存関係の重要性が増し、その影響が技術面を超えて広がると指摘している。この観点から、企業では、取引先から受け取る情報が自社のどの業務に関係するか、対応の判断を誰が担うかを確認するとよい。依存する相手と、社内で判断する担当者を対応させることで、提言を自社の確認項目にできる。^[1]

危機時の体制も点検対象となる。2025年のEUの危機対応計画は、より組織的な協力の基礎を整えたが、ENISAは関係者の参加、対応能力、情報共有には改善が必要だとしている。日本企業にとっては、EUの拠点内の連絡から本社や取引先との調整まで、関係者が協力できる範囲を具体的に確かめる材料になる。複数国で操業する場合は、それぞれの拠点の担当者と利用できる連絡先を確認したい。^[1]

まとめ：脆弱性情報を対応へつなげる担当を確認

今回の報告は、EUの対策が全体として進展する中で、AIによる脅威の速度と規模に応じて運用能力を高める方向を示した。脆弱性公開の国家方針を持つ国の増加と、分野・国ごとの対応能力の差が併存している。企業側では、自社が依存する設備・製品と情報共有の体制を合わせて確認し、脆弱性の発見後にどこで対応を判断するかを整理することが実務上の出発点となる。^[1]

長期的には、ENISAは意識向上、教育、人材の採用と定着、継続的な学び直しの均衡も求める。AIの影響を考慮しながら、制度の運用と現場の対応を担う人材を確保していく考え方である。EU関連事業を持つ日本企業は、設備や製品への投資と併せて、連絡・判断・調整を担う人員の備えを確認したい。担当組織と必要な能力を具体化することで、次に見直す体制や教育の対象を検討できる。^[1]