欧州の NIS2 の時計はすでに動き始めている：5 分間隔の SNMP ポーリングが 24 時間の期限に間に合わない理由

NIS2の24時間早期警告タイマーは、重大インシデントを認識した瞬間に始動します。ネットワーク監視がいまだ5分ごとにデバイスカウンターをポーリングしている場合、NOCの誰かがイベントを確認する前に、すでにタイマーは動き出しています。この規制のケイデンスとテレメトリのケイデンスの間隙こそ、いかなるダッシュボードでも解消できないNIS2コンプライアンスの領域。

当社が主張しないこと

規制の解説や技術的な論拠に入る前に、まず率直な前提を示します：

NIS2が実際に要求するもの

NIS2 は、欧州連合の第二世代のネットワークおよび情報セキュリティ指令(Directive (EU) 2022/2555)。2016 年の当初版を置き換え、全 27 加盟国にわたり調和されたサイバーセキュリティの基準を設定。国内規則は 2024 年 10 月 18 日から適用。指令は約 16 万のエンティティを対象に含み、ティア 1 キャリアに加え、地域 ISP、IXP、ソブリンクラウドおよびデータセンター事業者、MSSP、トラストサービスプロバイダーを対象。これらすべてが同一のコンプライアンス範囲内に位置し、同一の報告時計が適用。

多くの事業者は、認識を起点とする 24 時間の時計が実際に何を意味するのかを十分に理解していないのが実情。テレメトリの議論に入る前に、その時計がどのようなものかを示す。

ここで少し立ち止まる価値があります。5分間隔のSNMPサイクルが最初の3つの状態を見逃したために、インシデントが実際にはT-90分に始まっていたと後から規制当局が判明したとしても、ポーリング周期が食い潰した時間を規制当局が返してくれることはない。

NIS2の対象となる事業者と、対応を怠った場合のコスト

ENISA estimates more than 160,000 entities fall under NIS2, against 10–15,000 under NIS1. The directive splits them into 不可欠エンティティ (Annex I: energy, transport, banking, health, water, digital infrastructure, ICT service management, public administration) and 重要エンティティ (Annex II: postal, waste, food, manufacturing of critical products).

IP Infusionの読者層のうち対象となるのは誰か

• Regional fibre ISPs, mobile and Open RAN operators: 不可欠、規模要件の適用除外。
• IXPs, data-centre and cloud providers (including sovereign cloud): 不可欠.
• トラストサービスプロバイダー：常に不可欠、規模の下限なし。
• MSP および MSSP：ICT サービス管理の下で必須エンティティ。

公衆電子通信、DNS、TLD、トラストサービスにおいては、規模のしきい値による免除は適用されず。

罰則、個人責任、そして報告タイマー

Article 34's €10M or 2% of turnover figure for essential entities (€7M / 1.4% for important entities) is the EU-wide 下限 that member states can exceed, not a cap; none have gone lower. Article 20 puts the obligation on named individuals at the management body, and Article 32(5)(b) lets regulators temporarily prohibit a CEO or legal representative from managerial functions until the breach is remediated. Article 33 extends the same enforcement to important entities; Germany codifies personal executive liability in Section 38(2) of the BSIG (the German IT Security Act). Article 23 anchors the reporting clock on awareness: 24-hour early warning, 72-hour incident notification, one-month final report.

ドイツは NIS2UmsuCG により国内法化を先導(2025 年 12 月 6 日に発効、29,500 を超えるエンティティ、移行期間なし)。イタリアとオーストリアは 2026 年 10 月までに完全施行に到達し、その他の大規模市場の多くは施行済みまたは策定中。執行はすでに開始：2026 年初頭時点で、BSI は対象エンティティに対して正式通知を発行し、ドイツはインシデント通知の遅延に関する手続きを開始し、フランスは正式な警告を発し、イタリアは分野別の検査を開始。売上高に基づく大規模な制裁金はまだ科されていないものの、GDPR と同様の段階的な強化が明確に進行中。

Article 21(2) lists ten minimum risk-management measures. The ones that drive this post are (b) incident handling, (f) policies to assess effectiveness of measures、および (d) supply chain security. The first two share a technical prerequisite most operators have not built: continuous, standards-based network telemetry. The third requires a supply chain you can actually inspect.

国内法制化されたNIS2管轄区域ですでに稼働中

While the incumbents publish NIS2 readiness whitepapers, European operators on OcNOS are already in production inside transposed jurisdictions. eww ITandTEL runs a sovereign MPLS backbone in Upper Austria on disaggregated 400G ZR+ hardware (essential-entity profile under Austria's NISG 2026). DIGI Group runs OcNOS for OLT aggregation in Romania, where the DNSC can verify the hardware and software substitution path. AnschlussWerk across DACH and ASOM-Net in Denmark run OcNOS in production under Germany's NIS2UmsuCG, the most aggressive regime in Europe. Three jurisdictions, three operators, one architectural shape. The rest of this post is the technical reasoning behind that shape.

ネットワークテレメトリこそがギャップである理由（そして業界が誤った解決策を売り込んでいる理由）

Your detection is only as fast as your telemetry. NIS2 never uses the word "monitoring" in its operative articles, and vendors have taken that as cover to frame the directive as a governance exercise. That framing does not hold up: Implementing Regulation (EU) 2024/2690 and ENISA's Technical Implementation Guidance v1.0 (26 June 2025) name network traffic monitoring, log management and anomaly detection outright for digital-infrastructure entities, and operators outside IR 2024/2690 scope face the same expectations through national transposition. Article 23's 24-hour clock leaves very little room once a five-minute SNMP cycle has eaten part of it.

SNMPでは負荷を支えきれない理由

3つの障害モード、いずれも24時間タイマーのもとで対応猶予を侵食します:

• ポーリング周期。 5分から15分の間隔は、あらゆるイベントの認知が最大で1サイクル分遅れることを意味します。1つのウィンドウ内で終息するボリューメトリックDDoSや、次のポーリング前に再収束するBGPの取り消しは、NMSからは見えません。それを下流からの苦情によって知ることになり、24時間の猶予のうち数時間をすでに消費した状態。
• 最終値のみのサンプリング。 ポーリング間にリンクが50回フラップしても、把握できるのは最終状態1つのみ。第23条の72時間通知と1か月の最終報告が求めるフォレンジックのタイムラインは、そもそも取得されなかったデータからは再構築が困難。
• 脆弱なトランスポート。 UDP/162経由のSNMPトラップは送りっぱなしです。コントロールプレーンのストーム時、まさにアラートが最も必要な瞬間に、トラップはネットワークが最初に破棄するものとなります。SNMPv1/v2cのコミュニティストリングはクリアテキストであり、トランジット機器におけるSNMPv3 USMの展開は依然として不均一。

事業者は、プロセスが十分に厳格であれば、SNMPを運用しながらでも指令の報告周期を満たすことは可能です。トレードオフは認知のレイテンシとフォレンジックの深度にあります。対応の猶予は本来可能なものより狭く、規制当局向けに再構築されるタイムラインはより薄いものとなります。

「コンプライアンスプラットフォーム」が見落としている点

主流のベンダー言説は、NIS2をSIEM、XDR、あるいはAIOpsの調達として扱います。プラットフォームそのもの（Cisco、Splunk、Dynatrace、その他）はその役割において優れていますが、それらが継承する取り込みモデルは自らの入力を超えることができません。オブザーバビリティプラットフォームはネットワークが供給したものを取り込むのみで、ネットワークが一度も報告しなかったものは検知できません。さらにGB単位の取り込み課金は、検知を有用にするテレメトリ量そのものにペナルティを課します。キャリアグレードのトランスポート、すなわち通信事業者のNIS2義務が実際に及ぶIXP、データセンター間接続、ソブリンクラウドのアンダーレイは、エンドポイントやペリメーターのスタックからはほぼ不可視。

持続的な解決策は、検知プレーンをネットワークOS自体へ、ベンダーニュートラルな形式で押し下げること。上位にどのロゴが乗ろうとも、物理は同じ。

ストリーミングテレメトリが実際に変えるもの

細部が重要:

• gNMIはHTTP/2上でgRPCを実行し、TLSをサポートし、定期カウンター向けのSampleモードと並行してON_CHANGEイベントのサブスクリプションを提供します。リアルタイムストリーミング。5分間隔のポーリングではありません。
• OpenConfig YANGは、ベンダー横断で単一のスキーマを提供します：/interfaces/interface/state/counters/in-discardsにある同一のXPathは、openconfig-interfacesを実装するあらゆるネットワークOS間で移植可能。エステート全体で単一のパーサー、その上で同一のアラートルールと同一の監査証跡を運用。
• TLSで保護されたトランスポート：gNMIセッションは、クリアテキストのコミュニティストリングではなく、X.509証明書で相互認証。

より詳細な技術的論拠は、2026年2月に次の記事で提示済み： ポーリングをやめ、ストリーミングを始める: SNMPがネットワーク可視性を損なう理由。NIS2は、それをアーキテクチャ上の選好から規制上の要件へと転換するものです。

オープンネットワーキングは、NIS2アーキテクチャが必要とするテレメトリ基盤を提供します

NIS2 には、事業者の報告体制の残り全体が依拠する 2 つの技術的要件： ネットワーク層の継続的な可視性 (Articles 21(2)(b/c/f/g) and, for digital-infrastructure entities, IR 2024/2690) and サプライヤーの透明性 (Article 21(2)(d)). The proprietary majors now all expose OpenConfig YANG and gNMI, so the gap is not about telemetry standards. It is about supply-chain layer count: a vertically-integrated chassis is one vendor across silicon, hardware, NOS and orchestration; a disaggregated stack splits the same network into independently sourceable layers, which is what makes the Article 21(2)(d) supplier assessment tractable.

This matters more as European operators move to IPoDWDM with 400G ZR+ optics と SR-MPLS / SRv6 in the core, where optical pre-FEC BER drift, segment-routing transitions and BFD session state are the early-warning signals SNMP cannot see fast enough to be useful.

後付けではない、ネイティブストリーミングテレメトリ

OcNOS exposes システムレベルのサブシステムとしてのgNMI, not a management overlay, with TLS-secured transport and OpenConfig YANG schemas. The properties that matter for NIS2:

• OpenConfig YANGデータモデルは、インターフェース、BGP、routing-policy、system、platformの各パスに対応します。標準化されたスキーマこそが、単一のアラートルールセットをマルチベンダーのエステートで機能させ続けるものです。それがなければ、各機器はそれぞれ固有のパーサー問題となります。
• 状態向けのON_CHANGEイベントストリーミングを備えたgNMI Subscribe、加えてカウンター向けの定期的なSampleモード。ポーリングではなくプッシュ。その差は機能比較マトリクスではなく、認知のレイテンシに現れます。
• BGP RPKI Origin Validationは、無効なBGPルートをデバイス上で拒否します。第21条(2)のより広範なネットワークセキュリティ義務に関連する、監査可能なプレフィックスハイジャック対策。
• sFlowのラインレートフローサンプリングをSKU全体で提供し、gNMIの状態・カウンターストリームを置き換えるのではなく、それと並存します。
• BMP route monitoring with BGP-LS topology export so a controller or SIEM sees every announce and withdraw, not just interface counters. Exactly the kind of state-transition record the 72-hour and 30-day reporting clocks expect.

分離化はサプライチェーンの透明性

第21条(2)(d)は、事業者に各直接サプライヤーのセキュリティ慣行の評価を求めます。実施規則(EU) 2024/2690はこれをコンポーネント単位の開示要求へと転換し、ENISAの2025年6月のガイダンスはこれを暗黙のSBOM義務と解釈しています。

モノリシックなシャーシは、事業者が内部から検査・監査・置換できない、単一の閉じた部品表です。ディスアグリゲート型スタック（EdgecoreまたはUfiSpaceのホワイトボックスハードウェア上のOcNOSで、EUではEPS Globalのようなインテグレーターを通じて調達）は、そのBOMを個別に調達可能なレイヤーへと分割し、各レイヤーはそれぞれ独自のSBOMを持ち、それぞれ独自のスケジュールで交換可能。ドイツの5G Toolboxのコスト（2026年末までに5GコアからHuaweiを排除、2029年末までにアクセスおよびトランスポートのネットワーク管理システムを排除）は、高リスクベンダーの指定が下された際に単一ベンダーのロックインがどのようなものになるかを示すものです。第21条(2)(d)は、トランスポート層の背後にあるサプライチェーンを検査できるかどうかに帰着します。この形のアーキテクチャは検査可能。垂直統合型は不可能。

上述のeww ITandTEL、DIGI、AnschlussWerk、ASOM-Netの導入事例は偶然ではありません。いずれも同じ4つの特性を共有します。事業者が監査可能なオープンハードウェア、初日からのネイティブストリーミングテレメトリ、複数年にわたる総入れ替えなしに高リスクベンダー指定を乗り切るサプライチェーン、そしてBSI、ANSSI、ACN、DNSCの審査者が実際に精査できる監査証跡。

NIS2 は、ベンダーから購入するチェックボックスではなし。物理的な制約に支配されるサプライチェーン監査。テレメトリ基盤の上位にあるダッシュボードは、その下位の基盤が更新する速度を超えてインシデントを検知することは不可能。

既存ベンダーが提供する統合コンプライアンスプラットフォームは、第21条(2)(d)が明るみに出すよう設計された供給者集中リスクをそのまま再現します。それを是正する立場としては、なんとも据わりの悪い位置。

IP Infusion について · IP Infusionは、分離型ネットワーキングソリューションのリーダー。OcNOSは、欧州、北米、APAC、EMEA全域のサービスプロバイダー、IXP、データセンター事業者、ソブリンクラウドプラットフォームによって本番環境で導入済み。詳細は次を参照： ipinfusion.com.