SAP のコンプライアンスオファリング

SAPのJoule Agentsは、既存のエンタープライズコントロールの下で個別にプロビジョニングされたIDを使用して動作し、実行者、各自の権限範囲、実行されたアクションをすべて記録する完全な監査証跡を備えています。 エージェントは機能ごとにEU AI法のリスク分類フレームワークに照らして評価され、SAP SuccessFactorsの雇用関連機能における高リスクの判定も含まれます。

EU AI 法は、人工知能テクノロジーの開発と利用による健康、安全、基本的権利に対する潜在的なリスクに対処するために策定された包括的な新しい法律です。

C5 は、その中立性、範囲、簡潔性、およびテストの容易さによって、規制を受ける業界における内部監査と情報セキュリティ管理のための安定した基盤の認証基準として有効であることを示しました。

NIS2 は、重要インフラ (CI) プロバイダーのサイバーセキュリティフレームワークを調和させ、改善することを目的とした最新の EU 指令です。SAP は、自身が登録済み CI プロバイダーであることに加え、各プロバイダーが世界各国のサイバーセキュリティ規制に遵守できるようサポートしています。SAP はドイツの登録済み CI プロバイダー (KRITIS) であり、ドイツの管轄下にあります。SAP は、ドイツでの NIS2 指令草案の法制化の行方を注視しており、状況の進展に応じてさらなる最新情報を提供します。

SAP は、2025年11月17日に、欧州監督当局 (ESA) から重要な ICT サードパーティーサービスプロバイダー (CTPP) として正式な指定を受けました。この指定は、金融セクターのデジタルインフラをサポートする上で SAP が果たす重要な役割を評価するものです。CTPP として、SAP は ESA による直接的な監視の対象となり、オペレーショナルレジリエンスとリスク管理を強化しています。この指定により、金融サービスのお客様に対する透明性と信頼性が強化され、金融業界に ICT サービスを提供する上で SAP が最高水準のセキュリティと継続性を満たしていることが示されます。

欧州データ保護会議が支持し、ベルギーデータ保護当局が承認した EU クラウド行動規範により、クラウドサービスプロバイダーは GDPR 第 28 条およびその関連条項を遵守していることを実証できます。

サイバーレジリエンス法 (CRA) は、リモートデータ処理ソリューションを含め、デジタル要素を備えたソフトウェア製品やハードウェア製品のサイバーセキュリティレベルを、消費者および企業向けに向上させることを目的としています。SAP は、脆弱性の排除または軽減を目的として、こうした製品の計画、設計、開発、保守に関する必須のサイバーセキュリティ要件を実装する必要があります。製品は、適合性評価 (自己評価を含む) を受ける必要があり、適合が確認された場合は CE マーキングが付されます。CRA は 2024 年 12 月 10 日に発効しました。同法で導入された主な義務は 2027 年 12 月 11 日から適用され、報告義務は 2026 年 9 月 11 日から適用されます。

EU データ法 (2025 年 9 月 12 日施行) は、データのアクセスしやすさと可用性を高め、データ主導型イノベーションを促進し、データの利用機会を拡大することで、EU のデータ経済を強化し、競争力のあるデータ市場を育成することを目的としています。EU の 27 加盟国に適用される本法では、クラウドを利用するデータ処理サービスの顧客による、定められた通知期間内でのプロバイダーの切り替えが保証されています。

ドイツ連邦情報セキュリティ庁 (BSI) が策定した「IT-Grundschutz (IT 基本保護) 」は、技術的、組織的、インフラ的、および人的側面を等しく考慮した情報セキュリティ管理システム (ISMS) の構築手法です。SAP の情報セキュリティネットワークは、ドイツ国内での冗長化されたサービスや IT インフラの展開・運用の拠点となる、SAP 所有のデータセンター (ザンクト・レオン＝ロートおよびワルドルフ) の建物インフラの安全な運用をカバーしています。ドイツ連邦情報セキュリティ庁 (Bundesamt für Sicherheit in der Informationstechnik - BSI) は、OpenStack Barbican SCI に対して使用許可 (Einsatzerlaubnis) を付与しました。VS-NfD (Verschlusssache – nur für den Dienstgebrauch) は、BSI の機密保護ハンドブック (Geheimschutzhandbuch) に基づく、ドイツの官公庁・公共機関および高度なセキュリティが求められる分野で使用されるデータ分類です。

HDS (Hébergement de Données de Santé) は、フランス市民の個人医療データを保管・管理するサービスプロバイダーを対象とした認証制度です。フランスの保健システム近代化法 (法律第 2016-41 号) に基づいて設立されました。SAP の情報セキュリティ管理システム、特定のクラウドリージョン、および特定の SAP 事業所は、HDS 認証 (認証番号：HDS 817871 および HDS 754140) を取得しています。

国定セキュリティフレームワークは、組織によって処理される情報と提供されるサービスを適切に保護するために必要な基本原則と最低要件から構成されています。ENSコンプライアンスは、電子的手段により処理されるデータとサービスのアクセス、機密性、完全性、トレーサビリティ、信頼性、可用性、および保全を確保するのに役立ちます。

Cyber Essentials は、組織が一般的なサイバー脅威から自身を保護することを支援する、英国政府によって制定されたサイバーセキュリティ認証プログラムです。認証には以下の 2 つのレベルがあります。

1. Cyber Essentials (レベル 1) は、各組織が質問票に回答し、その回答を独立した認証機関が審査する自己評価です。
2. Cyber Essentials Plus (レベル 2) は、独立した認証機関による、対象となる IT システムの技術的監査です。