非EUクラウドまたはSaaS事業者はGDPRとNIS2代表者の両方が必要？

• GDPR第27条とNIS2第26条は非EUクラウド/SaaS事業者に両方適用されることが多い
• GDPRは規模の下限なし；NIS2はクラウド/CDN/DNSに規模問わず適用
• REP27、EU Presence、DataShield Guardian、Regingadaが両方のサービスを提供
• 公表価格は大きく異なるため、内容を必ず確認すること
• 違反時の罰金は最大1,000万ユーロまたは売上高の2％（GDPR）に達する可能性あり
• 任命手続き、除外事項、隠れた費用は業者によって異なる

更新日 2026年11月3日 · 8 件の出典を確認

サービス比較表

価格は各社のウェブサイトに2026年11月3日時点で掲載されたもので、特記なき限り税抜です。各行に出典へのリンクがあります。

法的要件：GDPR第27条とNIS2第26条

非EUのクラウドおよびSaaS事業者がEUにサービスを提供する場合、二つの異なる法的義務があります：

• GDPR第27条代表者: EUの個人に商品やサービスを提供するか監視する非EUの管理者または処理者はEU代表者を任命しなければなりません。SaaSやクラウド事業者も対象で、B2BサービスでもEU個人のデータを処理する場合は適用されます。規模の下限はありません。(GDPR第27条)
• NIS2第26条代表者: クラウド、DNS、CDN、マネージドサービス、マーケットプレイス、ソーシャルプラットフォームの非EU事業者は、サービスを提供するEU加盟国に代表者を指定しなければなりません。NIS2の他の義務とは異なり、規模や売上に関係なくこれらの特定のデジタルサービスに適用されます。(NIS2第26条)

これらの要件は累積的です。GDPR代表者を任命してもNIS2の義務は免除されず、その逆も同様です。両代表者はEU当局および影響を受ける個人の連絡窓口として機能しますが、異なる法的枠組みと報告義務を担います。例えば、NIS2は2025年1月までのインシデント報告と当局への登録を義務付けていますが、GDPRはデータ保護とデータ主体の権利に焦点を当てています。

代表者の任命を怠ると厳しい罰則が科されます。GDPR違反は最大1,000万ユーロまたは売上高の2％の罰金が科される可能性があります。NIS2では代表者を指定していても加盟国は非EU事業者に直接執行措置を取ることができます。したがって、代表者の任命だけでなく、当局との継続的な協力と対応が求められます。

まとめると、非EUのSaaSおよびクラウド事業者は、自社の活動がいずれかまたは両方の義務を引き起こすか慎重に評価し、必要に応じて両方の役割をカバーできるプロバイダーを選択する必要があります。

選び方：非EU事業者向け意思決定マトリックス

適切な代表者を選ぶには、ビジネスモデル、サービスの性質、顧客層を考慮する必要があります。以下のマトリックスは状況別に必要な代表者を示しています：

実務的な指針：

• データフローを見直す：EU居住者の個人データを処理する場合、GDPRが適用されます。
• デジタルサービスを評価：クラウド、CDN、DNS、マネージドサービスをEUに提供する場合、個人データの有無にかかわらずNIS2が適用されます。
• マーケットプレイス：AmazonやeBayで物理商品だけ販売し、EU個人データを処理せずデジタルサービスを提供しない場合は、製品責任者が必要で、GDPRやNIS2代表者は不要です。
• EU設立：既にEUに拠点がある場合、非EU親会社の代理でない限りこれらの義務は適用されません。

GDPRとNIS2の両方をカバーするプロバイダーを選ぶと、コンプライアンスが簡素化され、管理負担が軽減され、当局との一貫した連絡が可能になります。必ず両方の義務に対応できるか確認し、価格やサービス内容をチェックしてください。

価格に含まれる（および含まれない）内容

GDPRとNIS2代表者の公表価格は大きく異なります。各プロバイダーが基本料金に何を含み、何に追加料金が発生するかを理解することが重要です。以下は比較概要です：

プロバイダーの主な特徴：

• REP27: GDPRとNIS2代表者、証明書、公的検証、複数役割の単一契約を提供。GDPRは年額290ユーロから、NIS2は要問い合わせ。任命はEurope Services SE（EU）が署名し、検証可能な証明書が付属。(ソース)
• EU Presence: GDPRは月額127ドル、NIS2は月額327ドル（価格はソースページで確認済み）。インシデント報告ワークフローと全27EU加盟国対応を含む。(ソース)
• DataShield Guardian: フルプレゼンスプランは年額12,000ドルからで、GDPR、NIS2、AI法代表者、管理DPO、コンプライアンス支援を含む。(ソース)
• Regingada: GDPRは年額490ユーロから、NIS2は要問い合わせ。文書化された転送、期限管理を提供し、ドイツ拠点。(ソース)

詳細な見積もりと契約書を必ず依頼してください。多くの業者はインシデント毎の料金、当局対応費用、更新費用など全ての追加料金を公開していません。契約前にこれらの点を確認しましょう。

隠れた費用とプロバイダーが通常言わないこと

代表者の年間または月額料金を広告していますが、重要な詳細が公開資料に含まれていないことがあります。購入者は潜在的な隠れた費用や除外事項を認識しておくべきです：

• 解約通知期間：上記のいずれのプロバイダーも最低契約期間や解約通知期間を明示していません。契約書で必ず確認してください。
• リクエスト・インシデント毎の料金：インシデント報告や当局対応に追加料金が発生する場合がありますが、公開されていません。料金表を求めましょう。
• 責任制限：罰金や損害賠償に関する責任制限や除外条項は公開されていません。契約前に確認してください。
• サービス除外：一部プロバイダーは全ての当局対応やインシデント管理、証明書更新を基本料金に含めていない場合があります。例としてRegingadaはNIS2代表者を要問い合わせで提供し、インシデント報告の詳細は非公開です。DataShield GuardianはDPOや支援を含みますが、対応時間やインシデントの種類に制限があるかもしれません。
• 検証と文書化：REP27は公的証明書と検証コードを提供し、当局やマーケットプレイスへのコンプライアンス証明に役立ちます。全てのプロバイダーがこの機能を提供しているわけではありません。

プロバイダーが通常言わないこと：

• 全ての当局リクエストに対応するか、複雑なケースで追加料金がかかるか
• 料金に継続的なコンプライアンス助言が含まれるか、法的任命のみか
• インシデント報告や当局対応の処理速度
• 契約の自動更新の有無と条件

予期せぬトラブルを避けるため、必ず契約書全文を請求し、含まれるサービスと除外事項の詳細、緊急時の対応手順を明確にしましょう。

任命の流れ：ステップバイステップ

GDPRおよび/またはNIS2代表者の任命には具体的な手順があります。代表者が適切に権限を持ち、EU当局への対応準備が整うよう設計されています。REP27を例に一般的な流れを説明します：

1. 義務の評価：上記の意思決定マトリックスを使い、GDPRおよび/またはNIS2代表者が必要か判断します。EU向けのデータ処理やデジタルサービスを確認。
2. プロバイダー選択：公表価格、含まれるサービス、評判を比較。両方の義務に対応可能か確認。
3. 会社情報提出：会社の法的情報、サービス内容、EU顧客・ユーザー情報を提供。REP27は人手での審査用にファイル提出が必要。
4. プロバイダー審査：情報の完全性と正確性を確認。REP27は通常24営業時間以内に完了。
5. 任命と署名：プロバイダーの法定機関が任命書に署名し、正式に代表者を指定。REP27は署名済み証明書、QRコード、検証コードを発行。
6. 書類受領：署名済み任命書、証明書、プライバシーポリシーやウェブサイト用の文例を受け取る。これらは当局や顧客、マーケットプレイスへのコンプライアンス証明に必須。
7. 法的通知の更新：プライバシーポリシーやウェブサイトを更新し、NIS2の場合は代表者連絡先を該当国の当局に登録。NIS2は2025年1月までに登録が必要。
8. 継続的な協力：インシデント報告、当局リクエスト、コンプライアンス更新のため代表者と連絡を維持。緊急通知や対応時間を理解。

購入者向けチェックリスト：

1. EU個人データを処理しているか、EU向けクラウド/デジタルサービスを提供しているか確認。
2. GDPRとNIS2の両方が適用されるかチェック。
3. 必要な会社書類とサービス説明を準備。
4. プロバイダーに詳細見積もりと契約書を依頼し、追加料金を確認。
5. 契約条件（解約通知期間、責任制限など）を精査。
6. 代表者を任命し、書類を受け取る。
7. プライバシーポリシーを更新し、必要に応じて当局に登録。
8. インシデント報告や当局対応の社内プロセスを整備。

これらの手順を踏むことでEUの法的要件を満たし、高額な執行措置を回避できます。

リスク、罰金、執行

GDPR第27条やNIS2第26条に違反すると、非EUのクラウド・SaaS事業者は重大な法的・財務リスクにさらされます。これらのリスクを理解することは適切な意思決定に不可欠です：

• GDPR：代表者未任命は違反であり、最大1,000万ユーロまたは世界売上高の2％の罰金が科される可能性があります。これらは他のGDPR違反の罰則に加算されます。EU当局はサービスのブロックや違法処理データの消去を命じることもあります。
• NIS2：加盟国は代表者未任命の非EU事業者に対し直接執行措置を取る権限があります。調査、サービス遮断、行政罰などが含まれます。代表者は執行から事業者を保護しませんが、当局の連絡窓口となります。
• 登録期限：NIS2は2025年1月17日までに代表者連絡先を該当国当局に登録することを義務付けています。未登録は即時のコンプライアンス措置を招きます。
• インシデント報告：NIS2対象事業者は重大なセキュリティインシデントを速やかに報告しなければなりません。遅延や未報告は追加の罰則や評判の損失を招きます。
• 評判リスク：公的な執行措置やサービス遮断はブランドイメージを損ない、特にプライバシー・セキュリティに敏感なEU市場で顧客信頼を失う恐れがあります。

これらのリスクを軽減するには、適格な代表者を任命し、最新の文書を維持し、インシデント対応や当局対応の明確な社内プロセスを確立してください。コンプライアンス状況を定期的に見直し、代表者情報を更新しましょう。

現実的なシナリオ：適用例と最も簡単な対応策

以下はルールの適用例と、それぞれの最もシンプルなコンプライアンス手順を示す3つの実務的シナリオです：

• シナリオ1：米国のSaaS企業がEU顧客向けにB2BおよびB2Cサービスを提供
  義務：GDPR第27条とNIS2代表者の両方が必要。EU個人データを処理し、クラウドサービスを提供しているため。
  対応策：両方の役割をカバーするプロバイダー（例：REP27）を任命。プライバシーポリシーに代表者情報を記載し、NIS2該当当局に登録。インシデント報告や当局対応の社内手順を整備。
• シナリオ2：中国のAmazon販売者がEUに物理商品だけを輸出
  義務：製品安全のための製品責任者が必要。EU個人データを処理したりデジタル/クラウドサービスを提供しない限り、GDPRやNIS2代表者は不要。
  対応策：製品責任者を任命し、製品ラベルや文書を整備。デジタルサービスやデータ処理があれば別途義務を確認。
• シナリオ3：英国のオンラインショップがEU消費者に販売
  義務：EU個人データを処理する場合はGDPR代表者が必要。NIS2はクラウドやデジタルサービスを提供しない限り適用されない。
  対応策：GDPR代表者（例：REP27）を任命し、プライバシーポリシーを更新。デジタルサービスがあればNIS2代表者の必要性を確認。なければNIS2対応は不要。

これらのシナリオは、義務がビジネスやサービスの性質によって異なることを示しています。必ず詳細な評価を行い、GDPRとNIS2両方の代表者に経験のあるプロバイダーに相談してください。