能動的サイバー防御の法律と、企業への影響

能動的サイバー防御とは、重大なサイバー攻撃を未然に防いだり、被害の拡大を防いだりするために、国が平時から情報を集め、必要な場合には攻撃に使われるサーバーなどに対処する考え方です。そのための法律（いわゆるサイバー対処能力強化法）は、官民の連携の強化、通信情報の活用、アクセス・無害化の措置の3つを柱にしています。2026年10月1日から、基幹インフラ事業者に対する届出と報告の義務などが始まっています。この記事では、2026年11月時点で公的な資料で確かめられたことを整理します。

どのような法律か

能動的サイバー防御を進める法律は、「重要電子計算機に対する不正な行為による被害の防止に関する法律」（新法）と、その施行に伴って関係する法律を改める「整備法」の2つから成ります。内閣官房が2025年2月に示した法案の概要では、次の内容が挙げられています。

出典：重要電子計算機に対する不正な行為による被害の防止に関する法律案 等の概要（内閣官房、2025年2月）

新法は2025年5月に成立し、同月23日に公布されました（令和7年法律第42号）。

出典：重要電子計算機に対する不正な行為による被害の防止に関する法律（e-Gov 法令検索）

基本方針（「重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針」）は、2025年12月23日に閣議決定されています。

出典：サイバー安全保障（内閣府）

いつから、何が始まるのか

法律は段階的に施行されています。内閣官房国家サイバー統括室と内閣府が2026年9月に公表した資料によると、2026年10月1日に官民の連携の強化などが施行され、通信情報の活用は2027年秋以降とされています。同じ資料では、基幹インフラ事業者の報告が2026年10月1日に始まり、導入済みの電子計算機の届出の期限は2027年3月とされています。

出典：サイバー対処能力強化法等の施行について（内閣官房国家サイバー統括室・内閣府、2026年9月）

施行の時期や、政令・命令の中身は今後も示されていくため、最新の情報は内閣府の「サイバー安全保障」のページで確かめることをおすすめします。自社が義務の対象に当たるかどうかの判断は、弁護士などの専門家にご確認ください。

基幹インフラ事業者には、何が求められるか

基幹インフラ事業者には、重要な電子計算機の届出と、サイバー攻撃などを認知したときの報告が求められます。法律の上では「特別社会基盤事業者」と呼ばれ、届出は第4条、報告は第5条に定められています。同じ資料では、対象として15分野・258事業者の基幹インフラ事業者が挙げられています。

• 届出：導入済みの特定重要電子計算機の製品名などを、事業を所管する大臣に届け出る。導入済みのものは2027年3月まで、新しく導入したものは導入から4か月以内に届け出る。届け出た事項は、所管の大臣から内閣総理大臣に通知される
• 報告：特定重要電子計算機で、マルウェアの実行や不正アクセスなどのサイバーインシデント、またはその原因となりうる事象を認知した場合に、所管の大臣と内閣総理大臣に報告する。2026年10月1日から始まっている

出典：サイバー対処能力強化法等の施行について（内閣官房国家サイバー統括室・内閣府、2026年9月）

内閣府のページには、施行令や、特定侵害事象などの報告に関する命令、報告の様式などが掲載されています。報告の期限などの細かな定めは、これらの政令・命令と様式で確かめる必要があります。自社が対象に当たるかどうかや、義務の具体的な範囲の判断は、所管の省庁の案内を確かめたうえで、弁護士などの専門家にご確認ください。

ほかの企業には、どう影響するか

基幹インフラ事業者でない会社には、法律の届出と報告の義務は直接はかかりません。ただし、次のような形で間接的な影響が及ぶと考えられます。

• 取引先としての協力：基幹インフラ事業者にシステムや機器、保守を提供している会社は、届出に必要な製品の情報や、事故のときの報告に必要な情報の提供を、取引先から求められることがある
• 契約の見直し：基幹インフラ事業者が委託先との契約を見直し、事故の連絡の期限や、調査への協力を求める項目を加えることがある
• 報告の様式：内閣府のページでは、サイバー攻撃を受けたときの報告の様式の統一についても案内されている。国への報告に関わる場面で、共通の様式が使われることが考えられる
• 情報の共有：国が集めた脅威や脆弱性の情報が共有されるようになれば、民間の対策の手がかりが増える可能性がある

取引先から求められたときにすぐ答えられるよう、自社が提供しているシステムと部品の一覧、事故のときの連絡の経路を整えておくと、慌てずに済みます。ソフトウェアの部品の一覧はSBOM（ソフトウェアの部品表）とは。発注者が知っておきたいことで、取引先を経由した攻撃への備えはサプライチェーンのセキュリティ。取引先を経由する攻撃への備えで説明しています。

いま、企業が進めておきたいことは

法律の対象かどうかにかかわらず、いま進めておきたいのは、事故に気づき、記録し、報告できる体制を整えることです。

1. 自社のシステムと機器、インターネットに面したものを一覧にしておく
2. 事故が起きたときの連絡と判断の手順を決め、社外への報告の窓口をはっきりさせておく（セキュリティ事故に備える、初動の手順書のつくり方）
3. 何が起きたかを後から確かめられるよう、ログを残しておく
4. 取引先との契約で、事故の連絡の期限と方法を決めておく（委託先とのセキュリティの取り決め。契約に書いておくこと）

個人データの漏えいが起きた場合は、この法律とは別に、個人情報保護法にもとづく報告と本人への通知が求められることがあります（個人データの漏えいが起きたら。委員会への報告と本人への通知）。どの制度で何を報告するかを一覧にしておくと、事故の場面で迷いにくくなります。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、インターネットに面したシステムの洗い出しや、事故が起きたときの連絡と手順の準備、ログの確認の運用づくりをご支援しています。夜間・休日の監視や専門的な調査は、外部の専門の会社と連携してお受けしています。自社の状態をおおまかに確かめたい場合は、無料のセキュリティの自己診断をお使いください。