--- title: "能動的サイバー防御の法律と、企業への影響｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/active-cyber-defense-law/ description: "いわゆる能動的サイバー防御を進めるサイバー対処能力強化法は、官民の連携、通信情報の活用、アクセス・無害化の3つが柱です。2026年10月に始まった基幹インフラ事業者の届出と報告の義務と、ほかの企業への影響を整理します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # 能動的サイバー防御の法律と、企業への影響 いわゆる能動的サイバー防御を進めるサイバー対処能力強化法は、官民の連携、通信情報の活用、アクセス・無害化の3つが柱です。2026年10月に始まった基幹インフラ事業者の届出と報告の義務と、ほかの企業への影響を整理します。 2026.11.12 [AI・ITの動向](https://www.ameliatechnology.co.jp/blog/category/trends/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） AI・ITの動向（TRENDS）のコラム ## この記事の要点 - サイバー対処能力強化法は、官民の連携の強化、通信情報の活用、アクセス・無害化の措置の3つを柱に、段階的に施行されています。 - 2026年10月1日から、基幹インフラ事業者には、重要な電子計算機の届出と、サイバー攻撃などの事象を認知したときの報告が求められています。 - 基幹インフラ事業者でない会社にも、取引先としての協力の求めや、報告の様式の統一など、間接的な影響が及ぶと考えられます。 能動的サイバー防御とは、重大なサイバー攻撃を未然に防いだり、被害の拡大を防いだりするために、国が平時から情報を集め、必要な場合には攻撃に使われるサーバーなどに対処する考え方です。そのための法律（いわゆるサイバー対処能力強化法）は、官民の連携の強化、通信情報の活用、アクセス・無害化の措置の3つを柱にしています。2026年10月1日から、基幹インフラ事業者に対する届出と報告の義務などが始まっています。この記事では、2026年11月時点で公的な資料で確かめられたことを整理します。 ## どのような法律か 能動的サイバー防御を進める法律は、「重要電子計算機に対する不正な行為による被害の防止に関する法律」（新法）と、その施行に伴って関係する法律を改める「整備法」の2つから成ります。内閣官房が2025年2月に示した法案の概要では、次の内容が挙げられています。 | 柱 | 主な内容 | |---|---| | 官民の連携の強化 | 基幹インフラ事業者が、導入した一定の電子計算機を届け出て、インシデントを報告する。国は情報の共有と対策のための協議会を設け、脆弱性への対応も強める | | 通信情報の活用 | 協定や同意にもとづく取得と、同意によらない取得の仕組みを設ける。取得した情報は厳格に扱い、独立の機関が事前の審査と継続的な検査を行う | | アクセス・無害化の措置 | 重大な危害を防ぐため、警察が無害化の措置をとれるようにし、内閣総理大臣の命令により自衛隊が通信防護の措置をとれるようにする（整備法による改正） | 出典：[重要電子計算機に対する不正な行為による被害の防止に関する法律案等の概要（内閣官房、2025年2月）](https://www.cas.go.jp/jp/houan/250207/siryou1.pdf) 新法は2025年5月に成立し、同月23日に公布されました（令和7年法律第42号）。 出典：[重要電子計算機に対する不正な行為による被害の防止に関する法律（e-Gov 法令検索）](https://laws.e-gov.go.jp/law/507AC0000000042) 基本方針（「重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針」）は、2025年12月23日に閣議決定されています。 出典：[サイバー安全保障（内閣府）](https://www.cao.go.jp/cybersecurity/index.html) ## いつから、何が始まるのか 法律は段階的に施行されています。内閣官房国家サイバー統括室と内閣府が2026年9月に公表した資料によると、2026年10月1日に官民の連携の強化などが施行され、通信情報の活用は2027年秋以降とされています。同じ資料では、基幹インフラ事業者の報告が2026年10月1日に始まり、導入済みの電子計算機の届出の期限は2027年3月とされています。 出典：[サイバー対処能力強化法等の施行について（内閣官房国家サイバー統括室・内閣府、2026年9月）](https://www.cao.go.jp/cybersecurity/pdf/sekousetsumei.pdf) 施行の時期や、政令・命令の中身は今後も示されていくため、最新の情報は内閣府の「サイバー安全保障」のページで確かめることをおすすめします。自社が義務の対象に当たるかどうかの判断は、弁護士などの専門家にご確認ください。 サイバー対処能力強化法の施行の段階（2026年9月の公表資料） **2026年10月1日**：官民の連携の強化などが施行。基幹インフラ事業者の報告が始まる **2027年3月まで**：導入済みの電子計算機の届出の期限 **2027年秋以降**：通信情報の活用 時期や政令・命令の中身は今後も示されていくため、**最新の情報は内閣府のページで**ご確認ください。義務の対象に当たるかの判断は専門家にご確認ください ## 基幹インフラ事業者には、何が求められるか 基幹インフラ事業者には、重要な電子計算機の届出と、サイバー攻撃などを認知したときの報告が求められます。法律の上では「特別社会基盤事業者」と呼ばれ、届出は第4条、報告は第5条に定められています。同じ資料では、対象として15分野・258事業者の基幹インフラ事業者が挙げられています。 - **届出**：導入済みの特定重要電子計算機の製品名などを、事業を所管する大臣に届け出る。導入済みのものは2027年3月まで、新しく導入したものは導入から4か月以内に届け出る。届け出た事項は、所管の大臣から内閣総理大臣に通知される - **報告**：特定重要電子計算機で、マルウェアの実行や不正アクセスなどのサイバーインシデント、またはその原因となりうる事象を認知した場合に、所管の大臣と内閣総理大臣に報告する。2026年10月1日から始まっている 出典：[サイバー対処能力強化法等の施行について（内閣官房国家サイバー統括室・内閣府、2026年9月）](https://www.cao.go.jp/cybersecurity/pdf/sekousetsumei.pdf) 内閣府のページには、施行令や、特定侵害事象などの報告に関する命令、報告の様式などが掲載されています。報告の期限などの細かな定めは、これらの政令・命令と様式で確かめる必要があります。自社が対象に当たるかどうかや、義務の具体的な範囲の判断は、所管の省庁の案内を確かめたうえで、弁護士などの専門家にご確認ください。 ## ほかの企業には、どう影響するか 基幹インフラ事業者でない会社には、法律の届出と報告の義務は直接はかかりません。ただし、次のような形で間接的な影響が及ぶと考えられます。 - **取引先としての協力**：基幹インフラ事業者にシステムや機器、保守を提供している会社は、届出に必要な製品の情報や、事故のときの報告に必要な情報の提供を、取引先から求められることがある - **契約の見直し**：基幹インフラ事業者が委託先との契約を見直し、事故の連絡の期限や、調査への協力を求める項目を加えることがある - **報告の様式**：内閣府のページでは、サイバー攻撃を受けたときの報告の様式の統一についても案内されている。国への報告に関わる場面で、共通の様式が使われることが考えられる - **情報の共有**：国が集めた脅威や脆弱性の情報が共有されるようになれば、民間の対策の手がかりが増える可能性がある 取引先から求められたときにすぐ答えられるよう、自社が提供しているシステムと部品の一覧、事故のときの連絡の経路を整えておくと、慌てずに済みます。ソフトウェアの部品の一覧は[SBOM（ソフトウェアの部品表）とは。発注者が知っておきたいこと](https://www.ameliatechnology.co.jp/blog/sbom-software-inventory/)で、取引先を経由した攻撃への備えは[サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)で説明しています。 ## いま、企業が進めておきたいことは 法律の対象かどうかにかかわらず、いま進めておきたいのは、事故に気づき、記録し、報告できる体制を整えることです。 1. 自社のシステムと機器、インターネットに面したものを一覧にしておく 2. 事故が起きたときの連絡と判断の手順を決め、社外への報告の窓口をはっきりさせておく（[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)） 3. 何が起きたかを後から確かめられるよう、[ログ](https://www.ameliatechnology.co.jp/glossary/log/)を残しておく 4. 取引先との契約で、事故の連絡の期限と方法を決めておく（[委託先とのセキュリティの取り決め。契約に書いておくこと](https://www.ameliatechnology.co.jp/blog/outsourcing-security-clauses/)） 個人データの漏えいが起きた場合は、この法律とは別に、個人情報保護法にもとづく報告と本人への通知が求められることがあります（[個人データの漏えいが起きたら。委員会への報告と本人への通知](https://www.ameliatechnology.co.jp/blog/personal-data-breach-response/)）。どの制度で何を報告するかを一覧にしておくと、事故の場面で迷いにくくなります。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、インターネットに面したシステムの洗い出しや、事故が起きたときの連絡と手順の準備、ログの確認の運用づくりをご支援しています。夜間・休日の監視や専門的な調査は、外部の専門の会社と連携してお受けしています。自社の状態をおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。 - 能動的サイバー防御 - サイバーセキュリティ - 法律と制度 - 基幹インフラ ## この記事に出てくる用語 - [能動的サイバー防御](https://www.ameliatechnology.co.jp/glossary/active-cyber-defense/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) - [不正アクセス](https://www.ameliatechnology.co.jp/glossary/unauthorized-access/) - [SBOM（ソフトウェア部品表）](https://www.ameliatechnology.co.jp/glossary/sbom/) - [インターネット](https://www.ameliatechnology.co.jp/glossary/internet/) - [ログ](https://www.ameliatechnology.co.jp/glossary/log/) - [個人情報（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/personal-information/) ## 関連する法令・指針（参考情報） - 法令 重要電子計算機に対する不正な行為による被害の防止に関する法律第4条（特定重要電子計算機の届出） 特別社会基盤事業者は、特定重要電子計算機を導入したときは、製品名や製造者名などを事業を所管する大臣に届け出なければなりません。大臣は届け出られた事項を内閣総理大臣に通知します（施行の際に導入済みのものは、附則で施行の日から6月以内の届出とされています）。 令和7年法律第42号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/507AC0000000042) - 法令 重要電子計算機に対する不正な行為による被害の防止に関する法律第5条（特定侵害事象等の報告） 特別社会基盤事業者は、特定重要電子計算機に係る特定侵害事象や、その原因となり得る事象として主務省令で定めるものの発生を認知したときは、事業を所管する大臣と内閣総理大臣に報告しなければなりません。 令和7年法律第42号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/507AC0000000042) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [インボイス制度・電子帳簿保存法と、システムの対応](https://www.ameliatechnology.co.jp/blog/invoice-denchoho-systems/) - [AIのセキュリティに関する指針の要点。どの資料を何に使うか](https://www.ameliatechnology.co.jp/blog/ai-security-guidelines/) - [AIを使ったサイバー攻撃と、会社の備え](https://www.ameliatechnology.co.jp/blog/ai-era-cyber-attacks/) [AI・ITの動向のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/trends/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### AI開発の例を見る 帳票の読み取り、配車計画、需要予測、AIエージェントなど、お客様の社名を伏せ、業種で紹介しています。 [AI開発の例を見る](https://www.ameliatechnology.co.jp/works/ai/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「能動的サイバー防御の法律と、企業への影響｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/active-cyber-defense-law/