サイバー対処能力強化法が一部施行 基幹インフラ258事業者に報告義務

何が公表されたのか

国家サイバー統括室は2026年10月1日、サイバー対処能力強化法と同整備法のうち、「官民連携の強化」と「アクセス・無害化措置」の規定が施行されたと発表しました。両法は政府が掲げた「能動的サイバー防御」を制度にするものです。もう1つの柱である通信情報の利用は2027年秋に施行されます。

施行の前日の9月30日には、サイバー安全保障担当大臣が出席して関係省庁会議が開かれ、準備の状況と今後の取り組みを確認しています。

基幹インフラ事業者の義務

対象は電力、水道、通信、金融など15分野の258事業者です。義務の対象になるのは、「特定重要電子計算機」と呼ばれる機器やシステムです。

10月1日から、対象のコンピューターでマルウェアの実行や不正アクセスなどのサイバーインシデント、またはその原因になりうる事象を認知したら、事業所管の大臣と内閣総理大臣に報告します。導入済みの機器は製品名などを2027年3月までに事業所管大臣へ届け出ます。新しく入れる機器は導入から4か月以内です。

国は届け出られた資産と、未公表のものも含む脆弱性の情報を突き合わせ、該当する事業者にだけ個別に注意を促します。資料は、AI で速まる脆弱性の悪用への対抗にもなるとしています。報告された事故の技術情報は、ほかの事業者への被害を抑えるために共有しますが、対処中の被害組織への配慮が前提です。

協議会と無害化措置

官民で情報を共有する協議会には、基幹インフラ事業者を中心に約100組織が入る予定です。国が入手した脅威情報は、できるだけ早く出所などを伏せて提供します。秘匿度の高い情報は秘密に指定し、1対1や特定のメンバーだけの場で渡します。情報を広く共有するための「協議会フレンズ」という枠組みもあり、こちらには伏せた情報を出します。

アクセス・無害化措置は、重大な危害のおそれがあるなどの要件を満たすときに、攻撃に使われているサーバーなどにアクセスし、不正なプログラムを止めたり消したりするものです。統括室の資料では、事前に独立機関のサイバー通信情報監理委員会へ承認を申請する手続きを、関係省庁との共同訓練で何度か仮想的に行ったとしています。防衛研究所の解説によると、警察が行うときは原則として事前に承認を受け、攻撃元が外国の機器なら外務大臣との事前協議が必要です。

統括室は警察庁や防衛省・自衛隊と情報を集めて分析する体制を強め、対処のしかたを検討する局長級の体制も立ち上げました。対処の例には、注意喚起、テイクダウン、パブリック・アトリビューション、アクセス・無害化措置を挙げています。

同じ日に動いたもの

10月1日には重要インフラ全体の水準を上げるための「重要インフラ統一基準」も施行されました。国家サイバー統括室は関係する法令を Q&A の形で説明するハンドブックの Ver.3.0 も2026年10月に公開しました。PDF 版のみで、HTML 版は今後作る予定とされています。

中小企業との関わり

義務を負うのは258事業者で、中小企業が直接の対象になるわけではありません。ただ、対象の事業者にシステムや機器を納めている会社は、事故の連絡や使用している製品の情報の提供を、取引先から求められる可能性があります。