「サイバー対処能力強化法」10月1日施行で何が変わるのか。約257社に課される新しい義務を確かめる

まず初めに

「重要インフラを守るための法律」と聞くと大げさに構えたくなるが、中身は意外と地味で、要は「うちのシステムはこういう会社のこういう製品を使っています」と国に届け出て、何かあったら報告してください、という宿題が約260社に配られただけの話だ。宿題を出さない、あるいは出しても答え合わせをサボると罰金という、学校よりよほど分かりやすい仕組みではある。派手な監視強化のイメージだけが先行しがちだが、まずは名簿と連絡網を整えるところから始まる、地に足のついた話だと捉えたほうがよさそうだ。※個人の感想です

何が起きているのか

「重要電子計算機に対する不正な行為による被害の防止に関する法律」(通称:サイバー対処能力強化法)は2025年5月23日に公布された法律です。この法律の施行期日を定める政令(政令第46号)により、法律の本則部分が2026年10月1日に施行されることになりました。

対象となるのは、電力・ガス・通信・放送・水道・金融・航空・鉄道・物流・化学・クレジット・石油・港湾・行政サービス・医療など15業種、あわせて約257社です。これらの事業者は「基幹インフラ事業者」に指定され、業務の根幹に関わる情報システムを「重要電子計算機」として扱うことが求められます。

10月1日の施行にあわせて始まる主な義務は2つです。1つは、重要電子計算機について、導入しているベンダー名や製品型番などのシステム構成情報を、あらかじめ政府に届け出る「資産届出」の義務です。もう1つは、不正アクセスなどのサイバー攻撃を受けた際に、事業所管大臣や内閣総理大臣へ報告する「インシデント報告」の義務です。届出義務に違反した場合は、監督官庁の大臣から是正命令が出され、それでも従わない場合は200万円以下の罰金が科されるとされています。

なお、政府機関が民間事業者の通信情報を取得・活用する仕組みなど、法律の一部の規定(第3章から第7章)については、今回の10月1日施行の対象には含まれておらず、公布から2年6か月以内(2027年11月22日まで)に別途政令で施行期日が定められる予定です。

なぜ重要なのか

今回の施行が重要なのは、これまで各事業者の自主的な取り組みに委ねられがちだった「システムの構成を国が把握する」「攻撃を受けたら報告する」という対応が、初めて法的な義務として整備される点です。基幹インフラを狙うサイバー攻撃が国内外で相次ぐ中、政府が個々の事業者の状況を横断的に把握できるようにすることは、被害の早期発見や、業種をまたいだ注意喚起につながる可能性があります。

一方で、対象となる約257社に直接の義務が課されるだけでなく、それらの事業者と取引のある中小のITベンダーや委託先企業にも、間接的な影響が及ぶ可能性が指摘されています。基幹インフラ事業者が、自社の取引先に対してもセキュリティ対策の証明や、一定の基準を満たすことを求めるようになる可能性があるためです。

私たちへの影響

今回の義務を直接負うのは、電力・通信・金融など基幹インフラを担う大企業が中心であり、一般の利用者が直接何かの手続きをする必要はありません。ただし、電力・通信・金融といった生活に欠かせないインフラのシステムについて、事故や攻撃が発生した際の報告体制が整うことは、間接的に利用者の安心材料になり得ます。

中小のIT関連事業者にとっては、基幹インフラ事業者との取引条件として、セキュリティ対策の状況を確認されたり、一定の対応を求められたりする場面が今後増える可能性があります。取引先が基幹インフラ事業者に該当するかどうかを確認しておくことが、今後の実務上のポイントになりそうです。

初心者が知っておくべきこと

重要インフラじゅうようインフラとは、電力・ガス・水道・通信・金融・交通など、社会生活や経済活動の基盤となるサービスのことです。これらのサービスを提供するシステムが攻撃を受けて止まってしまうと、利用者の生活や他の産業にも広く影響が及ぶため、一般の企業システムよりも高い水準のセキュリティ対策が求められています。

今回の法律で新設される「資産届出」の「資産」とは、企業が保有するサーバーやソフトウェアなど、システムを構成する機器・製品の情報を指します。どのベンダーの、どの製品を、どこに使っているかを政府があらかじめ把握しておくことで、特定の製品に深刻な脆弱性が見つかった際に、影響を受ける事業者へ迅速に連絡できるようにする狙いがあるとされています。

よくある質問

Q. 自分の勤務先が対象になるかどうかは、どこで確認できますか。 A. 対象となるのは、電力・ガス・通信・水道・金融・航空など15業種の「基幹インフラ事業者」に指定された約257社です。今回確認した出典の範囲では、個別の事業者名までは公表されていないため、自社が対象かどうかは、所管省庁からの通知や、業界団体を通じた案内で確認することになるとみられます。

Q. 対象企業以外は今回の法律と無関係ですか。 A. 直接の届出・報告義務を負うのは基幹インフラ事業者ですが、その取引先やITベンダーにも、セキュリティ対策の状況確認などを通じて間接的な影響が及ぶ可能性があると指摘されています。基幹インフラ事業者と取引がある企業は、今後の動向を確認しておくとよさそうです。

IT Postの見方――地味な届出制度こそ、効いてくる

IT Postでは、監視や規制の強化というと身構えられがちな中で、今回の制度が「まずは何を使っているか届け出て、何かあったら報告する」という、実務的で地味な仕組みから始まる点を評価します。派手な取り締まりよりも、平時からの情報把握の積み重ねの方が、実際の被害防止には効いてくることが多いからです。一方で、約257社という直接対象の外側にいる中小事業者にまで、取引先を通じた対応の波が広がっていく可能性がある以上、この法律は「大企業だけの話」では済まなくなる余地を残していると、IT Postでは考えます。※個人の感想です

今後どうなりそうか

2026年10月1日に法律の本則と資産届出・インシデント報告の義務が施行される一方、政府機関が通信情報を取得・活用する仕組みを定めた規定(第3章から第7章)は、2027年11月22日までの間に別途政令で施行期日が定められる予定です。今回確認した出典の範囲では、資産届出やインシデント報告の具体的な運用ルールの詳細までは明らかになっていません。IT Postでは、制度の運用状況について、続報があれば改めて取り上げます。