最新セキュリティマネジメント（第65回） 2026年10月施行「サイバー対処能力強化法」で何が変わる？ 基幹インフラの委託先・取引先となる中小企業が押さえたい4つの備え

　「能動的サイバー防御法」とも呼ばれる「サイバー対処能力強化法」の主要部分が、2026年10月1日に施行された。届出・報告の義務を直接負うのは国が指定した基幹インフラ事業者だが、その委託先・取引先である中小企業も、情報提供や対策強化を求められる可能性がある。同法の概要と、中小企業が今から取り組みたい備えを解説する。

サイバー対処能力強化法（能動的サイバー防御法）とは？ 4つの柱と施行時期

　サイバー対処能力強化法は、関係法律を改正する「同整備法」と共に2025年5月16日に成立した。正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」。攻撃を受けてから対処する従来型の「受動的防御」から、攻撃の未然防止を図る「能動的防御」への転換を、国レベルで進めるための法律だ。平時から国が民間と協力して情報を集め、必要なときには警察や自衛隊が攻撃元の無害化などの措置を講じる仕組みとなっている。

　背景にあるのはサイバー攻撃の増加だ。政府の説明資料「サイバー対処能力強化法及び同整備法について」によると、国立研究開発法人情報通信研究機構（NICT）が観測したサイバー攻撃関連の通信は、2024年に6862億パケットに達した。2015年の632億パケットから約11倍に増えている。

　同法には「官民連携の強化」「通信情報の利用」「アクセス・無害化措置」「組織・体制の整備」の4つの柱があり、施行時期は柱ごとに異なる（表1）。

表1　サイバー対処能力強化法の4つの柱と施行時期

柱	主な内容	施行時期
官民連携の強化	基幹インフラ事業者による届出・報告、情報共有・対策のための協議会の設置、脆弱性対応の強化	2026年10月1日
通信情報の利用	攻撃サーバーなどを検知するための、政府による通信情報の取得・分析	2027年11月まで （予定）
アクセス・無害化措置	警察・自衛隊による攻撃サーバーなどへの無害化措置	2026年10月1日
組織・体制の整備	国家サイバー統括室の設置、内閣サイバー官の新設、サイバー通信情報監理委員会の設置など	2025年7月1日ほか （施行済み）

出典：内閣官房国家サイバー統括室・内閣府政策統括官（サイバー安全保障担当）「サイバー対処能力強化法及び同整備法について」を基に編集部作成

基幹インフラ事業者に課される「届出」と「報告」の義務

　このうち中小企業にも深く関係しうるのは、1つ目の「官民連携の強化」だ（理由は後述）。電気・ガス・金融など15分野の「基幹インフラ事業者」（経済安全保障推進法に基づき国が指定した事業者。法律上は「特別社会基盤事業者」）は、2026年7月1日時点で258者ある。これらの事業者は国に対して、「重要なコンピューターの導入について届け出る義務」と「インシデントを報告する義務」を負う。2つの義務の詳細は、政府の解説書「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説」にまとめられている。

　「重要なコンピューターの導入について届け出る義務」とは、同法でいう「特定重要電子計算機」を導入したとき、製品名などを原則として導入日から4カ月以内に事業所管大臣へ届け出る義務だ。施行時点で導入済みの機器は、2027年3月31日までに届け出る必要がある。「特定重要電子計算機」とは、セキュリティが害されると特定重要設備（経済安全保障推進法で指定された重要な設備）の機能が停止・低下するおそれのあるコンピューターをさす。

　もう1つの「インシデントを報告する義務」は、不正アクセスなどで「特定重要電子計算機」のセキュリティが害されたときや、その原因となりうる事象を認知したときに生じる。報告先は事業所管大臣と内閣総理大臣だ。報告は速報と詳報の2段階で、主務省令は速報を「速やかに」行うよう定めている。解説書は、ランサムウエアなどの事案では認知した日から3～5日以内（DDoS攻撃は可能な限り速やか）を速報の目安とし、詳報は30日以内としている。

　その他、「情報共有・対策のための協議会の設置」や「脆弱性対応の強化」などが、官民連携の強化として新法で定められている。

残る3つの柱：通信情報の利用、アクセス・無害化措置、組織・体制の整備

　「通信情報の利用」は、攻撃サーバーなどを検知するために、政府が通信情報を取得・分析する仕組みだ。独立機関「サイバー通信情報監理委員会」の監督の下で運用され、2027年11月までに施行される予定だ。

　「アクセス・無害化措置」は、サイバー攻撃による重大な危害を防止するために、警察や自衛隊が攻撃元のサーバーなどを無害化する仕組みだ。警察は、攻撃に使われているサーバーの管理者に措置を命じる権限も持つ。中小企業に直接の義務はないが、自社のサーバーが乗っ取られて攻撃の踏み台にされれば無関係ではいられない。

　「組織・体制の整備」は、政府を挙げた取り組みを推進するための組織づくりをさす。2025年7月には、内閣サイバーセキュリティセンター（NISC）を改組した司令塔「国家サイバー統括室」が内閣官房に発足した。前述のサイバー通信情報監理委員会も、2026年4月に設置されている。

直接の義務がない中小企業にも影響が及ぶ理由

　前述の2つの義務を負うのは、基幹インフラ事業者に限られる。しかし解説書によると、基幹インフラ事業者が事業に使っていれば、システムベンダーなど他組織が所有する機器も「特定重要電子計算機」に該当しうる。つまり、委託先が管理する機器が侵害された場合も、基幹インフラ事業者の報告対象になりうるのだ。そのため、基幹インフラ事業者が義務を果たすには、委託先などの対策状況や連絡体制も把握しておく必要がある。

　把握の対象は、基幹インフラ事業者が用いるシステムの開発・納入元や部品供給元、運用保守の委託先、クラウドサービスの提供元などだ。その範囲は委託先の委託先、さらにその先へと広がる可能性があり、中小企業も含まれうる。

　特に注意したいのが、サプライチェーン攻撃だ。サイバー攻撃対策が手厚い大手の基幹インフラ事業者を直接狙わず、その取引先のうち、対策が手薄な中小企業などを経由して侵入する手口だ。独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」でも、「サプライチェーンや委託先を狙った攻撃」が組織編の2位に挙がっている。

　こうした状況を踏まえ、基幹インフラ事業者は取引先のセキュリティ対策もチェックするようになると考えられる。また、基幹インフラ事業者はインシデントや攻撃の兆候を認知した場合、期限内に国へ報告しなければならない。そのため、取引先の状況もいち早く知る必要が出てくる。

　取引先の中小企業は、基幹インフラ事業者を支える立場として、セキュリティ対策のレベルを引き上げるよう求められる可能性がある。一方で解説書は、取引先への配慮も求めている。基幹インフラ事業者が届出などに必要な情報を他組織に求める際は、中小受託取引適正化法（旧下請法）やフリーランス・事業者間取引適正化等法などに違反しないよう留意するとしている。

中小企業が今から取り組みたい4つの備え

　ここでは新法への対応に加え、情報セキュリティ全般の強化という観点から、中小企業が取り組みたい対策を整理する。

　ポイントは次の4つだ。まずは平時の基本となる、取引先の確認とIT資産の棚卸しから始めたい。

（1）取引先に基幹インフラ事業者がいるか確認する

　自社の取引先の中に、基幹インフラ事業者があるかどうかを確認しよう。電気・ガス・石油・水道・鉄道などから金融まで幅広い分野の事業者が指定されており、その一覧「特定社会基盤事業者として指定された者」を内閣府が公表している。今後は医療分野も対象に加わる予定だ。自社が孫請けなどとして間接的に関わっている場合もあるので、直接の取引先が基幹インフラ事業者向けの業務を請け負っていないかも確かめたい。

（2）IT資産を棚卸しし、届出対象との関わりを確認する

　その上で、基幹インフラ事業者が国へ届け出る「特定重要電子計算機」のうち、自社が納入・運用・保守しているものがあるかどうかを確認したい。自社のハードウエアやソフトウエア、利用中のクラウドサービスのアカウントなどを棚卸ししておこう。施行時点で導入済みの機器の届出期限は2027年3月31日のため、それまでに取引先から、機器に関する情報の提供を依頼されるケースも出てきそうだ。

（3）対策の実施状況を記録に残す

　セキュリティ対策の運用記録も大切である。取引先から対策状況を確認されたとき、記録の有無が問われるとみられるためだ。OSやアプリケーションの更新、セキュリティソフトの定義ファイル更新、バックアップからの復旧テストの実施日時などを記録しておこう。

（4）インシデント発生時の連絡・報告体制を整える

　自社でインシデントが起きたとき、取引先の基幹インフラ事業者が期限内に国へ報告できるよう、連絡・報告の体制を整えておこう。具体的には、連絡先と連絡手順、ログの保存期間、検知や調査の手順を決め、万が一のときの相談先も確保したい。社内だけでの対応が難しい場合は、監視やサポートを含む外部サービスの活用も選択肢になる。

基幹インフラを支える一員として備えを

　2026年10月1日に施行されたサイバー対処能力強化法により、基幹インフラ事業者には届出・報告の義務が課された。その影響は、委託先や取引先として基幹インフラを支える中小企業にも及びうる。既存機器の届出期限である2027年3月31日も見据え、取引先の確認やIT資産の棚卸しなど、できるところから備えを進めておきたい。

よくある質問（FAQ）

Q1．サイバー対処能力強化法はいつ施行されたのか？

A．2025年5月16日に成立し、基幹インフラ事業者の届出・報告義務やアクセス・無害化措置などの主要部分が2026年10月1日に施行された。政府が通信情報を取得・分析する「通信情報の利用」は、2027年11月までに施行される予定だ。

Q2．中小企業にも届出や報告の義務はあるのか？

A．直接の義務はない。義務を負うのは、国が指定した15分野・258者（2026年7月1日時点）の基幹インフラ事業者だ。ただし、委託先が管理する機器の侵害も報告の対象になりうるため、委託先や取引先の中小企業は、情報提供や対策の強化を求められる可能性がある。

Q3．基幹インフラ事業者は、インシデントをいつまでに報告するのか？

A．主務省令は速報を「速やかに」行うよう定めており、政府の解説書は、ランサムウエアなどの事案では認知した日から3～5日以内（DDoS攻撃は可能な限り速やか）を目安としている。詳報は30日以内だ。委託先が管理する機器での侵害も対象になりうるため、取引先との間で迅速な連絡体制が求められる。

Q4．施行前から使っている機器の届出期限はいつか？

A．施行時点（2026年10月1日）で導入済みの特定重要電子計算機は、2027年3月31日までに届け出る必要がある。新たに導入する機器は、原則として導入日から4カ月以内だ。取引先の中小企業は、この期限に向けて機器の情報提供を依頼されるケースが想定される。

Q5．中小企業は、まず何から取り組めばよいのか？

A．まずは取引先に基幹インフラ事業者が含まれるかの確認と、自社のハードウエアやソフトウエア、クラウドサービスの棚卸しから始めたい。あわせて、対策の運用記録とインシデント発生時の連絡体制を整えておくとよい。

※掲載している情報は、記事執筆時点のものです。