REGULATORY INSIGHT

サイバー対処能力強化法の届出とインシデント報告——基幹インフラ事業者が10月1日から求められていること

2026年10月22日

誰が、いつから、何を示す必要があるか

いわゆる能動的サイバー防御を定めた「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号、2025年5月公布）のうち、基幹インフラ事業者に対する届出・報告義務が2026年10月1日に施行されました。

対象は「特別社会基盤事業者」です。経済安全保障推進法に基づいて主務大臣が指定した特定社会基盤事業者のうち、「特定重要電子計算機」を使用する事業者がこれに当たります（法第2条）。義務は二つあり、使っている特定重要電子計算機の製品名や製造者を届け出ること（法第4条）と、その電子計算機に関する侵害事象を報告すること（法第5条）です。

法令と命令が定めていること

• 届出事項：事業者の概要、特定重要設備の区分、特定重要電子計算機の区分、製品名、製造者名
• 届出期限：新たに導入したものは導入から4か月以内。施行時点で導入済みのものは施行から6か月以内（2027年3月末まで）。届出事項に変更があれば変更から4か月以内
• 届出の対象外：グループ内でのみ使う専用設計品や、汎用品として指定された製品（一般的なOS等）
• 報告対象：特定侵害事象（マルウェアの供用、不正アクセス、業務妨害など）と、その原因となり得る事象（不正な指令を与える電磁的記録の受信、他人の識別符号の不正入力、それらの痕跡の記録など）
• 報告先と期限：事業所管大臣と内閣総理大臣に、認知後速やかに第一報、認知から30日以内に詳報。様式は告示で定められ、DDoS、ランサムウェア、その他で分かれる
• 報告事項：報告の種別、事業者の概要、事象の概要、影響を受けた電子計算機、技術的事項、対応措置など
• 是正：届出・報告義務に違反した場合、事業所管大臣は是正を命じることができ、命令違反には罰則がある

EUのサイバーレジリエンス法やNIS2指令のような「24時間」「72時間」の時間単位の期限は置かれていません。ただし「速やかに」の解釈は、事象の類型ごとに目安が示される方向で整理されています。

実務で詰まる点

1. 報告対象が「侵害事象」だけでなく「原因となり得る事象」まで及ぶため、検知した事象のうち何を報告し、何を報告しなかったかの判断が日常的に発生します。報告しなかった判断の根拠が残っていないと、後から妥当性を示せません
2. 報告対象は特定重要電子計算機に関する事象に限られます。届出台帳と、監視対象の資産台帳・ログの紐付けがないと、検知した事象が報告対象の機器に関係するのかを即座に判断できません
3. 届出は導入・変更から4か月以内です。機器の入替えや製品の版の変更を調達・運用部門が把握していても、届出担当に伝わる経路がなければ期限を過ぎます
4. 第一報と詳報の間で事実認識が変わることは避けられません。各時点で把握していた事実と報告内容の版を残しておかないと、変遷を説明できません

運用でしのぐか、仕組みで担保するか

この種の要請には、二通りの向き合い方があります。ひとつは、手順書を整備し、担当者が確認と記録を行う運用でしのぐ方法。もうひとつは、求められたときに示せる記録が自動的に残る仕組みを組み込む方法です。

前者は着手が早い反面、対象となる手続や担当者が増えるほど破綻します。例外対応が積み重なるうちに記録の粒度が揃わなくなり、後から範囲を特定できなくなるためです。後者は設計の負担が先に来ますが、あとから確認できる状態が保たれます。

当社は、規制対応の適合性を人手の運用ではなく仕組みとして担保する技術を研究開発し、その成果を特許出願として保有しています。詳しくは技術領域をご覧ください。

施行と改正を追っています。更新はRSSで受け取れます。

← 解説の一覧へ