「能動的サイバー防御という言葉は聞くけど、結局うちの会社に何が関係するのか分からない」「基幹インフラ事業者だけの話なのか、サプライチェーンとして関わるITベンダーも対象なのか」――2026年中の段階的施行を控えて、情シス・法務・経営層から似たような相談を受ける機会が増えています。

2025年5月23日に公布されたサイバー対処能力強化法（通称：能動的サイバー防御法）と同整備法は、日本のサイバー安全保障の枠組みを大きく変える法律です。直接の義務対象は基幹インフラ事業者ですが、そのサプライチェーンに連なるITベンダー、SIer、クラウドサービス提供事業者も間接的な影響を受けます。本記事では、法律の概要、対象事業者、企業に求められる具体的な対応、そして情シス担当者が今から準備すべきステップを整理します。

サイバー対処能力強化法の概要

サイバー対処能力強化法の正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号）です。サイバーセキュリティ基本法・警察官職務執行法・自衛隊法など多岐にわたる法律を改正する「同整備法」とセットで構成されており、両法は2025年5月16日に国会で成立、同月23日に公布されました。

施行は「公布の日から1年6か月を超えない範囲内において政令で定める日」とされており、2026年中に段階的に施行されます。GMOの解説によれば、第3フェーズである2026年11月までに届出義務やインシデント報告義務が本格施行される見通しです。

法律の柱は次の3つです。

  • 官民連携の強化：基幹インフラ事業者・通信事業者と政府の情報共有体制を整備
  • 通信情報の利用：国家安全保障上重要な通信情報を国が分析対象とする枠組みの整備
  • アクセス・無害化措置：政府が攻撃の予兆・実施段階で攻撃側のサーバーに無害化措置を講じられるようにする「能動的サイバー防御」

「能動的（Active）」とは、攻撃を受けてから対応するのではなく、平時から情報を収集し、攻撃サーバーの無害化なども含めて先手を打って被害を防ぐという概念です。

誰が対象になるのか：基幹インフラ事業者とサプライチェーン

法律で最も多くの義務が課されるのは「特別社会基盤事業者」と呼ばれる基幹インフラ事業者です。経済安全保障推進法に基づき、次の15分野が指定対象となっています。

電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、港湾運送、航空、空港、電気通信、放送、郵便、金融、クレジットカード

2025年7月時点で計257者が指定されています。これらの事業者には、次の義務が課されます。

  • 特定重要電子計算機の届出義務：ファイアウォール、VPN装置、認証サーバー、重要なアプリケーションサーバーなど、基幹インフラシステムの中核を担う機器・ソフトウェアを導入する際に、製品名・製造者名・導入予定時期等を所管大臣に届け出る
  • インシデント報告義務：特定侵害事象（およびその原因となり得る事象）を認知した際、国（事業所管大臣および国家サイバー統括室）へ報告する
  • 協議会への参加・情報共有協定の協議

罰則として、Westlaw Japanの解説によればインシデント報告義務違反で是正命令に従わない場合は200万円以下の罰金、資料提出等に応じない場合は30万円以下の罰金が科される可能性があります。

そして重要なのは、基幹インフラ事業者に機器・ソフトウェアを提供するベンダーやSIerも、脆弱性対応やインシデント報告への協力という形で間接的・直接的な影響を受ける点です。「うちは基幹インフラ事業者ではないから関係ない」と判断するのは早計で、取引先に基幹インフラ事業者がいる多くのIT企業に影響が及びます。

何が変わるのか：従来との違い

これまでも、基幹インフラ事業者は「重要インフラのサイバーセキュリティに係る行動計画」に基づくセキュリティ対策を進めてきました。サイバー対処能力強化法で変わる主な点は次の通りです。

  • 届出制度の追加：従来は経済安全保障推進法に基づく「事前審査」がありましたが、今回新たに事後的な届出義務が追加されます
  • 報告の一元化：これまで省庁ごとに異なっていたインシデント報告様式が、統一報告様式に集約されます（2025年10月から先行運用開始）
  • 無害化措置の法的根拠：政府による能動的な対処（攻撃元サーバーへのアクセスや無害化）に法的根拠が与えられます

ビジネス用語に置き換えると、これは「自社のサイバー被害情報を国と共有することが、努力義務ではなく法的義務になる」という大きな転換です。

何が得られるのか：早期対応のベネフィット

法施行を待たずに今から準備を始めると、次のメリットがあります。

  • 罰則リスクの回避：施行後に慌てて対応するより、施行前に届出体制・報告体制を整備しておくほうが圧倒的に低コストです
  • 取引先からの選定で優位に立てる：基幹インフラ事業者は、サプライチェーン側にも厳格な対応を求めます。「報告体制が整備済み」であることは取引継続の条件になり得ます
  • 国からのインテリジェンス共有を活かせる：情報共有協定を結ぶ事業者は、政府が把握する脅威情報を早期に入手できる可能性があります
  • 既存のセキュリティ投資を整理する機会になる：「特定重要電子計算機」の洗い出しは、ハードウェア・ソフトウェア資産管理の総点検にもつながります
  • 経営層への説明がしやすくなる：法律対応という明確な根拠で予算・人員確保の議論を進められます

実運用のハマりどころ：現場でやってわかるTips

公式ガイドラインには載っていない、対応準備の実践ポイントを共有します。

1. 「特定重要電子計算機の洗い出し」は資産管理台帳の刷新から
法律対応で最も時間がかかるのが、自社環境のどの機器・ソフトウェアが「特定重要電子計算機」に該当するかの判別です。詳細は主務省令で定められますが、想定される対象（ファイアウォール、VPN装置、認証サーバー、重要なアプリケーションサーバー）の一覧化を、今すぐ着手すべきです。CMDB（構成管理データベース）や資産管理ツールが整備されていない組織は、ここで大きく後手に回ります。

2. インシデント報告のSLA（時間制限）を社内ワークフローに組み込む
報告義務が施行されると、「いつ、誰が、何を、どこに報告するか」を社内で即時判断できる体制が必要です。インシデント発生時、現場が混乱している中で「報告すべきかどうか」を判断するのは困難なので、判定フローチャートを事前に作っておくことを強くお勧めします。Microsoft Sentinel等のSIEMでアラートが上がった際に、報告要否判定を含むプレイブックを用意しておくと、ヒヤリハットを含む報告漏れを防げます。

3. 「ヒヤリハット」報告の範囲を慎重に設計する
特定侵害事象だけでなく「その原因となり得る事象（ヒヤリハット等）」も報告対象になる可能性があります。範囲を広く取りすぎると報告業務が膨大になりますが、狭く取りすぎると報告漏れで罰則対象になりかねません。社内で報告基準のドラフトを作り、法務・所管省庁の動向と照らし合わせて調整するプロセスが必要です。

4. 統一報告様式の先行運用版を入手して練習する
2025年10月から先行運用が始まっている統一報告様式は、施行後の本番運用と同じフォーマットになります。実際にダミーデータで報告書を作成する訓練を、四半期に1回でも実施しておくと、本番でのスピードが段違いです。

5. 「サプライチェーン側」の自社対応も視野に入れる
基幹インフラ事業者向けにサービス・製品を提供しているIT企業は、契約上の協力義務が課される可能性があります。顧客（基幹インフラ事業者）から「インシデント対応協力契約」の改訂を求められた場合に応じられるよう、自社のセキュリティ体制（特に脆弱性対応のSLAやインシデント情報共有プロセス）を整備しておく必要があります。

次のアクション：施行までに何を始めるか

サイバー対処能力強化法は、すべての企業に直接の義務を課す法律ではありませんが、サプライチェーンを通じて広範に影響が及ぶ法律です。「自社は対象外」と判断する前に、取引先に基幹インフラ事業者がいないか、自社のサービスや製品が「特定重要電子計算機」の構成要素になっていないかを確認することから始めてください。

特に、資産管理台帳の整備、インシデント報告体制の構築、そしてSIEMやEDRと連動したインシデント検知・報告フローの設計は、施行までに準備すべき重要な要素です。設計や運用設計に不安がある場合は、専門家へ相談することが最短ルートです。Colorkrewでは、Microsoft Sentinelを活用したインシデント検知・報告体制の構築や、基幹インフラ事業者のサプライチェーンとしての対応支援を提供していますので、お気軽にご相談ください。

参考文献