「能動的サイバー防御」が10月1日に始動　基幹インフラ258事業者に報告義務、取引先の企業も無関係ではない

何が始まったか

2026年10月1日、サイバー対処能力強化法（正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」）と、その整備法のうち、「官民連携の強化」と「アクセス・無害化措置」に関する規定が施行されました。いわゆる能動的サイバー防御（被害が広がる前に、政府が攻撃に使われるサーバーなどを特定し、必要に応じて無力化する考え方）を制度にしたもので、法律は2025年5月に成立・公布されています。

基幹インフラ事業者に課される二つの義務

直接の義務を負うのは、経済安全保障推進法で指定された基幹インフラ事業者です。国家サイバー統括室の資料では、電力、ガス、石油、水道、鉄道、貨物自動車運送、外航海運、港湾運送、航空、空港、電気通信、放送、郵便、金融、クレジットカードの15分野・258事業者とされています。

• インシデント報告：10月1日から、特定重要電子計算機（基幹インフラの提供に使う重要なシステムや機器）でマルウェアの実行や不正アクセスなどを認知したとき、事業所管大臣と内閣総理大臣に報告する義務が始まりました。
• 資産届出：導入済みの特定重要電子計算機の製品名などを2027年3月までに届け出ます。新たに導入するものは、導入から4か月以内の届出が求められます。

政府は届け出られた資産情報と、未公表のものを含む脆弱性（ソフトウェアの弱点）情報を突き合わせ、該当する事業者に個別に注意喚起する方針です。

協議会の発足と「無害化」

同じ日に、官民で脅威情報を共有する協議会も動き出しました。基幹インフラ事業者を中心に約100組織が加入する予定で、自治体、防衛産業、システムベンダー、セキュリティベンダーなども構成員に含まれます。秘匿度の高い情報は、1対1や限られたメンバーの枠組みで共有するとしています。

あわせて、重大な危害が生じるおそれがあるなど一定の要件を満たす場合に、攻撃に使われているサーバーなどにアクセスし、不正なプログラムの停止・削除などを行う「アクセス・無害化措置」も可能になりました。攻撃サーバーを見つけるために通信情報を利用する仕組みは、来年秋以降の活用とされています。

罰則と、対象外の企業への影響

トレンドマイクロの解説によると、報告をせず是正命令にも従わない場合は200万円以下の罰金、資料提出の求めに応じない場合は30万円以下の罰金が定められています。被害を受けたこと自体が罰せられるわけではありません。

258事業者に入らない企業にも影響は及びます。同解説は、基幹インフラ事業者と取引やシステム連携がある企業が、セキュリティ対策の状況の説明や、被害時の迅速な情報連携を求められる可能性を指摘しています。また、医療分野を対象に加える改正法が2026年6月に公布されており、対象は今後広がる見込みです。

経営として確認したいこと

1. 自社が258事業者に当たるか。当たらない場合も、その委託先・保守先・製品供給元としてサプライチェーンに入っていないか。
2. 重要なシステムの機器・ソフトウェアと、その導入・保守の委託先を一覧にできているか。取引先からの照会に速やかに答えられるか。
3. 被害が起きたとき、誰が、どの時点で、どの様式で社内外に報告するかの手順と責任者が決まっているか。