能動的サイバー防御法、施行まで何をすべきか｜経営・法務・情シスの役割と準備

※能動的サイバー防御の概念、法律制定の背景、法律の条文レベルの解釈等については「能動的サイバー防御とは？｜関連する法律や必要な対応などを解説」で詳しく紹介しています。

※能動的サイバー防御に関する法案（いわゆるサイバー対処能力強化法および整備法。以下本記事では「能動的サイバー防御法」と総称）は2025年5月に成立・公布され、大部分は2026年10月1日に施行されます。通信情報の利用に関する施策など一部は公布から2年6か月以内（2027年11月頃まで）の施行です。施行スケジュールの概要は以下のとおりです（2026年4月時点。サイバー対処能力強化法 令和7年法律第42号を参照し作成）。

1. 「うちは対象か？」を確認する

「うちは重要インフラ事業者じゃないから関係ない」と考えるのは早計です。以下の2つの視点で自社を確認してみましょう。

①直接の対象

能動的サイバー防御法の主な義務は、「基幹インフラ事業者」に課されます。経済安全保障推進法で想定されている電力、通信、金融、鉄道など、国民生活に不可欠な15分野が対象です。

これらに該当する場合、国との情報共有や、有事の際の調査協力が「努力義務」や「義務」となる可能性があります。ただし、これら15分野に該当していても、すべての事業者が義務対象になるわけではありません。具体的な対象範囲は政令・省令の策定を経て確定します。まずは上記15分野に当てはまるかどうかを確認し、所管省庁の動向を注視することが第一歩です。

※この能動的サイバー防御法の対象は、あくまで「特定重要電子計算機」を扱う事業者であり、その詳細は政令で定められる予定となっています。しかし、これらの基幹インフラ事業者は特定重要電子計算機を多く保有するため、結果として対象となる可能性が高いと考えられています。

②間接の対象

「うちは対象外」でも油断は禁物です。対象外の企業にとって見落としがちなのが、サプライチェーンを通じた影響です。

基幹インフラ事業者にシステムや機器を提供しているベンダー・サプライヤーの場合、取引先から以下のような対応を求められる可能性があります。

• インシデント発生時の報告・連絡への協力

• 納入機器・ソフトウェアの情報提供

• セキュリティ水準に関する確認・監査への対応

法律の対象が「基幹インフラ事業者」を想定しているからといって、無関係ではいられません。なぜなら、基幹インフラ事業者が国から求められる「義務」は、そのままパートナー企業への「契約条件」へと姿を変えてやってくるからです。

つまり、この法律への対応準備は、単なる法令遵守ではなく、「重要顧客からの取引条件を満たし続けるための事業継続（BCP）対策」ともいえるのです。もし貴社が基幹インフラ事業者の取引先である場合は、早めに確認しておくことをお勧めします。

下のフローチャートで、自社のポジションを確認してみてください。

2. 対象企業に課される3つの新義務と実務上の論点

法律が対象事業者に課す主な義務は3つです。それぞれの実務上の留意事項を整理してみます。

①届出義務

サイバー攻撃を受けた際に重要設備の停止につながり得る機器（「特定重要電子計算機」）を導入した場合、事業所管大臣への届出が必要です。変更時も同様です。

■気にしておきたい点

• 「どの機器が特定重要電子計算機に該当するか」は政省令で明確化される予定のため、確定次第すぐに対応できるよう、今のうちに社内の重要機器リストを整備しておくことが重要です。

• IT部門だけでなく、OT（制御システム）側の機器も対象になり得ます。工場・設備管理部門との連携が必要になる点を見落としがちです。

②報告義務

特定重要電子計算機に異常があった場合、事業所管大臣および内閣総理大臣への報告が必要です。報告対象にはサイバーセキュリティが害された場合だけでなく、その原因となり得る一定の事象の認知も含まれます。

■気にしておきたい点

• 報告のタイミング・様式・報告先の詳細は今後のガイドライン策定を待つ必要がありますが、「誰が・何を・どのルートで報告するか」のフローは今から設計できます。

• 報告を怠った場合、是正命令の対象となり、それにも従わなければ200万円以下の罰金が科されます。またインシデント報告に関連する資料提出を怠った場合も30万円以下の罰金の対象になります。インシデント対応フローを整備していない企業は、まず体制づくりから着手するのがよいでしょう。

③協議対応

内閣総理大臣から通信情報の提供に関する「協定締結のための協議」を求められた場合、正当な理由なく拒否することはできません。協定そのものは任意ですが、協議への応諾は事実上の義務、と理解しておく必要があります。

■気にしておきたい点

• 協定を締結した場合、国外からの通信情報の提供を求められる可能性があります。これはプライバシーポリシーや社内規程との整合性に関わります。事前に法務・コンプライアンス部門が社内ポリシーを点検しておくことが重要です。

• 協議を打診された際の社内の意思決定フロー（誰が・どのレベルで判断するか）を決めておくことも必要です。

※施行時期について：①届出義務、②報告義務の官民連携部分は2026年10月施行ですが、③協議対応は通信情報の利用に関する規定の公布から2年6か月以内と施行時期が異なります。

3. 準備スケジュール

①直接の対象「基幹インフラ事業者」と、②間接の対象「基幹インフラ事業者にシステムや機器を提供しているベンダー・サプライヤー」の各関係部門が、2026年10月1日の施行を起点に「いつまでに何をすべきか」を整理してみたいと思います。

①直接の対象

基幹インフラ事業者向けの準備スケジュールの目安です。経営層、法務、情シス・セキュリティの各部門にわけて検討します。

■今できていないといけないこと

既に準備行為規定、内閣サイバー官・NCOの設置、サイバーセキュリティ戦略本部の機能強化、基本方針の策定が施行済みで、法律の骨格と推進体制は既に動き始めています。

経営層

• 自社の該当確認：経済安全保障推進法上の「特定社会基盤事業者」指定の有無を確認済みか

• 法対応の責任者・体制を経営層として承認しているか

• 基本方針（令和7年12月閣議決定）を経営会議で共有済みか

法務

• 法律全体像（官民連携・通信情報利用・アクセス無害化の3本柱）と自社への適用範囲を分析済みか

• 既存法令（経済安全保障推進法等）との関係を整理済みか

• 政省令の策定動向をウォッチする体制が立ち上がっているか

情シス・セキュリティ部門

• 特定重要電子計算機の資産棚卸しに着手済みか（委託先・グループ会社保有分を含む）

• 現行のインシデント対応体制の現状把握（ギャップ分析の材料準備）が進んでいるか

• NCOからの情報受信チャネルを確保済みか

■2026年夏までにできているべきこと

サイバー通信情報監理委員会（独立機関）が設置。政省令が公布され、届出事項・報告基準・特定重要電子計算機の範囲が具体化されています。ここが実務設計の正念場です。

経営層

• 当事者協定の締結可否を意思決定（政府との通信情報共有の協議要請には応諾義務あり）

• セキュリティ・クリアランス取得の方針決定：対象役員・部署の特定

• 10月施行に向けた対応予算の最終確保

法務

• 公布された政省令を精査し、届出事項・報告基準の実務要件を確定

• 当事者協定のドラフトをレビュー、法的リスクを評価

• 協議会参加時の守秘義務・重要経済安保情報の取扱い規程を整備

情シス・セキュリティ部門

• 政省令に基づき届出対象資産を最終確定、届出データを準備

• インシデント報告体制

• 設計：検知→社内判断→所管大臣報告のフロー構築

• サプライチェーンからのエスカレーションフローを設計し、関係先と合意

■2026年10月 本体施行 ─ やらないといけないこと

特定重要電子計算機の届出（既設分は6か月以内なので、2027年4月頃まで）、インシデント報告、協議会への参加。違反には是正命令・200万円以下の罰金。義務が開始されます。

経営層

• 届出義務・報告義務の履行開始を組織として宣言し、コンプライアンス体制を最終確認

• 協議会への参加意思決定と参加者（役員等）の指名

• 罰則リスク（是正命令違反で200万円以下の罰金等）を踏まえた社内統制の確認

• 政府提供の脅威情報を活用したセキュリティ戦略見直しサイクルの指示

法務

• 既設分の届出内容の最終法的チェック（経過措置期限：2027年4月頃）

• インシデント報告の法定要件（対象範囲・期限・様式）を社内に最終周知　

• 当事者協定の締結手続きを完了　

• 協議会の守秘義務を社内規程に反映し、関係者への教育を実施

情シス・セキュリティ部門

• 特定重要電子計算機の届出を実施：既設分（委託先・グループ会社含む）を6か月以内に完了

• インシデント報告の運用を開始：検知→判断→報告＋サプライチェーンからのエスカレーション

• 脅威情報・分析情報の活用を開始：監視ルール・脆弱性対応への即時反映体制を運用

• 新規導入・変更時の都度届出ルールを確立

■～2027年11月 通信情報利用の本格稼働まで

最終段階です。通信の秘密に関わる最もセンシティブな制度の施行が予定されています。同意によらない通信情報取得、機械的選別の一部が開始されます。なお、本法には施行後3年を目途とした制度見直し規定が設けられています（本体施行の2026年10月を起算点とすると、2029年秋頃が見直し時期の目安）。

経営層

• 当事者協定の運用状況を定期レビューし、脅威情報活用の効果を評価

• 2029年秋頃の制度見直しに向け、施行後の運用実績と課題を継続的に蓄積し、政府への意見提出の準備を進める

法務

• 通信情報取扱いの社内規程を整備：通信の秘密の保護との両立を確保

• 電気通信事業者との連携に関する法的整理（設備対応の責任分界等）

• 制度見直し規定への対応：改善提案の法的根拠を整理

情シス・セキュリティ部門

• 通信情報提供の技術的運用：協定に基づく範囲・方法での提供体制を構築・維持

• 政府からの分析フィードバックを自社対策に反映するサイクルを定着

• セキュリティ監視体制の継続的高度化

②間接の対象

基幹インフラ事業者にシステムや機器を提供しているベンダー・サプライヤー向けの準備スケジュールの目安です。ここも同様に経営層、法務、情シス・セキュリティの各部門にわけて検討します。

■今できていないといけないこと

法律の推進体制は既に動き始めており、基幹インフラ事業者側では対応準備が本格化しています。ベンダー・サプライヤーにとっては、取引先からの要請が具体化する前に自社の体制を整えておく段階です。

経営層

• 法律の概要と間接的影響を経営レベルで認識しているか

• 基幹インフラ事業者との取引上のリスクと機会を把握しているか

法務

• 自社が間接的に受ける義務（届出協力・脆弱性対応等）を法的に整理済みか

• 基幹インフラ事業者との既存契約の条項確認（協力義務条項の有無）を実施済みか

情シス・セキュリティ部門

• 自社製品・サービスが特定重要電子計算機に該当し得るかの確認に着手済みか

• SBOM等の製品構成情報の整備に着手済みか

■2026年夏までにできているべきこと

ササイバー通信情報監理委員会（独立機関）が設置。政省令が公布され、届出事項・報告基準・特定重要電子計算機の範囲が具体化されています。ここが実務設計の正念場です。

経営層

• 基幹インフラ事業者向けの情報提供・協力体制に必要なリソースを確保

• 脆弱性対応の迅速化に必要な体制強化の方針を決定

法務

• 政令で確定した「特定重要電子計算機」の範囲を確認、自社製品の該当性を最終判断

• 基幹インフラ事業者との契約改定交渉の準備（報告連携義務・脆弱性対応SLA等）

情シス・セキュリティ部門

• 届出用の製品情報（製品名・バージョン・構成）を正確に提供できる体制を構築

• 脆弱性対応プロセスを見直し：政府→基幹インフラ→ベンダーの要請フローに対応可能か確認

■2026年10月 本体施行 ─ やらないといけないこと

特定重要電子計算機の届出（既設分は6か月以内、2027年4月頃まで）、インシデント報告、協議会への参加。違反には是正命令・200万円以下の罰金。義務が開始されます。

経営層

• 情報提供・インシデント連携体制が稼働していることの最終確認

• 脆弱性対応の迅速化を信頼性・競争優位として積極的に位置づけ

法務

• 既契約・SLAの改定を完了：インシデント報告連携義務、脆弱性対応の応答時間等を反映

• 間接的義務違反リスクの評価と対策（届出協力の不備、脆弱性放置等）

情シス・セキュリティ部門

• 届出用の製品情報を正確に提供（製品名・バージョン・構成・製造者等）

• インシデント発生時のエスカレーションを運用開始：法定期限内報告に間に合うフロー

• 脆弱性措置要請への即応体制を確立：パッチ提供・回避策提示のプロセス

■～2027年11月 通信情報利用の本格稼働まで

最終段階。通信の秘密に関わる最もセンシティブな制度が施行。同意によらない通信情報取得、機械的選別の一部が開始。施行後3年を目途とした制度見直し規定もあります。

経営層

• 将来の官民連携対象拡大を見据え、セキュリティ投資の中長期計画を策定

法務

• 制度拡大の動向をウォッチし、自社が直接対象となる可能性を継続評価

• 通信関連設備の協力義務（電気通信事業者に該当する場合）の法的確認

情シス・セキュリティ部門

• 脅威情報に基づくセキュリティ対策を継続的に実施

• インシデント対応力・ガバナンス水準を中長期的に向上

4. 経営層が押さえるべき3つのポイント

①「任意」の協定でも、協議の拒否は難しい直接の対象

通信情報の提供に関する協定の締結は任意です。しかし、協議を求められた場合に「正当な理由」なく拒むことはできません。「任意だから対応しなくていい」という理解は誤りです。

経営層としては、「協議を求められた際にどう対応するか」を事前に方針として決めておくことが重要です。その際には、法務・コンプライアンス部門と連携し、プライバシーポリシーや社内規程との整合性も確認しておきましょう。

②通信情報の取得に関するプライバシーリスク

政府が通信情報を取得・分析する仕組みは、企業の通信データの扱いにも影響します。どのような通信情報が対象になり得るかについて、所管省庁の説明や関連ガイドラインを注視する必要があります。

また、従業員の通信データが関係し得る場合には、社内の情報セキュリティポリシーや就業規則との整合性を点検することも経営判断として求められます。

③この法律は「ITのルール」ではなく「経済安全保障の基盤」

能動的サイバー防御に関する政府の有識者会議では、「サイバー空間の安全性は国民生活や経済活動の基盤そのものである」という認識が繰り返し示されてきました。この法律を「情報システム部門が対応する技術的な規制」として捉えるだけでは、経営判断として不十分かもしれません。

G7各国では、同様の取り組みがすでに制度として定着しています。米国では防衛関連の調達にサイバーセキュリティ認証（CMMC）が段階的に導入されており、EUではNIS2指令によって重要インフラ事業者への要件が強化されました。グローバルなサプライチェーンにおいて、セキュリティ水準は取引条件の一つになりつつあります。

5. まとめ

この記事を読んだら確認すべき5項目を、施行に向けた準備のチェックリストとして以下に記載します。

□ 対象確認：自社（または主要取引先）が15分野の基幹インフラに該当するかを確認した

□ 機器リスト：社内の重要機器・システムの棚卸しを開始した（または完了した）

□ 報告体制：インシデント発生時の報告フローと担当者を決めた

□ 法務確認：通信情報利用の施行（2027年11月頃まで）に先立ち、社内のプライバシーポリシー・就業規則の事前点検を開始した

□ 情報収集：政省令・ガイドラインの最新情報を定期的に確認する体制を整えた

能動的サイバー防御法への対応は、「法律が施行されてから動く」では遅い場合があります。特に機器の棚卸しや報告体制の整備には一定の時間がかかります。段階的に準備を進めていく際に、この記事が参考になれば幸いです。

CTCでは、長年にわたるセキュリティ運用の支援やコンサルティングの知見を生かしながら、企業ごとの事業特性やリスクに応じたセキュリティ対策の設計・実装を支援しています。今回の能動的サイバー防御の対応を、自社のセキュリティ成熟度を高める機会として活用する──、そのための伴走支援を提供していきます。

※本記事の内容は2026年4月時点の情報に基づいています。政省令・ガイドラインの策定状況により内容が変わる可能性がありますので、最新の公式発表もあわせてご確認ください。

参照資料・関連リンク

本制度について、より正確かつ詳細な一次情報を確認したい方に向け、政府の公式資料や参照すべき関連リンクを抜粋し掲載しました。

法律・制度を確認する

■国家サイバー統括室：法令・関係資料ページ

（出典：内閣官房 国家サイバー統括室ホームページ）

サイバー対処能力強化法（令和7年法律第42号）および同整備法の条文、概要説明資料、事業者向けのリーフレット、アクセス・無害化措置の運用に関する指針などが網羅されています。

■e-Gov法令検索：サイバー対処能力強化法

（出典：デジタル庁 e-Gov法令検索）

サイバー対処能力強化法（令和7年法律第42号）の最新の条文が確認できます。

制度の全体像を把握する

■内閣官房：サイバー安全保障に関する取組

（出典：内閣官房ホームページ）

内閣官房における、能動的サイバー防御導入に向けた検討プロセスの公式情報ページです。

■国家サイバー統括室：公式ホームページ

（出典：国家サイバー統括室（NCO）のポータルサイト）

最新の注意喚起情報、官民連携の枠組み、各府省庁のサイバーセキュリティ関係情報が確認できます。