【水道事業者】サイバー対処能力強化法の施行で、インシデント対応はこう変わります

2025年5月に成立した、いわゆる「サイバー対処能力強化法（解説記事）」（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律）の官民連携部分が、2026年10月に施行されます。電力・ガス・通信などと並んで水道も対象分野に含まれており、指定を受けた水道事業者には、システム資産の届出とサイバーインシデントの政府への報告が法律上の義務として課されることになります。

「うちは閉域網だから関係ない」「監視制御は昔から独立している」というのは基幹産業の現場でよく聞く言葉ですが、この法律と、国土交通省が2025年3月に制定した「水道分野における情報セキュリティ確保に係る安全ガイドライン」を読み合わせると、その前提自体が見直しを迫られていることがわかります。本稿では、水道事業者が実務としてどのようなインシデント対応を求められるのかを、法律・省令・ガイドラインの３つに分けて整理します。

法律で義務になること：届出とインシデント報告

強化法の直接の対象となるのは、経済安全保障推進法に基づく15の基幹インフラ分野の事業者で、2025年7月時点で計257者が指定されています。水道はこの15分野の一つです。指定された事業者は、基幹業務に関わる情報システムのうち「特定重要電子計算機」に該当するものについて、ベンダー名や製品情報などを政府に届け出るとともに、サイバー攻撃を受けた際にはインシデント報告を行わなければなりません。

報告の中身について、内閣府の有識者会議に示された施行に向けた考え方（案）では、次のような枠組みが示されています。

まず報告のタイミングは二段階で、インシデントを認知したら速やかに「速報」を出し、30日以内に「詳報」を提出します。いずれも、その時点で把握している事項だけを報告すればよいとされており、初動で完璧な原因分析を求められるわけではありません。報告対象は不正アクセスなどの「特定不正行為」の痕跡だけでなく、それに繋がる事象も含まれます。つまり「侵入されたことが確定してから報告する」のではなく、予兆段階から報告義務が動き出す設計です。

クラウド利用時の扱いも案の段階で整理されています。SaaSや（ミドルウェア・OSに係る）PaaSの場合は、クラウド事業者から通知があった時点で「認知」とみなされます。検針・料金系や台帳系のシステムをクラウド化している事業者は、ベンダーからの障害・侵害通知を受け取る窓口と、それを報告フローに乗せる手順をあらかじめ決めておく必要があります。

罰則も軽視できません。届出義務に違反して監督官庁の是正命令に従わない場合は200万円以下の罰金、資料提出などの求めに応じない場合は30万円以下の罰金が規定されています。

なお、直接指定されるのは大規模事業者に限られますが、指定外の事業体も無関係ではありません。特定重要電子計算機の運用を受託するITベンダーやグループ会社、システム構成によっては委託先が保有する機器も対象になりうると指摘されており、共同化・広域化や包括委託が進む水道分野では、自分の組織が「委託先」として巻き込まれる可能性を意識しておきたいところです。

省令で「すでに」義務になっていること

見落とされがちですが、水道分野にはサイバーセキュリティに関する強制基準がすでに存在します。「水道施設の技術的基準を定める省令」第1条第11号の2は、施設の運転を管理する電子計算機について、水の供給に著しい支障を及ぼすおそれがないようサイバーセキュリティを確保するための必要な措置を講じることを求めています。この規定は令和元年の省令改正で設けられ、令和2年4月から施行済みです。

具体的に何をすればよいかは課長通知の「留意事項」に示されており、安全ガイドライン第一版の制定に合わせて令和7年2月に見直しが行われました。制御系システムの電子計算機に対する主体認証機能、アンチウイルスソフトの導入と最新状態の維持といった内容が挙げられています。強化法の施行を待つまでもなく、監視制御システムを持つ事業者はすでに法令上の対応義務を負っている、というのが正確な現在地です。

ガイドラインが描く「インシデント対応の実務」

　国交省の安全ガイドライン（2025年3月制定・第一版）は強制ではなく推奨基準ですが、強化法下で報告義務を果たすための実務的な土台は、ほぼこのガイドラインに書かれていると考えてよいでしょう。インシデント対応に関わる要素を拾うと、おおよそ次の流れになります。

平時：体制と計画をつくる。 ガイドラインは、インシデント発生時の対処にあたるCSIRT等の整備と、関連部門との役割分担の事前合意を求めています。CSIRTは常設でも、インシデント発生時のみ設置する形でも構わないとされているため、専任要員を確保しにくい中小規模の事業体でも設計は可能です。あわせて、重要インフラサービス障害の発生（またはそのおそれ）を認識した後の初動対応をあらかじめ定めるコンティンジェンシープランと、BCP・IT-BCPの整備が挙げられています。強化法の「認知後速やかに速報」という要求に応えるには、現場が異常に気づいてから経営層・報告窓口に情報が届くまでの経路を、この初動計画の中に具体的に書き込んでおくことが事実上の前提になります。

検知：予兆の段階から動く
ガイドラインは危機管理の章でサイバー攻撃の「予兆」への対応に触れており、強化法の報告対象が「特定不正行為に繋がる事象」まで含むこととも整合します。侵害が確定するまで様子を見る運用では、法の要求水準に届きません。

対応・復旧：手動運用の限界を織り込む
水道の強みは、監視制御システムが止まっても人手による代替運用が一応可能なことですが、ガイドライン自身が指摘するとおり、代替運用時は作業効率が落ち、水道サービスへの支障が予想されます。「最悪手動で回せるから大丈夫」ではなく、手動運用に切り替える判断基準・手順・要員体制まで含めてコンティンジェンシープランに落とし込んでおくべきでしょう。

情報共有：セプターの活用
インシデント情報や攻撃予兆情報の共有枠組みとして、水道分野にはセプター（CEPTOAR）があり、事務局は日本水道協会が担っています。強化法の施行後は、政府への法定報告と業界内の情報共有という二つの経路が並走することになるため、どの情報をどちらに、誰の判断で出すのかを整理しておくと混乱が少なくなります。

画像引用：厚生労働省 水道分野におけるサイバーセキュリティ対策調査一式 P37

訓練：計画を「動くもの」にする。 ガイドラインは演習・訓練の実施を独立した項目として掲げています。報告様式や連絡網は、机上演習を一度回すだけでも穴が見つかるものです。速報の起案を実際に書いてみる訓練は、施行前の準備として費用対効果が高いといえます。

「閉域網だから安全」が通用しない理由

ガイドラインが相当な紙幅を割いているのが、閉域網への過信に対する警告です。同ガイドラインの定義では、ファイアウォールやルータで通信を制限しているだけの構成や、インターネットVPN（SSL-VPN、IPsec-VPN）でアクセス可能な構成は閉域網に当たりません。専用線で閉域網を組んでいても、接続先ネットワークのどこか1点がインターネットに繋がっていれば、物理的な隔離は崩れます。

実例も示されています。2010年にイランの核燃料施設では、物理的にインターネットから遮断された制御システムが、USBメモリの持ち込みなどを経由してマルウェアに感染し、遠心分離機が停止しました。2015年のウクライナの電力会社では、FWとVPNで論理的に分離していた制御システムが、業務端末経由で窃取された正規の認証情報を使ってVPN越しに不正操作され、大規模停電に至っています。水道でいえば、事務系システムと制御系の接続点や、インターネット接続プロトコルを持つ現場のセンサー・タブレットが、同じ構図の侵入口になりえます。

インシデント対応の観点でこの話が重要なのは、リスクアセスメントで「閉域網だから」とリスクを見落とすと、検知の仕組みも報告のトリガーも設計されないままになるからです。強化法の報告義務は「認知」から始まります。認知する手段がなければ、義務を果たしようがありません。

施行までに何をしておくか

2026年10月の施行を見据えると、指定対象（または対象候補）の事業者がやるべきことは絞られてきます。

第一に、資産の棚卸しです。届出対象となりうる特定重要電子計算機と周辺機器を洗い出す作業で、対象事業者の多くがすでに着手しています。監視制御・ポンプ場運転・水運用といった制御系だけでなく、攻撃を受けると設備の停止や機能低下につながる周辺機器も視野に入ります。

第二に、報告フローの整備です。認知の定義（クラウド通知を含む）、速報の起案者と決裁ルート、詳報30日以内の調査体制を、コンティンジェンシープランに組み込みます。個人情報保護法の漏えい報告など、既存の報告制度との重複整理もここで行っておきましょう。

第三に、経営層の関与です。ガイドラインは、サイバーセキュリティ体制の不備によって組織に損害が生じた場合、体制決定に関与した経営層が損害賠償責任を問われうることを明記しています。インシデント対応は情報システム担当の仕事ではなく、経営リスク管理そのものだ——という位置づけを、施行前に組織として確認しておきたいところです。

法律の細部は施行までに政省令や運用ルールで詰められていく部分が残っており、本稿で「案」と記した事項は今後変わる可能性があります。最新の情報は、内閣府（サイバー安全保障担当）と国土交通省水道事業課の公表資料でご確認ください。

そこでIncident Lake

ここまで見てきたとおり、強化法への対応で本当に負荷がかかるのは、平時のルールづくり以上に「インシデントが起きたその瞬間からの実務」です。認知した事実を整理して速やかに速報を出し、対応と並行して経過を記録し、30日以内に詳報をまとめ、終わった後は再発防止と訓練のために振り返るというのを考えると、限られた人員でこれを人手だけで回すのは、正直なところ現実的ではありません。

Incident Lakeは、この一連の流れを支えるインシデント管理プラットフォームです。インシデントが起きた際の報告から復帰までの対応、レポートの作成や管理までを自動化し、担当者が本来集中すべき「目の前の障害を止めること」に時間を使えるようにします。速報・詳報のような期限付きの報告が制度として動き出す今だからこそ、報告と記録の仕組みを人の頑張りに頼らない形に変えておくことをおすすめします。

参考資料

• 国土交通省「水道分野における情報セキュリティ確保に係る安全ガイドライン 第一版」（令和7年3月5日制定） https://www.mlit.go.jp/mizukokudo/watersupply/content/001889644.pdf

• 内閣府政策統括官（サイバー安全保障担当）「サイバー対処能力強化法（官民連携）の施行に向けた考え方の案」（令和7年12月） https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• 日経クロステック「サイバー対処能力強化法が10月施行、取引先から排除のリスクも」（2026年） https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/

• 水道施設の技術的基準を定める省令（平成12年厚生省令第15号）第1条第11号の2

  https://www.mhlw.go.jp/web/t_doc?dataId=79aa0299&dataType=0&pageNo=1

• 水道分野におけるサイバーセキュリティ対策調査一式

  https://www.mlit.go.jp/common/830005151.pdf