【物流事業者（陸上貨物輸送・港湾運送）】サイバー対処能力強化法の施行でインシデント対応はこう変わります

2025年5月に成立した、いわゆる「サイバー対処能力強化法」（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律）の官民連携部分が、2026年10月に施行されます。対象となる基幹インフラ分野には、貨物自動車運送（陸上貨物輸送）と港湾運送が含まれており、指定を受けた事業者には、システム資産の届出とサイバーインシデントの政府への報告が法律上の義務として課されることになります。

物流業界にとって、この一連の制度強化は他人事ではありません。

むしろ「当事者」です。2023年（令和5年）7月に名古屋港のコンテナターミナルで発生したランサムウェア被害は、港湾分野が重要インフラに位置付けられ、港湾運送が基幹インフラ制度に追加される直接の引き金になりました。制度の設計思想の中心に、物流で実際に起きた事故があるのです。

本稿では、陸上貨物輸送・港湾運送の事業者が実務としてどのようなインシデント対応を求められるのかを、名古屋港の事案を出発点に、法律・事業法・ガイドラインの三層に分けて整理します。

すべての起点：名古屋港のシステム障害で何が起きたか

令和5年7月、名古屋港の統一ターミナルシステム（NUTS）がランサムウェア攻撃により停止し、コンテナの搬出入作業が丸2日以上にわたって止まりました。国内最大級のコンテナ取扱量を誇る港の機能停止は、トレーラーの滞留や物流の遅延という形で、港の外側まで広く影響を及ぼしています。

このとき現場では、システム停止中もマニュアル作業によって船舶との荷役が一部継続されました。復旧局面では、データと実在庫情報の整合性を確認したうえで、準備が整ったターミナルから順次再開するという手順が踏まれています。

「システムが止まっても人手で何とかする」ことは不可能ではないものの、通常の処理能力には遠く及ばず、復旧時にはデータ整合性の確認という重い作業が待っているという構図は、物流のインシデント対応を考えるうえでの原点といえます。

この事案を受けて設置された検討委員会の取りまとめ（令和6年1月）では、3つの制度的措置が示されました。サイバーセキュリティ基本法に基づく措置（重要インフラ分野への港湾の追加とガイドライン策定）、港湾運送事業法に基づく措置（事業計画審査へのセキュリティ項目の追加）、そして経済安全保障推進法に基づく措置（基幹インフラ制度への港湾運送の追加）です。

以降の制度は、すべてこの取りまとめの延長線上にあります。

法律で義務になること：届出とインシデント報告

強化法の直接の対象となるのは、経済安全保障推進法に基づいて指定される特定社会基盤事業者（基幹インフラ事業者）で、令和8年4月1日時点で全分野合計257者が指定されています。

物流関係の指定は比較的最近のことです。港湾運送分野は、法改正（令和6年5月成立）を経て令和7年4月に制度が施行され、同年5月1日に事業者が指定されました。経過措置期間を経て、令和7年11月2日からはターミナルオペレーションシステム（TOS）の導入・維持管理等の委託に関する事前届出・審査が始まっています。

陸上貨物輸送分野でも、対象設備の範囲を定める省令の改正に伴い、令和7年7月14日に事業者が指定されました。

こうして指定された事業者に、強化法は次の義務を課します。基幹業務に関わる情報システムのうち「特定重要電子計算機」に該当するものについて、ベンダー名や製品情報などを政府に届け出ること。そして、サイバー攻撃を受けた際にインシデント報告を行うことです。

報告の枠組みについて、内閣府の有識者会議に示された施行に向けた考え方（案）では、報告は二段階とされています。インシデントを認知したら速やかに「速報」を出し、30日以内に「詳報」を提出する。いずれも、その時点で把握している事項だけを報告すればよく、初動で完璧な原因分析を求められるわけではありません。報告対象は不正アクセスなどの「特定不正行為」の痕跡だけでなく、それに繋がる事象も含まれます。予兆段階から報告義務が動き出す設計です。

クラウド利用時の扱いも整理されています。SaaSや（ミドルウェア・OSに係る）PaaSの場合は、クラウド事業者から通知があった時点で「認知」とみなされます。配車管理、運行管理、倉庫管理（WMS）、輸配送管理（TMS）といったシステムをクラウドサービスで利用している事業者は、ベンダーからの障害・侵害通知を受け取る窓口と、それを報告フローに乗せる手順をあらかじめ決めておく必要があります。

罰則も軽視できません。届出義務に違反して監督官庁の是正命令に従わない場合は200万円以下の罰金、資料提出などの求めに応じない場合は30万円以下の罰金が規定されています。

そして物流業界で特に意識しておきたいのが、指定外の事業者への波及です。特定重要電子計算機の運用を受託するITベンダーやグループ会社、システム構成によっては委託先が保有する機器も対象になりうると指摘されています。

元請・下請の重層構造が常態で、事業者間のシステム連携やデータ連携も進んでいる物流分野では、自社が指定されていなくても「指定事業者の委託先・接続先」として制度に巻き込まれる場面は十分に考えられます。

港湾運送では「すでに」審査が始まっています

強化法の施行を待つまでもなく、港湾運送分野には強制力を持つ仕組みがすでに動いています。改正港湾運送事業法施行規則（令和6年3月31日施行）により、一般港湾運送事業への参入等の際に審査を受ける事業計画に、TOSの概要や情報セキュリティの確保に関する事項の記載が求められるようになりました。TOSのセキュリティ対策の確保状況を、国が事業計画の審査を通じて確認する仕組みです。

推奨基準であるガイドラインとは異なり、こちらは事業計画の申請項目という強制要件です。港湾運送の世界では、セキュリティ対策が「やっておくと望ましいこと」から「事業を営むための条件」に、すでに一歩踏み込んでいるといえます。

ガイドラインが描く「インシデント対応の実務」

国土交通省は、物流分野について「貨物自動車運送」「倉庫」「船舶運航」の3本の安全ガイドライン（いずれも令和6年4月制定・第1版）を、港湾分野について「港湾分野における情報セキュリティ確保に係る安全ガイドライン」を定めています。港湾分野のガイドラインは令和6年4月の第1版から改定を重ね、令和8年5月には第3版が公表されました。名古屋港の事案からわずか9か月で初版が出て、以降毎年改定されているスピード感は、この分野への行政の危機感の表れと見てよいでしょう。

これらのガイドラインは国による監査を伴わない推奨基準ですが、強化法下で報告義務を果たすための実務的な土台はここに書かれています。インシデント対応の観点で押さえておきたいポイントを拾います。

• 経営層を巻き込んだ体制づくり

  港湾分野のガイドラインは、複雑・巧妙化するサイバー攻撃をすべて防ぐことは難しいという認識に立ち、経営層を含めた組織全体での対応と、リスクマネジメントによる事前対応と危機管理の組合せによる障害対応体制の強化を求めています。現場のシステム担当者だけで完結する話ではない、という位置づけがまず出発点です。

• 発生時の連絡と記録

  港湾分野のガイドラインには、攻撃を受けた際は国土交通省や警察に連絡し、状況を逐次時系列で保存すること、という具体的な行動指針が示されています。時系列の記録は、その後の原因究明にも、強化法の速報・詳報にも直結する基礎資料になります。異常に気づいた瞬間から記録が始まる運用を、平時のうちに仕組みにしておくことが肝心です。

• ランサムウェアへの構え

  同ガイドラインは、ランサムウェア攻撃で金銭を要求された際には、以降の攻撃を助長しないためにも支払いを厳に慎むことが望ましい、と明記しています。あわせて、バックアップを適切に取得し、現用システムとは切り離した場所に保存することを求めています。名古屋港の事案が復旧に至れたのも、最終的にはデータを取り戻せたからであり、バックアップの取り方はインシデント対応の成否そのものを左右します。

• 復旧手順の事前設計

  名古屋港の経過が示すとおり、復旧は「システムを立ち上げ直したら終わり」ではありません。停止中に手作業で動かした分とシステム上のデータの整合性確認、ターミナルや拠点ごとの段階的な再開判断など、復旧局面には固有の作業が発生します。自社の業務でシステム停止中に手作業運用へ切り替えた場合、何と何の突合が必要になるのかを、事前に洗い出しておく価値は大きいはずです。

施行までに何をしておくか

2026年10月の施行を見据えると、指定対象（または対象候補）の事業者がやるべきことは絞られてきます。

1. 資産の棚卸し

   届出対象となりうる特定重要電子計算機と周辺機器を洗い出します。港湾運送であればTOSが中心になりますが、陸上貨物輸送では配車・運行管理系のシステム、倉庫系であればWMSなど、業務停止に直結するシステムがどれかを、影響の大きさから逆算して特定していくことになります。

2. 報告フローの整備

   認知の定義（クラウドベンダーからの通知を含む）、速報の起案者と決裁ルート、詳報30日以内の調査体制を、緊急時対応計画に組み込みます。ガイドラインが求める国土交通省・警察への連絡や時系列記録と、強化法の法定報告は、別々に設計すると現場が混乱します。「一度記録すれば各方面への報告に使い回せる」形に一本化しておきましょう。

3. 取引先を含めた整理

   自社システムの委託先、荷主や元請・下請とのデータ連携先について、インシデント発生時に誰が誰へ、いつ連絡するのかを確認しておきます。名古屋港の事案が示したように、物流のインシデントは1社の被害では終わりません。自社が発生源になる場合と、接続先の障害に巻き込まれる場合の両方を想定しておくことが、この業界ならではの備えになります。

法律の細部は施行までに政省令や運用ルールで詰められていく部分が残っており、本稿で「案」と記した事項は今後変わる可能性があります。最新の情報は、内閣府（サイバー安全保障担当・経済安全保障担当）と国土交通省の公表資料でご確認ください。

そこでIncident Lake

ここまで見てきたとおり、強化法への対応で本当に負荷がかかるのは、平時のルールづくり以上に「インシデントが起きたその瞬間からの実務」です。認知した事実を整理して速やかに速報を出し、対応と並行して時系列の記録を残し、30日以内に詳報をまとめ、国土交通省・警察・取引先といった複数の連絡先への報告をさば区ことを考えると、名古屋港の事案が示したように、物流のインシデントは影響範囲が広く、対応中の現場に報告業務の余力はほとんど残りません。

Incident Lakeは、この一連の流れを支えるインシデント管理プラットフォームです。インシデントが起きた際の報告から復帰までの対応、レポートの作成や管理までを自動化し、担当者が本来集中すべき「目の前の障害を止め、物流を動かし続けること」に時間を使えるようにします。速報・詳報のような期限付きの報告が制度として動き出す今だからこそ、報告と記録の仕組みを人の頑張りに頼らない形に変えておくことをおすすめします。

参考資料

• 国土交通省「港湾分野における情報セキュリティ確保に係る安全ガイドライン（第3版）～導入編～」（令和8年5月13日） https://www.mlit.go.jp/kowan/content/001880210.pdf

• 国土交通省「『港湾分野における情報セキュリティ確保に係る安全ガイドライン（第3版）』に関するQ&A」（令和8年5月13日） https://www.mlit.go.jp/kowan/content/001891691.pdf

• 国土交通省「物流分野（倉庫）における情報セキュリティ確保に係る安全ガイドライン 第1版」（令和6年4月18日）

  https://www.mlit.go.jp/jidosha/jidosha_tk4_000121.html

• 国土交通省 情報セキュリティ（各分野の安全ガイドライン一覧） https://www.mlit.go.jp/sogoseisaku/jouhouka/sosei_jouhouka9999.html

• 国土交通省 経済安全保障（基幹インフラ役務の安定的な提供の確保に関する制度・特定社会基盤事業者の指定状況） https://www.mlit.go.jp/sogoseisaku/jouhouka/sosei_jouhouka_fr1_000028.html

• 内閣府「基幹インフラ役務の安定的な提供の確保に関する制度」 https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html

• 内閣府政策統括官（サイバー安全保障担当）「サイバー対処能力強化法（官民連携）の施行に向けた考え方の案」（令和7年12月） https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• 日経クロステック「サイバー対処能力強化法が10月施行、取引先から排除のリスクも」（2026年） https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/