なぜ「備え」は後回しにされるのか ─ 10月の法改正が突きつけるもの

はじめまして。この連載を書かせていただくことになった、SaaS企業で広報をしている上砂(かみさご)です。

先に正直に言っておくと、私は修羅場を何度もくぐり抜けてきたような、危機管理広報のプロではありません。実際に記者会見の壇上に立った経験もありません。ただ、以前在籍していた会社で、危機管理広報のマニュアルをコンサルタントの方と一緒に本気で作り、社内制度の整備、危機発生を想定した訓練を実際に企画・実施したことがあります。この連載は、そのとき「何が難しくて、何をどう整理すればよかったのか」を、改めて振り返りながら書くものです。武勇伝ではなく、備えを一度ちゃんと作った人間の記録として読んでもらえたら嬉しいです。

第1回は最近の社会の動きを押さえるためにも、法改正の話から始めます。

サイバー対処能力強化法、10月施行が示すもの

2026年10月1日、「重要電子計算機に対する不正な行為による被害の防止に関する法律」、通称サイバー対処能力強化法が施行されます。

「なんだか難しそうな法律だな」と思った方も多いと思うので、できるだけかみ砕いて説明します。

この法律がやろうとしていることは、シンプルに言うと「電気・ガス・通信・水道・金融・航空など、生活の土台を支えている会社(法律上は"基幹インフラ事業者"と呼ばれます)に対して、サイバー攻撃を受けたときは、国にちゃんと報告してくださいね」というルールです。対象になるのは15の業種、257社ほどとされています※1。

※1 内閣官房国家サイバー統括室「サイバー対処能力強化法及び同整備法について」
https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html
https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf

社会の基盤を支える会社には「サイバー攻撃という"火事"が起きたら、決められた手順で国に報告する」というルールが新しくできた、というイメージです。報告を怠ると、監督する省庁から是正命令が出て、それでも従わないと罰金の対象になります※2。

※2 重要電子計算機に対する不正な行為による被害の防止に関する法律(令和7年法律第42号)
https://laws.e-gov.go.jp/law/507AC0000000042

ここで大事なのは、「うちは基幹インフラ事業者じゃないから関係ない」と思ってしまうことの危うさです。この法律の直接の対象ではなくても、対象企業に何かしらのシステムやサービスを提供している会社、取引先や委託先としてつながっている会社は少なくないはずです。基幹インフラを支える側が動けば、その周辺にいる会社にも、いずれ同じレベルの備えが求められるようになっていきます。「対象じゃないから安心」ではなく、「対象になる会社が変わり始めている」と捉えたほうが、実態に近いと思います。

私自身、この法律のニュースを見たとき、恥ずかしながら最初は「あまり関係ない話」だと思っていました。でも調べていくうちに、これは特定の業種だけの話ではなく、「社会全体が、企業に"備えていること"を求める方向に向かっている」ことの表れなんだと気づきました。この連載は、その気づきから始まっています。

なぜ危機管理広報の優先順位は上がらないのか

法律が変わっても、多くの会社では、危機管理広報の優先順位はなかなか上がりません。これはどこの広報担当者も、一度はぶつかる壁だと思います。

ここで大事にしたいのは、「経営陣が危機管理に理解がないから」という単純な話にしないことです。経営陣の立場に立って考えると、投資判断が難しい理由がちゃんとあります。

まず、会社は限られたリソースの中で、今日・来月・来期の売上を作らなければいけません。そんな中で「起きるかどうかわからないこと」への投資は、他の投資と比べて評価がとても難しいものです。新しい機能を作れば売上という結果で判断できますが、危機管理広報への投資がうまくいっているかどうかは、「何も起きなかったこと」でしか証明できません。うまくいけばいくほど、成果が見えなくなるという、ちょっと意地悪な構造になっているんです。

さらに、社内の評価制度も基本的には「攻め」の成果を評価するようにできていることが多く、「守り」への投資を後押しする仕組みが弱いことも少なくありません。これは経営陣だけの問題というより、多くの会社に共通する構造的な課題だと思います。

だからこそ、危機管理への取り組みは、会社が小さいうちから完璧を目指す必要はないと思っています。目安としては、事業が安定してきて、顧客数や従業員数が増え、失うものが大きくなってきたタイミングで少しずつ手をつけていくのが現実的です。すでにBCP(事業継続計画)に取り組んでいる会社であれば、そこに危機管理広報の視点を足していく形で始めるのが、一番無理がないはずです。危機管理広報は、BCPの中の「対外的にどう説明するか」という部分を担っているとも言えます。

外圧を味方につける

ここまで読んで、「じゃあ、経営陣にどう説明すれば動いてもらえるんだろう」と思った方もいるかもしれません。

私自身の経験から言えるのは、社内の説得だけで経営陣を動かそうとするより、社外からの圧力をうまく味方につけたほうが、ずっと話が早いということです。今回取り上げたような法改正はもちろん、投資家からのデューデリジェンス、取引先からの監査、業界団体のガイドラインなど、「外から求められている」という事実は、社内で一からロジックを組み立てるよりも強い説得材料になります。

第1回の入り口として今回の法改正を取り上げたのも、この「外圧」を最初の一歩に使ってほしいという意図からです。

この連載の立ち位置

最後に、あらためてこの連載のスタンスをお伝えしておきます。

私は、大規模なシステム障害や記者会見の現場を渡り歩いてきた専門家ではありません。前職で一度、コンサルタントの力を借りながら、危機管理広報のマニュアルを本気で作り、実際に訓練まで実施した、一人の実務者です。これから紹介する内容は、私自身が「もう一度、ゼロから作るとしたら」という視点で振り返りながら書いていきます。

次回は、危機管理広報を「何から手をつければいいかわからない」状態から抜け出すための、全体像の話をします。