【電気・ガス事業者】サイバー対処能力強化法の施行でインシデント対応はこう変わります

2025年5月に成立した、いわゆる「サイバー対処能力強化法」（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律）の官民連携部分が、2026年10月に施行されます。基幹インフラ15分野の筆頭に挙げられるのが電気とガスであり、指定を受けた事業者には、システム資産の届出とサイバーインシデントの政府への報告が法律上の義務として課されることになります。

エネルギーは、世界のサイバー攻撃事例を振り返ったとき、最も深刻な被害が現実に起きてきた分野です。2015年のウクライナでは電力会社の制御システムが不正操作されて大規模停電が発生し、2021年の米国では大手燃料パイプラインがランサムウェア被害を受けて操業を約5日間停止、東海岸で燃料不足を引き起こしました。

日本の電力・ガス業界は、こうした情勢を受けて重要インフラの中でも早くから法制度・ガイドラインの整備が進んできた分野ですが、強化法はそこに「国への報告義務」という新しい層を重ねるものです。

本稿では、電気・ガス事業者が実務としてどのようなインシデント対応を求められるのかを、法律・保安法制・ガイドラインの三層に分けて整理します。

法律で義務になること：届出とインシデント報告

強化法の直接の対象となるのは、経済安全保障推進法に基づいて指定される特定社会基盤事業者（基幹インフラ事業者）で、令和8年4月1日時点で全分野合計257者が指定されています。電気・ガスは制度発足当初からの対象分野であり、令和5年11月に事業者が指定され、令和6年5月17日から特定重要設備の導入等に係る事前審査の規律が適用されています。

こうして指定された事業者に、強化法は次の義務を課します。基幹業務に関わる情報システムのうち「特定重要電子計算機」に該当するものについて、ベンダー名や製品情報などを政府に届け出ること。そして、サイバー攻撃を受けた際にインシデント報告を行うことです。

報告の枠組みについて、内閣府の有識者会議に示された施行に向けた考え方（案）では、報告は二段階とされています。インシデントを認知したら速やかに「速報」を出し、30日以内に「詳報」を提出する。いずれも、その時点で把握している事項だけを報告すればよく、初動で完璧な原因分析を求められるわけではありません。

報告対象は不正アクセスなどの「特定不正行為」の痕跡だけでなく、それに繋がる事象も含まれます。予兆段階から報告義務が動き出す設計です。

クラウド利用時の扱いも整理されています。SaaSや（ミドルウェア・OSに係る）PaaSの場合は、クラウド事業者から通知があった時点で「認知」とみなされます。顧客管理や料金系をはじめクラウド化が進む領域を持つ事業者は、ベンダーからの障害・侵害通知を受け取る窓口と、それを報告フローに乗せる手順をあらかじめ決めておく必要があります。

罰則も軽視できません。届出義務に違反して監督官庁の是正命令に従わない場合は200万円以下の罰金、資料提出などの求めに応じない場合は30万円以下の罰金が規定されています。

また、直接指定されない事業者も無関係ではありません。特定重要電子計算機の運用を受託するITベンダーやグループ会社、システム構成によっては委託先が保有する機器も対象になりうると指摘されています。

発電・小売・送配電の分離やグループ会社への業務委託が進んだ電力業界、共同輸送・受託製造が珍しくないガス業界では、自社が「指定事業者の委託先」として制度に関わる場面は十分に考えられます。

保安法制で「すでに」義務になっていること

電気・ガスの実務家であればご存じのとおり、この業界のサイバーセキュリティ規制は強化法が初めてではありません。むしろ、重要インフラの中でも最も早くから強制基準が置かれてきた分野です。

電気については、「電気設備に関する技術基準を定める省令」第15条の2が、事業用電気工作物の運転を管理する電子計算機について、人体への危害や物件への損傷のおそれ、および電気の供給に著しい支障を及ぼすおそれがないよう、サイバーセキュリティを確保しなければならないと定めています。

この規定は2016年（平成28年）の改正で導入されたもので、技術基準の解釈では「電力制御システムセキュリティガイドライン」などの具体的なガイドラインに「よること」とされています。さらに令和4年6月の改正では対象が自家用電気工作物にも拡大され（同年10月施行）、対象設備の設置者は保安規程にサイバーセキュリティ対策を明記することが求められるようになりました。

ガスについても、ガス事業法施行規則の改正（2019年公布）により、ガス工作物の運転・操作を管理する電子計算機に係るサイバーセキュリティの確保が、保安規程に盛り込むべき事項として位置付けられています。保安活動の根幹である保安規程を法令上の対応の中心に据えるという整理で、日本ガス協会も「製造・供給に係る制御系システムのセキュリティ対策ガイドライン」を業界ガイドラインとして整備し、事業者の社内規定づくりを支援してきました。

加えて、令和4年に公布されたいわゆるスマート保安関連の法改正（高圧ガス保安法・ガス事業法・電気事業法等の一部改正）では、保安に係るサイバーセキュリティに関する重大な事態が生じ、またはその疑いがある場合に、国が独立行政法人情報処理推進機構（IPA）に原因究明のための調査を要請できる仕組みが導入されました。インシデントの「その後」に国が関与する枠組みは、すでに保安法制の側にも組み込まれているのです。

つまり電気・ガス事業者にとって強化法は、ゼロからの義務ではなく、保安規程・技術基準として積み上げてきた対策の上に「認知したら速やかに国へ報告する」という運用を載せる話だと捉えるのが正確です。

ガイドラインが描く「インシデント対応の実務」

経済産業省・資源エネルギー庁と業界団体は、電力・ガス向けに複数のガイドラインを整備してきました。電力分野では「電力制御システムセキュリティガイドライン」がPDCAサイクルに基づくセキュリティ対策の計画・実施・点検・改善を求めており、資源エネルギー庁は令和6年3月に、NIST CSFの機能・カテゴリーに基づく108のリスク点検項目を収めた「電力システムにおけるサイバーセキュリティリスク点検ガイド」を公表しています。ガイドの前提にあるのは、ガイドライン整備で対策は進みつつあるが、脅威は日々進化しており現状の対策で十分ということは決してない、という認識です。

インシデント対応の観点で押さえておきたいポイントを挙げます。

• ITの被害が供給停止に波及する前提で考える

  米国のパイプライン事案が象徴的ですが、ランサムウェアに感染したのが業務系（IT）システムであっても、安全確保や課金・出荷管理の不能を理由に、供給側（OT）を止める経営判断に追い込まれることがあります。「制御系は無事だから供給は続けられる」とは限りません。

  IT側のインシデントが起きたときに供給継続の可否を誰がどう判断するのか、その判断基準を平時に決めておくことが、エネルギー事業者のインシデント対応の核心です。

• OTとITの境界を過信しない

  2015年のウクライナの停電では、ファイアウォールとVPNで論理的に分離されていた制御システムが、業務端末経由で窃取された正規の認証情報を使ってVPN越しに不正操作されました。

  保守用VPN、遠隔監視、スマート保安の進展による接続点の増加は、効率化と裏腹に攻撃面を広げます。自家用電気工作物にまで技術基準の適用が広がった令和4年改正は、遠隔監視・制御の普及でリスクの裾野が広がったことへの対応にほかなりません。

• 予兆の段階から記録し、動く

  強化法の報告対象は特定不正行為に「繋がる事象」まで含みます。制御系・情報系それぞれの監視で拾った異常を、時系列で記録し、報告要否を判断するラインに乗せる。この一連の流れを、速報の期限に間に合う速度で回せるかが問われます。

• 情報共有の枠組みを使い倒す

  電力分野には電力ISACやセプターといった業界の情報共有の枠組みがあり、ガス分野でもセプターを通じた知見共有や訓練が積み重ねられてきました。強化法施行後は、国への法定報告、IPAへの調査協力、業界内の情報共有という複数の経路が並走します。どの情報を、誰の判断で、どこへ出すのか。窓口の整理を平時に済ませておくと、有事の混乱を大きく減らせます。

施行までに何をしておくか

2026年10月の施行を見据えると、指定対象（または対象候補）の事業者がやるべきことは絞られてきます。

1. 資産の棚卸し

   届出対象となりうる特定重要電子計算機と周辺機器を洗い出します。監視制御や給電運用、製造・供給の制御系はもちろん、攻撃を受けると供給業務の停止や機能低下につながるシステムを、影響の大きさから逆算して特定していくことになります。経済安保推進法の事前審査対応で作成した設備リストは、そのまま出発点として使えるはずです。

2. 報告フローの整備

   認知の定義（クラウドベンダーからの通知を含む）、速報の起案者と決裁ルート、詳報30日以内の調査体制を、緊急時対応計画に組み込みます。電気・ガスには電気関係報告規則やガス事業法に基づく既存の事故報告制度があり、強化法の報告とは目的も宛先も異なります。同じインシデントについて複数の報告が走ることを前提に、「一度記録すれば各制度の報告に展開できる」形へ記録様式を一本化しておきましょう。

3. 経営層の関与

   IT側の被害で供給を止めるかどうかという判断は、現場やシステム部門だけでは背負えません。保安規程にサイバーセキュリティを明記する義務が示すとおり、この分野のセキュリティは保安そのもの、すなわち経営責任の領域です。インシデント対応計画の承認と訓練への参加を、経営層の仕事として位置付けておくことが、施行前の仕上げになります。

法律の細部は施行までに政省令や運用ルールで詰められていく部分が残っており、本稿で「案」と記した事項は今後変わる可能性があります。最新の情報は、内閣府（サイバー安全保障担当・経済安全保障担当）と経済産業省・資源エネルギー庁の公表資料でご確認ください。

そこでIncident Lake

ここまで見てきたとおり、強化法への対応で本当に負荷がかかるのは、平時のルールづくり以上に「インシデントが起きたその瞬間からの実務」です。認知した事実を整理して速やかに速報を出し、供給継続の判断と並行して時系列の記録を残し、30日以内に詳報をまとめ、国への法定報告・既存の事故報告・業界内の情報共有と複数の宛先への報告をさばく——供給を止めないことに全力を注ぐべき局面で、報告業務に人手を割く余裕はほとんど残りません。

Incident Lakeは、この一連の流れを支えるインシデント管理プラットフォームです。インシデントが起きた際の報告から復帰までの対応、レポートの作成や管理までを自動化し、担当者が本来集中すべき「供給を守り、復旧させること」に時間を使えるようにします。速報・詳報のような期限付きの報告が制度として動き出す今だからこそ、報告と記録の仕組みを人の頑張りに頼らない形に変えておくことをおすすめします。

参考資料

• 電気設備に関する技術基準を定める省令（平成9年通商産業省令第52号）第15条の2

• 経済産業省「自家用電気工作物におけるサイバーセキュリティの確保について」 https://www.meti.go.jp/policy/safety_security/industrial_safety/sangyo/electric/detail/cybersecurity.html

• 資源エネルギー庁「電力システムにおけるサイバーセキュリティリスク点検ガイド」（令和6年3月） 

  https://www.meti.go.jp/press/2023/03/20240322003/20240322003.html

• 資源エネルギー庁「電力分野におけるサイバーセキュリティについて」（2024年4月17日 電力・ガス基本政策小委員会資料） https://www.meti.go.jp/shingikai/enecho/denryoku_gas/denryoku_gas/pdf/073_07_00.pdf

• 経済産業省産業保安グループ「ガス分野におけるサイバーセキュリティ対応の向上に向けた取組について」（2019年3月 ガス安全小委員会資料） https://www.meti.go.jp/shingikai/sankoshin/hoan_shohi/gas_anzen/pdf/019_04_02.pdf

• 内閣府「基幹インフラ役務の安定的な提供の確保に関する制度」 https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html

• 内閣府政策統括官（サイバー安全保障担当）「サイバー対処能力強化法（官民連携）の施行に向けた考え方の案」（令和7年12月） https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• 日経クロステック「サイバー対処能力強化法が10月施行、取引先から排除のリスクも」（2026年） https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/