インシデント対応から考える、サイバー対処能力強化法

本記事は法律を解説する記事ではありませんので、正確な情報は必ず弁護士や統括する行政機関にご確認ください。

2026年10月、「サイバー対処能力強化法」および同整備法が施行されます。
報道では「能動的サイバー防御」、政府による通信情報の利用や攻撃サーバの無害化措置ばかりが注目されがちですが、企業のセキュリティ担当者にとって実務インパクトが最も大きいのは、じつは地味な部分です。すなわち、インシデントの「認知」を起点とした国への報告義務と、それを支える資産届出・官民の情報共有の仕組みです。

この記事では、法律の逐条解説ではなく、「インシデント対応の現場から見たとき、この法律は何を要求しているのか」という視点で整理します。結論を先に言えば、この法律が問うているのは報告書を書く能力ではなく、報告に耐える品質のインシデント記録を、対応と同時に残せる体制があるかです。

1. まず最小限の前提知識

サイバー対処能力強化法（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律）は2025年5月16日に成立、同月23日に公布され、主要部分が2026年10月1日に施行されます。柱は大きく4つです。
ref: 第217回国会（常会）議案情報 - 重要電子計算機に対する不正な行為による被害の防止に関する法律案

1. 官民連携の強化（資産の届出、インシデント報告、官民協議会）

2. 通信情報の利用（攻撃検知のための通信情報の取得・分析）

3. アクセス・無害化措置（警察・自衛隊による攻撃インフラへの対処）

4. 組織・体制の整備（国家サイバー統括室、サイバー通信情報監理委員会など）

このうち企業に直接の義務が生じるのは1の官民連携パートです。直接の対象は、経済安全保障推進法の基幹インフラ制度と連動した15業種・約257社の「特別社会基盤事業者」（いわゆる基幹インフラ事業者）。電力、ガス、水道、通信、金融、航空、鉄道などが該当します。

「うちは257社に入っていないから関係ない」と思った方は、もう少しだけ読み進めてください。義務の設計を見ると、影響範囲は届出の対象機器の定義とサプライチェーンを通じて、その外側に大きく染み出します。

2. インシデント対応のライフサイクルに法律を投射する

インシデント対応の標準的なライフサイクル（準備 → 検知・分析 → 封じ込め・根絶・復旧 → ポストモーテム）に、この法律の要求を重ねてみます。こうすると、この法律が実質的に「インシデント対応プロセスの各フェーズに国というステークホルダーを追加する法律」であることが見えてきます。

準備フェーズ：資産管理が法的義務になる

対象事業者は、「特定重要電子計算機」を導入・変更する際、製品名や型番等を事業所管大臣に届け出る義務を負います。

インシデント対応の実務者として注目すべきは、この「特定重要電子計算機」の定義です。基幹業務を担うシステム本体だけでなく、「サイバー攻撃を受けた場合に特定重要設備の機能停止・低下をもたらすおそれがある機器」まで含まれ、ファイアウォール、VPN機器、認証サーバ、DMZ内の機器、アクセス制御機器などが候補として示されています。

近年の重大インシデントの初期侵入経路は、まさにVPN機器や認証基盤の脆弱性です。つまりこの届出制度は、攻撃者が最初に触る資産を国が把握しておくための設計であり、裏を返せば、企業側も「侵入経路になりうる資産」を平時から台帳化できていなければ、届出義務を果たせないということです。

インシデント対応の世界では昔から「インシデント対応の質は準備フェーズで決まる」「自社の資産を把握していない組織は侵害範囲を特定できない」と言われてきました。この法律は、その教訓を法的義務に翻訳したものと読めます。

検知・分析フェーズ：報告の時計は「認知」から動き出す

本法のインシデント報告義務（第5条）でインシデント対応実務上もっとも重要なのは、報告のトリガーが「特定侵害事象の発生を認知したとき」である点です。被害が確定したときでも、調査が完了したときでもありません。

さらに、報告対象は実害が出た事象だけではありません。
「その原因となり得る事象」、いわゆるヒヤリハットを認知した場合も報告義務の対象とされています。

これがインシデント対応の現場に意味するところは重大です。

• 「これはインシデントか、単なるアラートか」というトリアージ判断そのものが、法的義務の発生時点を左右する

• 「いつ・誰が・何を認知したか」を記録していなければ、報告義務を適切に履行したことを後から示せない

• SOCやMDRベンダーからのエスカレーション基準と、法律上の「認知」の関係を整理しておかないと、報告漏れ・報告遅延のリスクを外部委託先が握ることになる

多くの組織のインシデント対応のプレイブックは「重大インシデントの宣言」を起点に動きますが、この法律の下では、宣言に至る前のトリアージ段階から証跡が必要になります。

封じ込め・復旧フェーズ：政府が対応の当事者になりうる

整備法には、重大な危害を阻止するために政府がアクセス・無害化措置を講じる規定があります。基幹インフラ事業者の取引先システムが攻撃の踏み台になった場合、その取引先のシステムが措置の対象となる可能性も指摘されています。

また、報告義務の違反や不適切な対応に対しては、所管大臣による是正命令があり、従わない場合は罰金（届出義務違反で200万円以下）が科されます。金額自体は大きくありませんが、実務上の本当のリスクは罰金ではなく、是正命令を受けた事実による取引先からの信頼失墜や、インシデント対応中に監督当局対応が並走することでしょう。インシデント対応の指揮系統（インシデントコマンダー体制）の中に、「当局対応」という役割を明示的に組み込んでおく必要があります。

事後活動フェーズ：報告と情報共有が「学び」の外部化を要求する

従来、事後レビュー（ポストモーテム）は社内の再発防止のための活動でした。本法の下では、インシデント報告を通じて国に情報が集約され、国家サイバー統括室が分析し、他の事業者への注意喚起等に活用されます。さらに2026年秋には、基幹インフラ事業者やセキュリティベンダー、政府機関等が参加する新たな官民協議会が立ち上がり、平時・有事の脅威情報の相互共有が始まる予定です。

つまり、自社のインシデントから得た技術的知見（攻撃技術情報、IoC等）を、共有可能な粒度と形式で構造化して残すことが、単なるベストプラクティスから制度上の前提へと変わっていきます。

3. 報告実務はどうなるか：統一様式と窓口一元化

「また報告先が増えるのか」という悲鳴が聞こえてきそうですが、ここには朗報もあります。

　現状、日本企業がインシデント時に対応すべき報告・相談は、個人情報保護法に基づく個人情報保護委員会への報告、各種業法に基づく所管省庁への事故報告、警察への通報・相談など、複数の制度に分散しています。ここに強化法の報告義務が加わるため、政府はこれらを一元的に扱う仕組みの整備を進めています。

• 第1段階（2025年10月〜）：DDoS攻撃・ランサムウェア事案について統一報告様式の運用を開始（国家サイバー統括室「サイバー攻撃による被害発生時のインシデント報告様式の統一について」)

• 第2段階（強化法の報告義務施行に合わせて）：報告受付システムを整備し、窓口を一元化。一つのシステムから所管省庁・個人情報保護委員会への報告や警察への相談をまとめて行えるようにする方針

インシデント対応の実務の観点でこれが意味するのは、「報告書」が自由記述の文書から、定義されたフィールドを持つ構造化データに近づいていくということです。統一様式には、事案の概要・事実経過、影響を受けた機器の種類や台数、システムの稼働状況、攻撃技術情報、公表の実施状況といった項目が並びます。

これらはすべて、インシデント対応の過程で自然に発生する情報です。対応のタイムライン、影響資産、検知した攻撃手法を構造化して記録する運用ができていれば、報告書作成は「転記」で済みます。逆に、Slackのスレッドと個人のメモに散らばった状態から締切までに報告書を組み立てるのは、対応リソースを最も奪う作業になります。

4. 先行するEUから「次」を読む

日本のこの制度設計は、国際的な潮流の中に位置づけると今後の方向が読みやすくなります。参照点はEUのNIS2指令です。

NIS2は重要インフラを含む幅広いセクターの事業者に、重大インシデントについて 24時間以内の早期警告 → 72時間以内のインシデント通知（重大性・影響の初期評価、可能ならIoCを含む）→ 1カ月以内の最終報告 という多段階の期限付き報告を義務付けています。違反時の制裁金は最大1,000万ユーロまたは全世界売上高の2%と、GDPR級の水準です。米国のCIRCIAも重大インシデント72時間以内・ランサムウェア被害24時間以内という期限を定めており、「認知起点・時間制限付き・多段階」の報告モデルは日米欧で収斂しつつあります。
※参考：PwC 欧州のサイバーセキュリティに関する法令、NIS2指令とは

現時点の日本の強化法は、NIS2ほど厳格な時間刻みの多段階報告を明文化してはいません。しかし注目すべきは、法案審議の過程で3年後見直しの規定が追加されていることです。（※参照：日経 X TECH 能動的サイバー防御関連法案が衆院で可決、国会報告強化や3年後見直しを修正追加）
EUがNIS指令からNIS2への改正で対象セクターを大幅に拡大し、報告期限を厳格化した経緯を踏まえると、日本でも見直しのタイミングで次のような展開が現実的なシナリオとして考えられます。

• 対象業種・事業者の拡大（現在の257社から、より広い「重要な事業者」への展開）

• 報告期限・段階の明確化（NIS2型の 24h/72h/1カ月モデルへの接近）

• サプライチェーン（委託先・ベンダー）への報告義務の波及——現時点では取引先が攻撃された場合の報告義務は明確になっておらず、この「余白」自体が今後の規制拡大の予告と読めます

いま基幹インフラ事業者に課される要求は、数年後にはより広い企業に降りてくる可能性が高い。これが、対象外の企業もこの法律を「他人事」にできない理由です。

5. インシデント対応体制の観点で、今から準備すべきこと

以上を踏まえ、インシデント対応の観点から準備すべきことを5つに絞ります。

（1）資産台帳とインシデント記録をつなげる
特定重要電子計算機に該当しうる機器（境界機器、認証基盤、アクセス制御）の棚卸しと台帳化。そのうえで、インシデント発生時に「どの届出資産が影響を受けたか」を即座に紐付けられる状態にする。届出とインシデント報告は同じ台帳を参照する、一体の制度だからです。

（2）「認知」の定義とトリアージ基準を文書化する
 どのアラート、どのエスカレーションをもって「認知」とするか。SOC・MDR等の委託先との間で、エスカレーション基準と報告義務の関係を契約・運用レベルで整合させる。

（3）タイムラインを対応の副産物として残す運用にする
 検知時刻、認知時刻、各判断、実施した措置を時系列で記録する。報告のためだけの作業を増やすのではなく、対応の記録がそのまま報告の材料になる仕組み（ツール・テンプレート）を整える。NIS2が「報告義務のためにインシデント対応のリソースが奪われてはならない」とわざわざ明記しているのは、そうなりがちだからです。

（4）当局報告をインシデント指揮体制に組み込む
誰が報告文面を確定し、誰が所管省庁とやりとりするか。広報・法務・経営層を含むエスカレーションパスに「当局対応」の役割を明示する。訓練（机上演習）のシナリオにも報告プロセスを含める。

（5）委託先・グループ会社との報告フローを設計する
自社が基幹インフラ事業者なら、システム運用委託先からのインシデント連絡義務・期限を契約に落とす。自社がベンダー側なら、顧客の報告義務を支える情報提供（影響機器、攻撃技術情報）を期限内に行える体制を作る。

おわりに：この法律は「記録の法律」である

サイバー対処能力強化法は、能動的サイバー防御という派手な看板を掲げていますが、企業実務の側から見れば、その本質はインシデント対応の透明化と構造化を求める法律です。

何を資産として持っているか（届出）。いつ何を認知したか（報告トリガー）。どう対応し、何がわかったか（報告・情報共有）。これらすべてに共通するのは、「対応しながら、検証可能な記録を残す」という一点です。

そしてこれは、法律がなくても優れたインシデント対応チームが昔からやってきたことでもあります。2026年10月の施行は、その規律を持つ組織と持たない組織の差が、法令遵守という形で外から見えるようになる転換点だと言えるでしょう。

参考（一次情報・主要ソース）

• 内閣官房「サイバー対処能力強化法及び同整備法について」（国家サイバー統括室）

• サイバーセキュリティ戦略（令和7年12月23日閣議決定）

• 森・濱田松本法律事務所「セキュリティインシデント報告一元化に向けた動き」

• 日経クロステック「サイバー対処能力強化法が10月施行、取引先から排除のリスクも」

• pwc「能動的サイバー防御の導入による基幹インフラ事業者への影響（前編）」

• pwc「能動的サイバー防御の導入による基幹インフラ事業者への影響（後編）」

• EU NIS2指令（Directive (EU) 2022/2555）