イギリスのサイバーセキュリティ法解説

イギリスでの事業展開を検討される日本の経営者や法務ご担当者の皆様へ。デジタル化が進む現代において、サイバーセキュリティは単なる技術的課題ではなく、企業の法的リスク管理の中核をなすものとなっています。イギリスには複数のサイバーセキュリティ関連法制が存在しますが、本記事ではその中から、サイバー犯罪の処罰を定める「コンピュータ不正使用法（Computer Misuse Act 1990, CMA）」と、公共通信ネットワークやサービスのセキュリティ強化を図る「電気通信セキュリティ法（Telecommunications (Security) Act 2021, TSA）」を取り上げます。これらの法律には、日本の法制度と共通する部分もありますが、その規制対象や義務の内容には重要な違いが見られます。

本記事では、これらの法律の核心を解説し、特に日本企業が事業を進める上で見過ごしがちな法務上の留意点と実務上の対策について、深掘りしてまいります。

なお、イギリスの包括的な法制度の概要は下記記事にてまとめています。

イギリスのコンピュータ不正使用法（CMA）の基本構造

「不正アクセス」の定義とその影響

イギリスのサイバー犯罪法制の中核をなす「コンピュータ不正使用法1990年（CMA）」は、コンピュータシステムやデータへの不正アクセスを犯罪と定めています。その最も基本的な犯罪は、第1条に定められた「権限のないアクセス」であり、これは端末を直接操作する場合かリモート接続の場合かを問わず、広範に処罰の対象となります。具体的には、プログラムやデータを改ざん、消去、コピー、移動する行為や、コンピュータからプログラムやデータを出力する行為が含まれます。この犯罪が成立するには、アクセスする者が、自身にアクセスする権限がないことを認識している必要があります。

このCMAの広範な定義は、日本の「不正アクセス行為の禁止等に関する法律」（不正アクセス禁止法）との間に明確な違いを生じさせます。日本の不正アクセス禁止法は、不正アクセス行為を「他人の識別符号（ID・パスワード等）の不正利用」または「セキュリティ・ホール（脆弱性）の利用」という特定の手段に限定して定義しています。このため、日本の法律では、技術的な不正侵入手段が伴わない限り、不正アクセス行為とはみなされない場合が多く存在します。

一方、CMAは、特定の侵入手段に限定せず、「権限のないアクセス」を犯罪としており、この違いは企業における内部管理にも重要な意味を持ちます。例えば、ある従業員が、技術的にはアクセス可能であっても、使用者によって明確にアクセスを認められていない機密情報に、権限がないことを認識しながらアクセスした場合、CMA第1条の犯罪に該当する可能性があります。ただし、単に業務目的に反して情報を利用しただけで直ちに犯罪となるわけではなく、雇用契約や社内規程、業務慣行などからアクセス権限の範囲が明確に定められているかが重要となります。日本の不正アクセス禁止法は、他人の識別符号の利用やアクセス制御を回避する情報・指令の入力などを対象としているため、正規のアクセス権限を有する従業員による職務上の権限逸脱が、直ちに同法上の不正アクセスとなるとは限りません。したがって、日本企業がイギリスで事業を展開する際には、技術的なアクセス制限に加え、従業員ごとのアクセス権限を社内規程等で明確に定め、その範囲を周知することが重要となります。

犯罪類型と罰則

CMAは、単純な不正アクセスに留まらず、その意図や結果に応じて複数の犯罪類型を設けています。第2条は、詐欺や窃盗、恐喝など、さらなる犯罪を犯し、またはその実行を容易にする目的で不正アクセスを行った場合に適用され、最大5年の禁錮刑が科される可能性があります。また、第3条は、コンピュータの動作を妨害する意図、またはそのような結果について無謀に行われる無権限行為（例えばDDoS攻撃）を処罰の対象とし、最大10年の禁錮刑が定められています。さらに、CMA第3ZA条は、人の福祉、環境、経済または国家安全保障に「重大な損害」を生じさせ、またはその重大な危険を生じさせる無権限行為を、より重大な犯罪として規定しています。重要インフラへの深刻なサイバー攻撃などが典型例とされ、法定刑は原則として最大14年ですが、人命・身体や国家安全保障に一定の重大な損害を生じさせる場合には、終身刑が科される可能性もあります。

加えて、CMA第3A条は、ハッキングツールやマルウェアなど、CMA上の犯罪に使用され得る「物品（article）」について、その製造・改変・供給・取得などを一定の要件の下で犯罪としています。この規定の重要な点は、2015年の改正により、従来の第三者への供給を目的とした取得だけでなく、自らCMA第1条、第3条または第3ZA条の犯罪に使用する意図でツールを取得する場合も処罰対象となったことです。ただし、ツールを単に取得・所持しているだけで犯罪となるわけではなく、犯罪に使用する意図などの要件が必要です。日本でも、不正アクセス禁止法が他人の識別符号の不正取得・保管を規制するほか、刑法は、いわゆるコンピュータ・ウイルス等の不正指令電磁的記録について、一定の場合に作成・提供・取得・保管を処罰しています。そのため、日英の規制を単純に比較することはできませんが、CMA第3A条がハッキングツール等を対象とすることは、ペネトレーションテストやセキュリティ研究を行う企業にとっても重要です。もっとも、正当なセキュリティ業務で用いるツールの所持自体が直ちに犯罪となるわけではなく、業務の権限や目的を明確にしておくことが重要となります。イギリスでは、合法的なサイバーセキュリティ活動を保護するための法定抗弁（Statutory defence）の導入も議論されており、2026年現在も政府によるCMAの見直しの中で検討が続けられています。

イギリスの電気通信セキュリティ法（TSA）の基本構造

通信サービスプロバイダー（CSPs）に課される予防的義務

「電気通信セキュリティ法2021年（TSA）」は、従来の通信法を改正し、公共の電気通信ネットワークおよびサービスプロバイダー（CSPs）に対して、厳格なセキュリティ義務を課すための新しい枠組みを導入しました。この法律の核心は、単にインシデント発生後の対応を求めるのではなく、「セキュリティ侵害のリスクを特定し、軽減する」「セキュリティ侵害の発生に備える」といった、予防的かつ包括的な義務を課す点にあります。この枠組みの下では、「セキュリティ侵害」とは、ネットワークやサービスの可用性、性能、機能性を損なうあらゆる事象、あるいは不正なアクセスや干渉、データの損失や改ざんなどを広く含むものと定義されています。

このTSAが定める枠組みは、日本の電気通信事業法制と比較すると、その義務の定め方に特徴があります。日本でも、通信の秘密の保護に加え、技術基準や管理規程を通じて、情報セキュリティ対策、リスクの分析・評価、事業継続計画の策定、事故対応や継続的な改善などが求められています。一方、イギリスのTSAは、CSPsに対し、セキュリティ侵害のリスクを特定・軽減し、その発生に備えることを包括的な法的義務として明示している点に特徴があります。

イギリス政府は、通信ネットワークを重要な国家インフラ（Critical National Infrastructure）の一部と位置付け、その可用性、性能、機能性や通信の機密性などを損なうセキュリティ侵害への対策を重視しています。これにより、CSPsには、具体的なセキュリティ基準を遵守するだけでなく、変化するサイバー脅威を継続的に把握し、リスクの低減やインシデントへの備えを含むセキュリティ体制を構築・維持することが求められます。

高額な罰則とサプライチェーンへの波及効果

イギリスの通信規制機関であるOfcomは、TSAに基づくセキュリティ義務の遵守状況を監督し、違反したCSPsに対して強制措置や高額な金銭的制裁を科す権限を有しています。違反に対しては関連事業の売上高の最大10％、継続する違反については1日あたり最大100,000ポンドの金銭的制裁が科される可能性があります。Ofcomは実際にセキュリティやレジリエンスに関する義務違反について執行権限を行使しており、2026年3月に公表された最新のセキュリティ報告書でも、通信事業者のセキュリティ対策には継続的な改善がみられ、法制度とセキュリティ枠組みが有効に機能しているとの評価が示されています。

TSAに基づく規則やCode of Practiceは、CSPsに対してサプライチェーンから生じるセキュリティリスクの特定・低減を求めています。2026年版Code of Practiceでは、第三者サプライヤーにセキュリティ監査やテストへの協力を契約上求めることや、一定の第三者管理者に適切なセキュリティ措置を「フローダウン」することも示されています。このサプライチェーンへの波及効果は、CSPsに直接該当しない日本企業にとっても重要な実務上の問題となります。

イギリスの通信事業者に部品やソフトウェア、サービスなどを供給している企業は、新たな契約の締結や既存契約の見直しにおいて、セキュリティ対策の強化を求められる可能性があります。日本企業は、取引相手であるイギリスのCSPsから、セキュリティ監査や評価・テストへの協力、インシデント発生時の対応など、新たな契約上の義務を求められることを想定しておく必要があります。TSA上の直接の義務を負わない企業であっても、こうした契約上の要求は、取引継続性というビジネス上のリスクに直結します。

イギリスで事業を展開する日本企業の実務ポイント

CMA関連の実務上の対応

日本企業がイギリスで事業を展開する際には、CMAの広範な適用範囲を理解し、適切な内部統制を構築することが不可欠です。日本の感覚とは異なり、イギリスでは従業員が職務権限を超えてデータにアクセスする行為自体が刑事犯罪となり得ます。したがって、社内システムへのアクセス権限を厳密に定義し、従業員に対してその範囲を明確に周知徹底するポリシーを策定・実施する必要があります。特にIT部門やセキュリティ担当者は、ペネトレーションテストや脆弱性診断に用いるツールが、CMA第3A条の「不正使用目的の物品」に該当する可能性を認識しておくべきです。合法的な業務目的であることを証明できる体制を整えることが重要となります。

TSA関連の実務上の対応

TSAへの対応は、まずイギリスの取引先がTSAの適用対象であるCSPsに該当するかを確認することから始まります。特に大規模事業者（ティア1やティア2）との取引がある場合は注意が必要です。CSPsと契約を締結する際には、サプライチェーンのレジリエンス確保を目的とした、新たなセキュリティ要件、監査権、インシデント報告義務などが盛り込まれていないかを慎重にレビューする必要があります。TSAがリスクベースの予防的アプローチを取ることを踏まえ、単なる一回的な監査対応に留まらず、自社の情報セキュリティ体制を継続的に強化し、インシデント発生時の対応体制（インシデントレスポンスプラン）を整備しておくことが、取引の安定に繋がります。

日英サイバーセキュリティ法比較表

まとめ

イギリスのサイバーセキュリティ法は、日本の法制度と比較して、より広範な犯罪類型を規定し、通信インフラのセキュリティに対して予防的かつ厳格なアプローチを取っていることがご理解いただけたかと思います。CMAは、不正アクセスの定義を広げ、内部の不正行為やツールの所持まで処罰対象に含めています。一方、TSAは、通信事業者に「レジリエンス確保」という積極的な義務を課し、その要件をサプライチェーン全体に波及させています。

これらの法的枠組みの理解は、イギリスでの事業を成功させるための不可欠な要素です。見慣れた日本の法制度との違いを認識し、適切な内部統制とリスク管理体制を事前に構築することが、不必要な法的リスクを回避し、円滑なビジネス運営に繋がる鍵となります。