サイバーセキュリティ報告義務：CERT-Inに対する6時間以内の通知実務
インドにおけるデジタル経済の急激な拡大に伴い、インド政府はサイバーセキュリティおよびデータ保護に関する法規制を、インシデントの覚知から6時間以内の報告義務に代表される短期の対応期限を伴う水準へと引き上げています。インドでビジネスを展開する日本企業にとって、現地のデジタルリスクに対するコンプライアンス要件を正確に把握することは重要な経営課題となっています。特にインド政府の指定機関であるCERT-Inに対する「サイバーインシデントを覚知してから6時間以内の報告義務」は、初動対応に猶予を持たせる日本の基準とは根本的に異なる厳格な実務対応を要求します。
さらに2025年11月に公布されたデジタル個人データ保護規則では、個人データおよび関連するトラフィックデータ・処理ログの最低1年間の保存義務が定められましたが、これを含む主要規定の施行日は2027年5月13日であり、現時点では未施行です。他方、CERT-In指令に基づく180日間のログ保存義務は、すでに現行の義務となっています。通信サイバーセキュリティ規則も、通信事業者に対しSOC（セキュリティオペレーションセンター）等の設置とログの保持を求めていますが、その設置期限も保持期間も中央政府が別途指定することとされており、現時点で期間は確定していません。また、データセンター、VPS（仮想専用サーバー）、クラウドサービス、VPNサービスの各事業者は、CERT-In指令により加入者の登録情報を登録の解約・取消後5年間保持する義務をすでに負っています。本記事では、インドにおける最新のサイバーセキュリティ関連法令を網羅的に解説し、デジタルリスクに備えた初動対応マニュアルを整備することの重要性を詳述します。
この記事の目次
インドにおけるサイバーセキュリティ法規制とCERT-Inの役割
情報技術法とサイバーセキュリティ指令の適用範囲
インドにおけるサイバーセキュリティ対応の中心的役割を担うのは、インド電子情報技術省の傘下にあるインドコンピュータ緊急対応チーム（CERT-In）です。2000年情報技術法第70B条に基づき、CERT-Inはサイバーインシデントに関する情報の収集や分析、緊急対応の指揮、およびサイバーセキュリティに関するガイドラインの発出を行う権限を有しています。2022年4月、CERT-Inは同法第70B条第6項に基づく新たなサイバーセキュリティ指令を発出しました。この指令は、すべてのサービスプロバイダー、仲介業者、データセンター、法人、および政府機関に対して適用され、広範なサイバーセキュリティ要件を義務付けています。
この指令が対象とする範囲は非常に広く、インド国内に物理的な拠点を持たない外資系企業であっても、情報技術法上の違反行為（offence or contravention）がインド国内に所在するコンピュータ・コンピュータシステム・コンピュータネットワークに関わる場合には、同法第1条第2項および第75条により域外の行為にも同法が適用され得る点に注意が必要です。本指令は、サイバー攻撃の高度化に伴う被害の拡大を防ぐため、企業に対して迅速な情報共有と当局への協力を強制しており、インドで事業を営むすべての事業者が遵守すべき基本的な枠組みとなっています。
CERT-Inに対する6時間以内の厳格なサイバーインシデント報告義務
2022年のCERT-In指令における最も重大な要件は、指定されたサイバーインシデントを認知してから6時間以内にCERT-Inへ報告することを義務付けた点にあります。報告対象となるインシデントはデータ漏洩やランサムウェア攻撃にとどまらず、重要なネットワークに対する不正なスキャンやプロービング行為、フィッシング攻撃、ウェブサイトの改ざん、さらにはクラウド環境への不正アクセスなど、20種類に及ぶインシデントが網羅されています。
ここで留意すべきは、日本の法律や実務慣行との重要な違いです。日本では、個人データの漏えい等のうち個人情報保護法第26条および同法施行規則第7条が定める報告対象事態について、同規則第8条第1項により速報を「速やかに」（個人情報保護委員会のガイドライン（通則編）3-5-3-3は、事態を知った時点から概ね3〜5日以内を目安としています）、同条第2項により確報を30日以内（不正の目的をもって行われたおそれがある行為による事態は60日以内）に提出することが求められています。これに対し、インドの「6時間ルール」は、インシデントの全容が解明されていなくとも、インシデントを覚知した段階で即座に第一報を入れなければならないという極めて厳格なタイムラインを設定しています。インシデントの発生日時ではなく、社内の人間が異常を「認知した時点」、または外部から当該インシデントの通報を受けた時点から6時間のカウントダウンが開始されるため、企業は24時間365日体制での監視と即時報告フローを構築しなければなりません。
| 比較項目 | インド（CERT-In指令等） | 日本（個人情報保護法等の一般的な実務） | 留意すべき重要な違い |
| 初期報告の期限 | インシデント認知から6時間以内 | 速やかに（概ね3日から5日以内） | インドは報告猶予が極端に短く、深夜や休日であっても覚知から6時間以内に当局へ通知する体制の構築が不可欠である。 |
| 報告対象の範囲 | データ漏洩、ランサムウェア、不正スキャンなど20種類 | 主に個人データの漏洩、滅失、毀損など | インドでは個人データの漏洩に至らない重要システムへの探索行為やウェブサイトの改ざん、サービス妨害（DoS）攻撃も報告義務の対象となる。 |
| ログ保存要件 | ICTシステムログを直近180日分インドの管轄内で保持 | 個人情報保護法・同施行規則に一律の保存期間や国内保存の規定はない | インドではログをインドの管轄内で保持することが原則であり、CERT-Inの公式FAQ（Q36）も、インド国内の利用者にサービスを提供する事業者はログおよび金融取引の記録をインドの管轄内で保持する必要があるとしている。Q35は、合理的な時間内にCERT-Inへ提出する義務を果たせる限りログを国外にも保存してよいとするにとどまる。 |
インドのトラフィックデータとログ保存に関するコンプライアンス
CERT-In指令に基づく180日間のICTシステムログ保存義務
6時間以内の報告義務と並んで企業に重い負担を強いるのが、広範なログ保存義務です。CERT-In指令では、適用対象となるサービスプロバイダー、仲介業者、データセンター、法人および政府機関のすべてに対し、情報通信技術（ICT）システムのすべてのログを有効化し、インドの管轄権内で直近180日分を常時保持する（ローリング180日）ことが義務付けられています。指令はログの種類を限定列挙せず「すべてのICTシステムのログ」と包括的に定めているため、システムイベントログ、ネットワークフローログ、アプリケーションログ、認証ログなどが広く対象となります。
この規制の意図は、サイバー攻撃の痕跡を事後的に追跡し、被害の連鎖を食い止めるためのフォレンジック調査を容易にすることにあります。日本でも、個人情報保護委員会のガイドライン（通則編）別添が、個人データの取扱いを検証可能にする安全管理措置の手法の例示としてシステムログやアクセスログの整備を挙げています。もっとも、個人情報保護法および同法施行規則には、ログの保存期間を一律に定める規定も、国内保存（データローカライゼーション）を求める規定も置かれていません（金融・電気通信など個別分野の規制については別途確認が必要です）。クラウドサービスを利用してグローバルでシステムを統合している企業は、直近180日分のログをインドの管轄内で確実に保持し、インシデント発生時や当局の要求時に即座に提出できるアーキテクチャへとシステムを再設計する必要があります。CERT-Inの公式FAQは、合理的な時間内にCERT-Inへ提出する義務を果たせる限りログを国外にも保存してよいとする一方（Q35）、インド国内の利用者にサービスを提供する事業者に対しては、ログおよび金融取引の記録をインドの管轄内で保持することを求めています（Q36）。国外のみでの保管を前提とした構成は避けるべきです。
加えて、インド国内で稼働するすべてのICTシステムの時計は、インド国立情報センター（NIC）またはインド国立物理学研究所（NPL）が提供するNTPサーバー、もしくはこれらに追跡可能（traceable）なNTPサーバーに同期させることが義務付けられています。複数の国・地域にまたがるICTインフラを持つ事業者は、NPLおよびNIC以外の正確かつ標準的な時刻源を用いることもできますが、その場合もNPLおよびNICの時刻から逸脱しないことが求められ、正確なタイムスタンプによる証拠保全が要請されています。
デジタル個人データ保護規則に基づく1年間のトラフィックデータ保存義務（2027年5月13日施行）
インドにおけるデータ保存の要件は、サイバーセキュリティの観点のみならず、プライバシー保護の観点からも複雑化しています。プライバシー権は、歴史的な最高裁判決によって憲法第21条に基づく基本的人権として確立されました。（最高裁判所2017年8月24日判決、Justice K.S. Puttaswamy (Retd.) and Anr. vs Union of India and Ors.）
この画期的な判例による法理の発展を受けて2023年にデジタル個人データ保護法（DPDP法）が成立し、2025年11月にはその具体的な運用を定めるデジタル個人データ保護規則が官報で公布されました。この2025年規則の第8規則第3項において、データ受託者は、第七附則に定める目的のために、個人データ、関連するトラフィックデータ、およびその処理のログを最低1年間保持しなければならないという新たな義務が規定されました。ただしこの規定は第1規則第4項により公布から18か月後の2027年5月13日施行であり、現時点では未施行です。データ受託者は、第8規則第1項・第2項による消去義務を妨げることなく、第七附則に定める目的——すなわち国家の主権・一体性および安全に関わる国家による利用、国家またはその機関による法律に基づく職務の遂行または法的義務の履行のための開示、重要データ受託者の指定に係る評価——のために、当該個人データ、関連するトラフィックデータおよび処理のログを、処理の日から最低1年間保持し続ける必要があります（第8規則第3項。2027年5月13日施行）。
さらに、同規則の第三附則に該当する大規模事業者——インド国内の登録ユーザー数2,000万人以上のEコマース事業者およびSNS仲介者、ならびにインド国内の登録ユーザー数500万人以上のオンラインゲーム仲介者——に対しては、ユーザーが最後に接触した日（または同規則の施行日のいずれか遅い方）から3年間、特定された目的のための接触も権利行使もない場合に、その個人データを消去しなければならないという削除ルールも導入されています。ただし、ユーザーが自身のアカウントにアクセスするため、および当該事業者が発行して自社のデジタル基盤上に保存され金銭・物品・サービスの取得に利用できる仮想トークンにアクセスするために必要なデータは対象外であり、現行法の遵守のために保持が必要な場合も除かれます（第8規則第1項。2027年5月13日施行）。この消去にあたっては、消去期間の満了の少なくとも48時間前までに、ログイン等によりデータ受託者に接触しない限り個人データが消去される旨をユーザーへ通知することが義務付けられています（同じく2027年5月13日施行）。このように、第七附則に定める目的のためにトラフィックデータを1年間保持する義務と、プライバシー保護のために不要なデータを消去する義務という二つの要件を、システム上で矛盾なく自動処理する高度なデータガバナンスが求められています（いずれも2027年5月13日施行）。
インドの通信サイバーセキュリティ規則によるデジタルリスク管理
2024年および2025年改正規則における対象事業者の拡大
インド政府によるサイバーセキュリティの網は、従来のITインフラを超えてデジタルサービス全般へと拡大しています。2023年電気通信法の成立に伴い、インド通信省は2024年に通信サイバーセキュリティ規則を公布し、2025年10月に重要な改正を行いました。この改正規則では、免許を持つ通信事業者だけでなく、電気通信識別子利用エンティティ（TIUE）という新たな概念が導入されました。TIUEとは、免許事業者（licensee）または認可事業者（authorised entity）以外の者であって、顧客・利用者の識別のため、またはサービスの提供・配信のために携帯電話番号などの通信識別子を利用する者を指します。
これにより、ワンタイムパスワードを利用してSMS認証を行う日本発のアプリケーションやEコマースプラットフォーム、金融サービスなども、TIUEとして同規則の適用対象となる可能性が高まりました。2025年の改正では、携帯電話番号検証（MNV）プラットフォームが制度化され、中央政府は同プラットフォームを構築するとともに、認可事業者および免許事業者に対して参加を指示することとされました。TIUEは、自発的に、または政府の指示に基づき、手数料を支払って通信識別子と利用者の対応関係の検証を申請することができます（自発的な申請の場合、利用を認めるかどうかの判断は中央政府に留保されます）。
携帯電話番号検証とインシデント時の即時報告およびサービス停止リスク
通信サイバーセキュリティ規則では、通信事業者（telecommunication entity）が、通信ネットワークやサービスに影響を及ぼすセキュリティインシデントを覚知した場合、6時間以内にインド中央政府へ報告する義務を負います。なお、この報告義務を定める第7規則は2025年改正でも変更されておらず、TIUEには課されていません。加えて通信事業者は、影響を受けたユーザー数、影響が継続した時間、影響を受けた地理的範囲、影響の程度、実施したまたは実施予定の是正措置などを記載した詳細な報告を、覚知から24時間以内に提出しなければなりません。
この規則において最も留意すべき点は、インド政府に与えられた強力な執行権限です。通信識別子が通信サイバーセキュリティを脅かす態様で使用されていると認められる場合、中央政府は原則として事前に通知を発し、7日以内の応答の機会を与えたうえで、当該通信識別子の使用停止や切断を命じます。ただし、直ちに措置を講じることが公共の利益のために必要または適切であると認めるときは、理由を記録した命令により、事前の通知なしに、通信事業者に対して当該通信識別子の使用の一時停止を、TIUEに対して当該識別子を顧客・利用者の識別やメッセージ・サービスの提供に用いることの一時停止を命じる権限が留保されています。本人確認に依存するデジタルサービスにおいて、特定の携帯電話番号を顧客の識別やSMSの送信に用いることが突如として禁じられることは、インド国内での事業継続に直結する重大なリスクとなります。
インドにおけるデジタルリスクへの初動対応マニュアル整備
コンプライアンス違反による罰則と事業停止リスクへの備え
これまでに述べた多層的なサイバーセキュリティ規制に違反した場合、企業は極めて重いペナルティを科される可能性があります。情報技術法第70B条に基づくCERT-In指令への違反は、最高で1年の禁錮刑または1,000万ルピーの罰金、あるいはその両方が科される刑事罰の対象となります。さらに、セキュリティ対策の不備がデジタル個人データ保護法第8条第5項の違反とみなされた場合は1回の違反につき最高25億ルピー、インシデント報告の遅れが同条第6項の違反とみなされた場合は最高20億ルピーの制裁金が、データ保護委員会により科されるリスクがあります。ただし制裁金は、委員会が審問と聴聞の機会を経て当該違反を「重大」と認定した場合に限られ、これらの規定の施行日は2027年5月13日です。これらの二重の法的責任を回避するためには、サイバーインシデントが発生した際に迷わず行動できる体制づくりが急務です。
日本企業が直ちに講じるべき実践的対策と社内体制の構築
インドの複雑かつタイムラインが極めて短いサイバーセキュリティ規制を遵守するためには、インド拠点に特化したインシデントへの初動対応マニュアルを事前に整備しておくことが不可欠です。6時間以内の報告義務は、インシデントの発生を社内で確知した瞬間から起算されるため、日本の本社へ状況を報告し、法務や経営陣の決裁を仰いでからインド当局へ通知するという従来のエスカレーションフローでは到底間に合いません。したがって、マニュアルにはインド現地の責任者が独自に判断し、迅速に初期報告を行える権限委譲のプロセスを明確に規定しておく必要があります。
実務上の必須事項として、まずは当局と直接やり取りを行う公式な連絡窓口（PoC）を任命し、その情報を指令の附属書IIの様式でCERT-In（[email protected]）へ届け出なければなりません。ただし、CERT-In指令および同指令に関するCERT-Inの公式FAQは、このPoCがインド国内に所在することや24時間体制で対応することまでは求めていません。FAQ（Q29）は、インドに物理的拠点を持たない事業者であっても、インド国内の利用者にサービスを提供する以上はPoCを指名しなければならないとしています（インド居住を明文で要求しているのは、通信サイバーセキュリティ規則2024第6規則第2項が通信事業者に任命を求める最高通信セキュリティ責任者であり、CERT-In指令のPoCとは別の制度です）。もっとも、6時間以内という報告期限を確実に守るためには、実務上、時差を踏まえた連絡・対応体制をあらかじめ整えておくことが望まれます。また、インシデント対応の記録やログの時刻を正確に保つことは指令(i)が独立の義務として求めているため、前述のNICまたはNPLが提供するNTPサーバー（もしくはこれらに追跡可能なNTPサーバー）との同期設定が確実に完了しているかを、技術部門と連携して監査する必要があります。
発生したインシデントがCERT-Inの対象となるか、通信サイバーセキュリティ規則の対象となるか、あるいはデジタル個人データ保護法第8条第6項および同規則第7規則に基づくデータ保護委員会・データ主体への通知対象となるか（これらは2027年5月13日施行）によって、適用される法律や報告フォーマットが異なります。複数の当局に対する並行した報告作業を、限られた6時間という枠組みの中でパニックに陥ることなく遂行できるよう、平時から模擬訓練を実施し、マニュアルの有効性を継続的に検証しておくことがインド市場で安全にビジネスを継続するための要諦です。
まとめ
インドにおけるサイバーセキュリティの実務対応は、日本国内の基準とは比較にならないほどのスピードと厳格な管理が要求されます。インシデント認知から6時間以内というCERT-Inに対する極端に短い報告義務は、企業の危機管理体制に対する根本的な見直しを迫るものです。これに加えて、情報技術法第70B条に基づくCERT-In指令により、ICTシステムのログを直近180日分インドの管轄内で保持する義務がすでに現行の義務として課されており、さらに2027年5月13日に施行されるデジタル個人データ保護規則第8規則第3項により、個人データ・関連するトラフィックデータ・処理ログの1年間保存義務が加わります。安全かつ即時に抽出可能なデータ保管基盤の構築が求められています。
さらに、携帯電話番号等を利用して本人確認を行うあらゆるサービス事業者はTIUEとして通信サイバーセキュリティ規則の適用対象となり、当局へのデータ提出や、通信識別子の使用を即時に停止させられるリスクを抱えることになります（6時間・24時間のインシデント報告義務は通信事業者に課されるもので、TIUEには及びません）。これらの重複する法規制を遵守するためには、インド特有のNTPサーバー同期要件や、権限委譲を含んだ現地の初動対応マニュアルをあらかじめ整備し、有事に備えたシミュレーションを繰り返すことが不可欠です。
モノリス法律事務所は、ITおよびインターネット関連法務において高度な専門性を有しており、インド現地の提携法律事務所と密接に連携することで、現地の複雑な法令解釈や行政手続きにワンストップで対応いたします。最新の法改正を反映したインド向けサイバーセキュリティポリシーの策定から、インシデント発生時のCERT-Inへの迅速な報告体制の構築支援、そして事業実態に即した初動対応マニュアルの作成まで、インド市場における企業の安全なビジネス展開を強力にサポートすることが可能です。
モノリス法律事務所は、インド法務に関する調査および情報提供を目的として、現地法律事務所Quest IP Attorneysと非独占的な提携関係（Associate Firm / Correspondent Firm）にあります。
カテゴリー: IT・ベンチャーの企業法務230392クロスボーダー
