【令和8年10月施行】サイバー対処能力強化法のインシデント報告義務とは？企業に求められる体制と委託先契約の見直し

令和8年（2026年）10月1日、サイバー対処能力強化法の主要規定が施行されます。基幹インフラ事業者に課される新たなインシデント報告義務は、単に報告先が一つ増えるという話ではありません。個人情報保護法や各業法上の報告義務が「漏えい」や「役務の重大な支障」といった結果の発生を要件とするのに対し、サイバー対処能力強化法は、不正な通信の受信や認証情報の不正な入力といった事象を認知したこと自体を報告の引き金とします。実害が確認されていない段階でも義務が立ち上がる点が、既存制度との決定的な違いです。報告期限も、速報は認知後速やかに、詳報は認知日から30日以内とされており、被害が確定してから法務部門に情報が上がる従来の対応フローでは、この時間軸に耐えられません。

本記事では、このインシデント報告義務の構造と、改正サイバー対処能力強化法施行までに整えるべき社内体制および契約実務を解説します。

サイバー対処能力強化法とは何か

サイバー対処能力強化法の正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号）です。いわゆる「能動的サイバー防御」を実現するための法律であり、能動的サイバー防御法とも呼ばれます。令和7年（2025年）5月16日に成立し、同月23日に公布されました。関連する既存法を改正する整備法（令和7年法律第43号）と一体で運用されます。

本記事で扱うインシデント報告義務は、個人情報保護法上の漏えい等報告義務や、経済安全保障推進法に基づく基幹インフラ制度と密接に関係します。それぞれの制度の基本については、個人情報漏えい時の報告義務および経済安全保障推進法とセキュリティ・クリアランス制度の記事も併せて参照してください。

参考：内閣府｜サイバー安全保障

サイバー対処能力強化法の施行スケジュール

サイバー対処能力強化法は段階的に施行されてきました。令和7年7月には内閣サイバーセキュリティセンターを改組して国家サイバー統括室が設置され、令和8年4月1日にはサイバー通信情報監理委員会が設置されています。そして、特別社会基盤事業者による特定重要電子計算機の届出および特定侵害事象等の報告に関する規定が、令和8年10月1日から施行されます。

参考：国家サイバー統括室｜法令

サイバー対処能力強化法で義務を負う事業者の範囲

直接の義務を負うのは、法律上「特別社会基盤事業者」と呼ばれる事業者です。これは、経済安全保障推進法に基づいて指定された特定社会基盤事業者のうち、後述する特定重要電子計算機を使用する事業者を指します。

経済安全保障推進法では、電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、港湾運送、航空、空港、電気通信、放送、郵便、金融、クレジットカード等が対象分野とされており、2026年7月1日時点の特定社会基盤事業者は258者です。また、2026年6月17日に公布された改正法により医療分野が追加されており、その施行日は公布日から1年6か月を超えない範囲内で政令で定められます。

ただし、この指定を受けた事業者がそのまま特別社会基盤事業者となるわけではなく、サイバー対処能力強化法および政省令上の要件に従って義務の範囲が画定されます。自社が指定を受けているか、そして特定重要電子計算機を使用しているかを、二段階で確認する必要があります。

報告対象となる特定重要電子計算機の広がり

見落とされやすいのが、対象機器の範囲の広さです。特定重要電子計算機とは、そのサイバーセキュリティが害された場合に特定重要設備の機能が停止し、または低下するおそれがある機器と定義されています。

つまり、基幹業務を直接担う設備だけが対象なのではありません。政府の資料では、特定重要設備そのものに加え、インターネットとの接続箇所に置かれるファイアウォールやVPN装置、認証サーバー、特定重要設備へのアクセスを制御する機器、DMZ等の領域に配置された踏み台サーバー・FTPサーバー・監視サーバー等、さらに認証情報やネットワーク構成図などの重要データを保存する機器といった類型が示されています。情報系システムと制御系システムの双方にまたがる広範な対象が想定されており、資産の棚卸しは想定以上の作業量となる可能性があります。

参考：内閣官房｜サイバー対処能力強化法及び同整備法について

サイバー対処能力強化法の報告義務が「認知」を引き金とする意味

サイバー対処能力強化法の報告義務を理解するうえで最も重要なのが、義務が立ち上がるタイミングです。

結果の発生を要件としない設計

基幹インフラ事業者は、不正アクセス行為等により特定重要電子計算機のサイバーセキュリティが害されたこと、またはその原因となり得る一定の事象を認知したときに、その旨および一定の事項を事業所管大臣および内閣総理大臣に報告しなければならないとされています（サイバー対処能力強化法第5条）。

ここで注目すべきは、「その原因となり得る一定の事象」が対象に含まれている点です。これは、実際に被害が生じた事案だけでなく、いわゆるヒヤリハットに位置づけられる事象も報告対象となり得ることを意味します。具体的にどのような事象が該当するかは主務省令および制度の解説に委ねられていますが、不正な指令の受信、認証情報の不正な入力の検知といった、攻撃の兆候にあたる事象が想定されています。

実害がなくても義務が立ち上がる

既存の報告義務と比較すると、この設計の異質さが際立ちます。個人情報保護法上の漏えい等報告は、個人データの漏えい等が発生し、または発生したおそれがある事態を対象としており、あくまで個人データという保護対象への影響を起点とします。各業法上の事故報告も、多くは役務の提供に重大な支障が生じたことを要件としています。

これに対してサイバー対処能力強化法は、保護対象への影響が確認されていなくても、機器に対する不正な行為またはその兆候を認知した時点で報告義務を発生させます。攻撃の全体像が判明する前、被害の有無すら確定していない段階で、国への報告が求められるということです。従来、法務部門がインシデント対応に関与するのは、被害の範囲がある程度固まり、開示や通知の要否を判断する段階からでした。この前提が根本から変わります。

「認知」の判定と社内のエスカレーション体制

義務の起点が「認知」である以上、報告期限を適切に管理するためには、どのような事象を検知した段階で報告対象該当性の判断を開始し、どの時点で「認知」に至ったと評価されるのかを社内で整理しておく必要があります。2026年7月に公表された「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説（案）」では、「認知」は、単にアラートやイベントを検知した時点を指すのではなく、その内容等を踏まえて、特定侵害事象等に該当すると合理的に判断できる状態をいうものと整理されています。したがって、社内規程によって検知から報告対象該当性の判定、法務部門等へのエスカレーション、認知時刻の記録までのプロセスを明確にしておくことが重要です。

具体的には、セキュリティ監視を担う部署がアラートを検知した時点、外部のセキュリティ監視サービス事業者から連絡を受けた時点、委託先から一次報告を受けた時点などを起点として、対象となる特定重要電子計算機や事象の内容を確認し、報告対象に該当するかを速やかに判定できる体制を整える必要があります。また、報告対象事象に該当すると合理的に判断した時点を記録するとともに、その判断に至った経緯や関係部署へのエスカレーションの時刻も記録しておくことが望まれます。こうしたプロセスをあらかじめ定めておくことで、報告期限の起算点について事後的な認識の齟齬が生じることを防ぎ、速報・詳報の期限管理を実効的に行うことができます。

サイバー対処能力強化法と個人情報保護法の報告期限のずれ

複数の報告義務が同時に発生する場面では、それぞれの期限が異なることが実務上の混乱を招きます。サイバー対処能力強化法に基づく報告は、二段階で行われます。特定侵害事象等を認知した際には、速やかに事業所管大臣および内閣総理大臣に報告し（速報）、その後、認知日から30日以内に詳細な報告書を提出する（詳報）こととされています。

個人情報保護法の速報・確報との時間軸の違い

個人情報保護法では、報告対象事態を知った後、速やかに速報を行うこととされ、個人情報保護委員会は概ね3日から5日以内という目安を示しています。確報は、報告対象事態を知った日から30日以内ですが、不正の目的をもって行われたおそれがある個人データの漏えい等の場合には60日以内とされています。

サイバー攻撃に起因する漏えい等が、『不正の目的をもって行われたおそれがある行為による個人データの漏えい等』に該当する場合、個人情報保護法上の確報期限は60日となります。外部からの不正アクセスによる漏えい等はその典型例です。この場合、同一のインシデントについて、個人情報保護法上の確報期限が60日である一方、サイバー対処能力強化法上は30日以内に詳報を行う必要があるという期限のずれが生じます。両制度の期限を一体として管理する意識がなければ、長い方の期限に引きずられて短い方を徒過するおそれがあります。

参考：個人情報保護委員会｜漏えい等の対応とお役立ち資料

届出義務の期限と経過措置

インシデント報告義務とは別に、特定重要電子計算機を導入した際の届出義務も定められています（サイバー対処能力強化法第4条）。届出は原則として導入日から4か月以内に行うこととされ、施行時点で既に導入されている機器については経過措置が設けられ、令和9年（2027年）3月31日までに届け出ることとされています。

届出には猶予期間があるものの、インシデント報告制度は令和8年10月1日から直ちに開始されます。したがって、どの機器が特定重要電子計算機に該当するかの見極めは、届出期限ではなく施行日を基準に完了させておく必要があります。

報告義務違反に対する罰則

届出や報告を行わず、事業所管大臣からの是正命令にも従わない場合には、200万円以下の罰金が科されることとされています。また、資料の提出等の求めに応じない場合には、30万円以下の罰金が定められています。金額そのものは大きくありませんが、是正命令を受けた事実自体が、基幹インフラを担う事業者としての信用に及ぼす影響は無視できません。

サイバー対処能力強化法に対応する社内体制の設計

ここまでに開設した報告義務の構造を踏まえると、既存のインシデント対応体制のどこを変えるべきかが見えてきます。

被害確定後に法務が動く従来フローの限界

多くの企業では、セキュリティ監視部門がアラートを検知し、情報システム部門が調査を行い、被害の範囲が判明した段階で法務部門やコンプライアンス部門に情報が上がるという流れが定着しています。この順序は、報告義務が結果の発生を要件としていた時代には合理的でした。しかし、認知そのものが義務の引き金となる制度のもとでは、この順序では速報の期限に間に合いません。攻撃の兆候を検知した時点で、それが報告対象事象に該当するかという法的判断が必要になるためです。

求められるのは、セキュリティ監視の段階から法的判断のプロセスを走らせる体制です。具体的には、監視部門が検知した事象を報告要否の観点から一次的に振り分ける基準をあらかじめ用意し、判断に迷う事象は速やかに法務部門へエスカレーションする経路を整えることになります。

判断基準の策定にあたっては、どの機器が特定重要電子計算機に該当するかという資産情報と、どの事象が報告対象に該当するかという法令情報を、監視部門が参照できる形に落とし込む作業が必要です。法令の条文をそのまま渡しても運用はできません。

資産の棚卸しと報告フローの文書化

施行までに優先すべき作業は、対象判定、資産台帳の整備、報告および通知フローの文書化、委託先契約の見直し、そして取締役会への報告と監査体制の整備という順序で整理すると進めやすくなります。とりわけ資産台帳の整備は、対象機器の範囲が広いため時間を要します。

サイバー対処能力強化法が委託先やITベンダーに及ぼす影響

サイバー対処能力強化法の影響が、直接の義務対象にとどまらない理由はここにあります。

直接の義務者は約260社でも影響が止まらない理由

基幹インフラ事業者は、認知日から30日以内に詳細な報告書を提出しなければなりません。ところが、その報告に必要な事実、すなわち侵入経路、影響範囲、攻撃の手口といった情報は、システムを実際に構築し運用している委託先の手元にしかないことが少なくありません。自社だけでは調査も報告も完結しないという構造です。

そのため、元請となる基幹インフラ事業者は、契約を通じて委託先を義務履行の体制に組み込まざるを得なくなります。ITベンダー、システムインテグレーター、クラウドサービス事業者、受託開発会社、セキュリティ監視サービス事業者といった委託先についても、元請事業者との契約を通じて、インシデントの通知、情報提供、原因調査への協力等の契約上の義務を負うことが想定されます。

なお、電子計算機やプログラムの供給者については、整備法によりサイバーセキュリティ基本法上の責務規定が拡充され、利用者のサイバーセキュリティ確保のための設計や開発、供給後の情報の継続的な提供に努めることが求められています。契約上の負担とは別に、こうした責務が及ぶ点にも留意が必要です。

委託契約に盛り込むべき論点

委託契約の見直しにあたって検討すべき論点は、大きく以下の5つに整理できます。

1. インシデントを検知した際の通知期限
2. ログの保全と提供に関する義務（保存期間、保存対象、提供の方法と期限）
3. 原因調査への協力義務（フォレンジック調査への立会いや資料提供の範囲を含む）
4. 委託先が保有する情報を国へ提供することについての同意
5. これらの義務履行に伴う費用負担と責任分担

このうち、国への情報提供に関する同意は見落とされやすい論点です。委託先のシステムに関する技術情報が報告書に含まれる場合、契約上の秘密保持義務との整合を事前に整理しておかなければ、報告の段階で調整に時間を要することになります。

詳報30日から逆算した通知期限の設計

ここで注意していただきたいのは、委託先に対する通知期限そのものは、法令が定めているわけではないという点です。法令上の期限は、あくまで基幹インフラ事業者が国に対して負う速報および詳報の期限です。委託先の通知期限は、その期限を守るために元請が契約で設計すべき事項にあたります。

その前提で逆算すると、認知日から30日以内に詳細な報告書をまとめるためには、報告書の作成と社内決裁に一定の日数を確保する必要があり、委託先による調査はそれよりも前に完了していなければなりません。実務的な設計としては、委託先には検知から24時間以内の一次通知を求め、調査結果の提出は概ね2週間以内とするといった水準が一つの目安になると考えられます。これは法令上の要件ではなく、期限を確実に守るための契約設計の考え方です。

多くの既存契約には、「速やかに通知する」「遅滞なく報告する」といった抽象的な条項が置かれています。こうした文言では、30日という確定期限から逆算した対応を担保できません。施行前に、既存の業務委託契約、保守契約、クラウドサービス利用契約について、通知条項がこの時間軸に耐えるかどうかを点検し、必要に応じて覚書等で補完しておくことが望まれます。

サイバー対処能力強化法の施行に向けて残された未確定事項

制度の骨格は法令および主務省令によって固まっていますが、実務上重要な部分にはなお未確定の領域が残っています。

報告対象となる事象の具体的な範囲、報告様式の記載事項、届出の除外対象の指定といった論点については、制度の解説等の案が示され、令和8年8月まで意見募集が行われた段階です。最終版が公表された時点で、社内規程、届出対象の判定、報告フローをもう一度点検することが必要になります。

また、経済安全保障推進法に基づく対象分野は制度創設以降に見直しが行われており、自社が指定の対象となるかどうかについても、最新の情報に基づいて確認することが求められます。

参考：内閣府｜サイバー対処能力強化法の施行等に関する有識者会議

まとめ：改正サイバー対処能力強化法施行に向けた体制の構築を

サイバー対処能力強化法のインシデント報告義務は、令和8年10月1日から施行されます。この制度の本質は、報告先が一つ増えることではなく、義務の引き金が「被害の発生」から「事象の認知」へと前倒しされたことにあります。実害が確認されていない段階で法的判断が必要になるため、被害確定後に法務部門が動く従来のフローでは対応できません。

さらに、詳報の期限が認知日から30日以内とされていることで、個人情報保護法の確報期限との間にずれが生じます。複数の報告義務を一体として管理する視点が欠かせません。

そして、直接の義務対象が約260社にとどまるとしても、その報告を実質的に支えるのは委託先です。ITベンダーやクラウドサービス事業者は、契約を通じて実質的な義務を負う立場に置かれることになります。既存契約の通知条項が30日という時間軸に耐えるかどうかの点検は、施行前に済ませておくべき作業です。制度の詳細にはなお未確定の部分が残っているため、最新の公表資料を確認しながら準備を進めることが求められます。

当事務所による対策のご案内

モノリス法律事務所は、IT分野、とりわけインターネットと法律の双方に高い専門性を有する法律事務所です。サイバー対処能力強化法への対応にあたっては、対象該当性の判定、社内規程およびインシデント対応フローの整備、委託先契約の見直しといった横断的な検討が必要となります。当事務所では、個人情報保護法や経済安全保障推進法を含む関連法令との整合を踏まえた実務対応を支援しています。下記記事にて詳細を記載しております。