2025年5月に成立した「サイバー対処能力強化法」、いわゆる「能動的サイバー防御法」が、いよいよ2026年10月1日に大部分施行されます。政府が攻撃者側のサーバーに踏み込んで無害化措置を取れるようにするという、これまでの日本のサイバーセキュリティ政策からは一線を画す制度です。皆さんの会社は、この法律が「うちには関係ない」と思っていないでしょうか。実は、電力・通信・金融といった基幹インフラ事業者だけでなく、その委託先であるITベンダーやシステム開発会社にも、契約や運用面で対応が波及する設計になっています。今回は、施行まで1カ月半となったこの制度の全体像と、ITストラテジストが今から手を打っておくべきポイントを整理します。
制度の全体像 ― 4つの柱と施行スケジュール
サイバー対処能力強化法は、正式名称を「重要電子計算機に対する不正な行為による被害の防止に関する法律」といい、2025年5月16日に成立、同月23日に公布されました。施行日は制度によって段階的に分かれており、大部分は2026年10月1日に施行される一方、通信情報を政府が利用する枠組みについては公布から2年6か月以内という猶予期間が設けられています。制度は大きく「官民連携の強化」「通信情報の利用」「アクセス・無害化措置」「組織・体制の整備」という4つの柱で構成されます。最後の柱である組織・体制の整備では、政府側の司令塔機能を強化するための体制再編も進められており、官民双方の受け皿づくりが同時並行で動いている点も見逃せません。ここで押さえておきたいのは、この法律が単なる「政府の権限強化」ではなく、民間企業側にも導入届出やインシデント報告といった具体的な義務を課す点です。すでに存在する経済安全保障推進法の枠組みと重なる部分も多く、両制度を並べて理解しておく必要があります。
基幹インフラ15分野と「特定重要電子計算機」の届出義務
官民連携の柱で対象となるのは、経済安全保障推進法に基づき各主務大臣が指定する「特定社会基盤事業者」です。具体的には電気・ガス・石油・水道・鉄道・貨物自動車運送・外航貨物・港湾運送・航空・空港・電気通信・放送・郵便・金融・クレジットカードの15分野が該当します。これらの事業者は、自社が使用する「特定重要電子計算機」を導入する際の事前届出、そしてサイバー攻撃を受けた際のインシデント報告が義務化されます。ここで見落とされがちなのが、義務を負うのは基幹インフラ事業者自身であっても、実際にシステムを構築・保守しているのは委託先のITベンダーであるケースがほとんどだという点です。届出内容の正確性やインシデント発生時の報告スピードは、開発・運用を担う側の体制次第で決まります。基幹インフラ企業と直接取引のないシステム開発会社であっても、サプライチェーンのどこかで間接的に関わっている可能性は十分にあると考えておくべきでしょう。
ITストラテジストが今から着手すべき3つの備え
施行まで時間が限られる中、まず着手すべきは自社および委託先が保有するIT資産の棚卸しです。どのシステムが「特定重要電子計算機」に該当し得るのか、対象範囲の見極めができていなければ、届出やインシデント報告の判断そのものができません。次に、インシデント発生時の報告フローの文書化とログ管理体制の見直しです。攻撃の検知から報告までのリードタイムが問われる制度である以上、平時からの証跡管理が実務上の生命線になります。そして三つ目が、基幹インフラ事業者と取引のあるITベンダーであれば、契約書やSLAに新法を踏まえた条項が反映されているかの確認です。皆さんの組織では、こうした準備はすでに経営アジェンダに乗っているでしょうか。既存のサイバーセキュリティ経営ガイドラインへの対応と重複する部分も多いため、屋上屋を架すのではなく、既存の管理体制に新法の要求事項を統合する形で進めるのが現実的です。
まとめ
能動的サイバー防御法は、政府に強力な権限を与える一方で、基幹インフラ事業者とそのサプライチェーンに具体的な実務対応を求める制度です。2026年10月という施行日は、決して遠い未来ではありません。ITストラテジストには、自社が制度の直接の対象か否かにかかわらず、取引先・委託先を含めたサプライチェーン全体を俯瞰し、資産棚卸しと報告体制の整備を主導する役割が期待されています。制度の詳細は今後も内閣府やIPAから追加情報が発表される見込みですので、継続的なウォッチが欠かせません。
参考情報
- サイバー対処能力強化法(官民連携)の施行に向けた考え方の案 – 内閣府
- サイバー対処能力強化法とは？4つの柱と企業が備えるべき対策を解説
- サイバー対処能力強化法とは？2026年施行の能動的サイバー防御｜対象事業者・企業への影響・対応をわかりやすく解説
（当記事に関するご注意事項）本記事は、AIによる情報収集と文書作成の試行として作成しております。参照文献を添付するなど事実関係については留意しておりますが、記事内の情報についての事実確認は保証しかねますことをご了承願います。
