「うちは基幹インフラ事業者じゃないから関係ない」――サイバー対処能力強化法の話を持ち出すと、多くのIT部門からこの反応が返ってきます。しかし、2026年10月1日の施行が目前に迫るこの法律、「対象外」で済ませられる企業はそう多くありません。国内では官公庁や病院、物流拠点を狙ったランサムウェア被害が相次ぎ、システムが数日から数週間止まる事例も珍しくなくなりました。日本のサイバーセキュリティ政策が「受動的防御」から「能動的サイバー防御」へと大きく舵を切る、この歴史的な転換点について、ITストラテジストとして押さえておくべきポイントを整理します。
「能動的サイバー防御」とは何が変わるのか
2025年5月に成立したサイバー対処能力強化法とサイバー対処能力整備法は、欧米主要国と同水準以上のサイバー対処能力の獲得を目指す枠組みです。従来のファイアウォールやアンチウイルスソフトに頼る「待ちの防御」から、攻撃の兆候を検知し、被害が発生する前に手を打つ「攻めの防御」への転換が柱になっています。2025年12月23日には基本方針が閣議決定され、通信情報の取扱いに関する一部の措置を除き、大半の規定が2026年10月1日に施行される見込みです。政府による通信情報の分析や、悪用されたサーバーへのアクセス・無害化措置といった、これまで憲法上の「通信の秘密」との関係で議論の的になってきた権限も、この基本方針の中で運用の枠組みが具体化されています。官民の情報共有を制度化し、攻撃の予兆段階で連携して対処する仕組みを整える点が、従来の制度との最大の違いといえるでしょう。基本方針は、重要インフラを狙う加害行為を防止するための基本的な考え方に加え、事業者と国との間で協定を締結する際の枠組み、そして通信情報を保有する機関における情報の取扱いといった、複数の柱で構成されています。2025年2月に有識者会議の提言を踏まえて法案が国会に提出された経緯からも分かる通り、単なる技術論ではなく、官民の役割分担そのものを見直す制度設計になっている点が特徴です。
基幹インフラ事業者に課される新たな義務
今回の法律で実務への影響が特に大きいのが、電力・ガス・通信・金融・鉄道・医療・水道・物流など、いわゆる重要インフラ分野の基幹インフラ事業者に課される義務です。重要なシステムを導入・変更する際の事前届出、そしてサイバー攻撃による被害やその兆候を把握した段階での政府への報告が求められるようになります。ここで見落とせないのは、直接指定される事業者だけでなく、その委託先・取引先としてシステムの開発や保守に関わるITベンダー、SIerにも実質的な対応が波及するという点です。元請けとして基幹インフラのシステムに関わっているなら、届出プロセスや報告体制の整備は決して他人事ではありません。契約段階でセキュリティ要件や報告義務がどこまで下請けに転嫁されるのか、発注者側・受注者側の双方で確認しておく必要があります。
ITストラテジストが今から準備すべきこと
施行までの限られた期間で、まず着手すべきは自社および取引先システムの依存関係の棚卸しです。どのシステムが基幹インフラ事業者の重要システムに接続し、どこまで届出・報告義務の対象になり得るのかを可視化しておく必要があります。あわせて、インシデント発生時に「被害の兆候」をどう定義し、誰がどのタイミングで報告判断を下すのか、社内の意思決定フローも整理しておきたいところです。既存の取引先契約にセキュリティインシデント発生時の通知条項があるか、予算とスケジュールに体制整備の余地があるかも、この機会に見直しておきたいポイントです。皆さんの会社では、サイバー攻撃の「兆候」を検知した際に、経営層まで報告が上がる仕組みは既にできあがっているでしょうか。
中長期的には、CSIRTなどインシデント対応組織の実効性を高めることも欠かせません。届出や報告は一度整備して終わりではなく、実際にインシデントを想定した演習を通じて、誰が・何を・どのタイミングで報告するのかを現場レベルで訓練しておく必要があります。また、こうした制度対応には相応の予算と人員が必要になるため、経営層に対して「なぜ今、投資が必要なのか」を法制度の言葉ではなく、事業継続リスクの言葉で説明できるようにしておくことも、ITストラテジストに求められる重要な役割です。
能動的サイバー防御への転換は、単なる技術対応ではなく、経営とIT部門が一体となって備えるべきガバナンスの課題です。自社が基幹インフラ事業者でなくとも、サプライチェーンの一員として求められる対応水準は着実に上がっていきます。2026年10月の施行を一つの区切りとして、今のうちに体制を点検しておくことが、後々の混乱を防ぐ近道になるはずです。
参考情報
- サイバー対処能力強化法に基づく基本方針の概要(内閣府)
- サイバー対処能力強化法10月施行 社会インフラ関連企業に新たな義務(日本経済新聞)
- サイバー対処能力強化法の基本方針が閣議決定、2026年施行へ(innovatopia)
（当記事に関するご注意事項）本記事は、AIによる情報収集と文書作成の試行として作成しております。参照文献を添付するなど事実関係については留意しておりますが、記事内の情報についての事実確認は保証しかねますことをご了承願います。
