私たちが日ごろ使っている電気、ガス、鉄道、通信、金融。その裏側では、無数のサーバーやネットワーク機器が休みなく動いています。内閣府など8府省は2026年7月15日、「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説（案）」への意見募集を開始しました。締切は2026年8月19日午前0時です。
サイバー対処能力強化法（令和7年法律第42号）の届出・報告に関わる主要な規定は、2026年10月1日に施行されます。今回の解説案は、特別社会基盤事業者に対し、特定重要電子計算機の届出と、サイバー攻撃などの特定侵害事象等を認知した際の報告を義務づける制度を、実務レベルでどう運用するのかを示すものです。届出は原則導入日から4か月以内、施行時にすでに導入済みの機器は2027年3月31日までとされます。報告は速報と詳報の2回で、詳報は認知日から30日以内。付録では、2021年のColonial Pipeline、2022年のViasat、2010年のStuxnetという海外事例が挙げられています。
【編集部解説】
今回の意見募集は、私たちの生活を支えるインフラの「裏側」を守るための新しいルールが、いよいよ現実の運用フェーズに入ったことを告げるものです。
背景にあるのは、2025年5月16日に成立し、同月23日に公布された「サイバー対処能力強化法」です。この法律の届出・報告に関わる主要な規定は、2026年10月1日に施行されます。制度運用の基本的な考え方は、2025年12月23日に閣議決定された基本方針で整理されており、今回パブリックコメントにかけられている解説案は、その考え方に肉付けをする「実務指針」にあたるものだと捉えるとわかりやすいでしょう。基本方針が「何を目指すか」を示したのに対し、今回の解説案は「現場で何を、いつ、どう届け出て報告するか」に踏み込んでいます。
対象を正確におさえておきます。義務がかかるのは、経済安全保障推進法にもとづく特定社会基盤事業者のうち、特定重要電子計算機を使用する「特別社会基盤事業者」です。母数となる特定社会基盤事業者は、2025年7月31日時点で電気・ガス・鉄道・電気通信・金融など15分野257者、2026年7月1日時点では258者に更新されています。このうち、特定重要電子計算機を使用する特別社会基盤事業者に、二つの新しい義務が課されます。
一つは「届出」です。重要なサーバーや通信機器を導入したら、その製品名や製造者名を所管大臣に届け出る。届出を受けた事業所管大臣は、その内容を内閣総理大臣に通知します。もう一つは「報告」です。特定侵害事象、または特定侵害事象の原因となり得るものとして主務省令で定める事象を認知したら、事業所管大臣と内閣総理大臣の両方に報告する。この官民の情報連携が、制度の主要な仕組みの一つになっています。
ここで、この制度の性格がよく表れている点を一つ挙げておきます。それは「一定の重要な機器については、攻撃が成功したかどうかを問わずに報告を求める」という考え方です。
特に重要な類型の電子計算機については、攻撃が失敗して認証が突破されなかった場合でも、あるいはアンチウイルスが即座にマルウェアを削除した場合でも、「特定侵害事象の原因となり得る事象」として報告対象になり得ます。ただし、これはすべての機器・すべての失敗した攻撃に当てはまるわけではなく、法令・解説案が定める対象類型と事象に限られます。それでも、一定の攻撃の試みまで早い段階で国と共有する設計になっている点は、この制度の特色といえます。
「認知」の意味も、あわせて理解しておきたいところです。監視システムのアラートが鳴っただけで直ちに報告の時計が回り始めるわけではなく、その内容を踏まえて「報告対象に当たる」と合理的に判断できた段階を指します。この判断を平時のうちに誰がどう下すのかを決めておけるかが、事業者にとっての実務上のポイントになりそうです。
報告のスピード感も具体的です。解説案は速報について、DDoS攻撃なら認知後できるだけ速やかに、ランサムウェアやその他の攻撃なら認知した日から3〜5日以内と示しています（主務省令は速報を「認知後、速やかに」と定めており、3〜5日という日数は解説案が示す具体的な期限です）。詳細報告は認知日から30日以内です。攻撃を受けた直後の混乱のなかで、この時間軸を守れる体制を平時から組んでおけるかどうかが、最初の関門になるとみられます。
届出の範囲にも、実務者が押さえておくべき線引きがあります。アプライアンス（特定用途の機器）はハードウェアの製品名・製造者名を届け出る一方、それ以外の機器はOS・ミドルウェア・アプリケーションといったソフトウェアが対象で、ハードウェアとファームウェアは対象外です。さらに、一社、または同一の親法人等を持つなど一定の関係にある複数の特別社会基盤事業者の事業専用で、製品情報が市場に出回っていない専用設計品は除外され得ますが、一般製品の設定変更やアドオンだけでは通常この除外に当たりません。汎用品も、自動的にすべてが外れるのではなく、両大臣が対象外として指定したものが除外される仕組みです。「うちのどの資産が、どの区分に当たるのか」を仕分ける作業そのものが、最初の負荷になるとみられます。
解説案の付録には、海外の重大事例が3件挙げられています。2021年のColonial Pipeline、2022年のViasat、そして2010年のStuxnet。いずれも、サイバー攻撃が物理設備・通信サービス・事業継続に重大な影響を与えた事例です。ただし三者三様で、StuxnetはPLCの設定ロジックを改ざんし、遠心分離機約1,000台を稼働不能にする物理的影響を生じさせた一方、Colonial Pipelineは業務系ネットワークが侵害され、制御システムが侵害された証拠は確認されないまま、事業者が予防判断としてパイプラインを止めました（2021年5月7日停止、5月13日全面再開）。Viasatは衛星通信サービスの一部が中断し、数万台のモデムがネットワークに接続できなくなったものです。直接の物理被害と、事業判断としての停止・サービス中断は別物であり、後者のダメージも計り知れない——政府がこの3件を選んだ理由をそこに読み取れる、と私は考えています（解説案自身は選定理由を明示していません）。
実務者の視点に立つと、悩ましい論点も浮かびます。たとえばクラウドやSaaSを使っている場合、侵害の一報はクラウド事業者から届くことがあり、自社だけでは能動的に気づけない場面があります。解説案自身が、SLAや利用規約で「どんな事象を、どう通知してもらえるか」を平時に確認しておくよう促しているのは、そのためです。委託先や共同利用先を含めた連絡網の設計が、重要な対応事項の一つになります。
もう一つ、視野に入れておきたい点があります。今回の解説案が扱うのは「届出」と「報告」という比較的合意の得やすい部分ですが、2026年10月の施行に向けた全体像には、通信情報の取得・利用や、攻撃元サーバーへのアクセス・無害化といった、プライバシーや権利との緊張をはらむ論点も含まれています（無害化権限は主に同整備法による関連法改正に基づきます）。能動的サイバー防御という枠組み全体は、安全と自由のバランスをめぐる議論の途上にあり、その全体像のなかに、今回の意見募集も位置づけられます。
締切は2026年8月19日午前0時。7月15日からの約35日間です。基幹インフラの現場に立つ方はもちろん、そのサプライチェーンに連なる企業にとっても、この一か月あまりは、来たる10月に向けた準備を左右する時間になるはずです。
【関連記事】
CYDER 2026年度開講｜NICTが全国47都道府県で100回、サイバー演習を一部無料提供
制度を動かす「人材・演習」の側面を扱った記事。届出や報告を実際に担う現場の備えという観点を補えます。
サイバー対処能力強化法の基本方針が閣議決定、2026年施行へ。能動的防御で日本のセキュリティが変わる
今回の解説案の前段にあたる基本方針を報じた記事。「特定重要電子計算機」「特別社会基盤事業者」の位置づけを押さえられます。
能動的サイバー防御、2026年10月施行へ—警察・自衛隊に限定的な無害化措置権限
今回と同じ2026年10月施行を主題にした記事。無害化措置やプライバシー論点まで含む全体像を詳しく追えます。
【編集部後記】
「うちは基幹インフラじゃないから関係ない」——最初はそう思われるかもしれません。でも、この制度を考えるとき、私がいちばん気になっているのは、電力会社やガス会社そのものの先にいる、無数の委託先やベンダーの存在です。共同利用や委託の連鎖のどこかで、あなたの会社の機器やサービスが、特別社会基盤事業者の届出内容や報告体制に関わってくる可能性は、決してゼロではありません。もちろん、それだけで自社が特別社会基盤事業者になるわけではありませんが、契約や通知の面で対応を求められる場面は考えられます。
今回いちばん考え込んだのは、「一定の重要な機器では、攻撃が成功したかどうかを問わず報告を求める」という設計でした。アラートが鳴った、でも被害は出ていない。その一瞬をどう扱うかを、平時のうちに決めておけるか。ただし、アラートが鳴った瞬間から法定の時計が回るわけではなく、報告対象に当たると合理的に判断できてからが起点です。速報3〜5日という解説案が示す期限は、体制が整っていれば余裕にも、慌てていれば一瞬にもなります。10月まで、あと少し。案件番号095260710のページを一度開いてみるところから、この制度との距離を測ってみるのもいいのかもしれません。
【用語解説】
特定重要電子計算機
特定社会基盤事業者が使う電子計算機のうち、そのセキュリティが破られると重要設備の機能が停止・低下し、役務に支障を生じさせるおそれがあるものとして政令で定められたもの。届出の単位としては、OS・ミドルウェア・アプリケーションなどのソフトも扱われる。
特別社会基盤事業者
経済安全保障推進法にもとづき指定された特定社会基盤事業者のうち、特定重要電子計算機を使用する者を指す。今回の届出・報告義務が直接かかる対象である。
特定侵害事象
特定重要電子計算機に対する「特定不正行為」（マルウェアの供用、不正アクセス、業務妨害の3類型）によって、その機器のサイバーセキュリティが害されること。侵害成立前の攻撃試行などを含む「原因となり得る事象」は、別概念として整理されている。
アタックサーフェス
一般には、外部（インターネット）からアクセス可能なIT資産の総体を指す。ただし解説案で優先的な届出対象とされる「アタックサーフェス」は、インターネットとの接続口に置かれ、グローバルIPアドレスを割り当てられた機器など、より限定して整理されている。
DDoS攻撃
多数の機器から標的のサーバーやネットワークへ一斉に大量の通信を送り、対象を利用できない状態に陥らせる攻撃。「Distributed Denial of Service」の略である。
ランサムウェア
感染した機器内のファイルを暗号化し、復号と引き換えに身代金（Ransom）を要求するマルウェア。近年は、暗号化せず窃取した情報の暴露をちらつかせて金銭を要求する類型もある。
Stuxnet（スタックスネット）
2010年に発見された、制御システムを標的とするマルウェア。イランの核燃料施設で、PLCの設定ロジックを改ざんして遠心分離機を不正操作し、約8,400台のうち約1,000台を稼働不能に陥らせたとされる。世界初の制御システムを標的とするサイバー兵器とも言われる。
能動的サイバー防御
攻撃を待って防ぐ「受動的防御」から一歩進み、攻撃の予兆を検知したり攻撃元サーバーを無害化したりする、先手を打つ防御の考え方を一般に表す言葉。サイバー対処能力強化法および同整備法による枠組みが導入するもので、無害化の権限は主に同整備法による関連法改正に基づく。
【参考リンク】
e-Govパブリック・コメント（当該意見募集ページ）（外部）
今回の意見募集の公式ページ。解説案本体と意見募集要領のPDFがダウンロードでき、意見提出フォームへの入口も用意されている。
サイバー対処能力強化法に基づく基本方針（内閣府）（外部）
2025年12月23日に閣議決定された基本方針の公式PDF。制度運用の基本的な考え方や官民連携、通信情報の取扱いの原典にあたれる。
内閣府 サイバー安全保障（施行等に関する有識者会議）（外部）
制度を所管する内閣府の公式ページ。基本方針や施行に向けた考え方など、制度設計に関わる一次資料が公開されている。
内閣官房 サイバー安全保障に関する取組（外部）
サイバー対処能力強化法および同整備法の全体像を政府自ら説明するページ。法の趣旨や提言などの原典にあたれる。
U.S. Department of Energy｜Colonial Pipeline Cyber Incident（外部）
米エネルギー省による事件の時系列記録。2021年5月7日の予防的停止から5月13日の全面再開までの経緯が公式に記されている。
Viasat｜KA-SAT Network cyber attack overview（外部）
Viasat社自身による2022年KA-SAT事案の公式説明。衛星本体や地上設備が直接侵害された証拠はないとする見解を含む。
【参考記事】
サイバー対処能力強化法（官民連携）の施行に向けた考え方の案（資料5・内閣府）（外部）
アプライアンスはハード、それ以外はソフトを届出対象とし、専用設計品や指定汎用品は対象外とする、届出範囲の裏付け一次資料。
サイバー対処能力強化法及び同整備法について（内閣官房）（外部）
届出・報告の建て付けや報告先、脆弱性認知時の情報提供の仕組みを政府自身が説明した一次資料。制度の流れの確認に使用。
特定社会基盤事業者の指定状況（内閣府 基幹インフラ制度概要）（外部）
対象事業者数の現況を示す一次資料。2026年7月1日時点で258者とされ、2025年7月31日時点の257者から更新されている。
The Attack on Colonial Pipeline: What We’ve Learned（CISA）（外部）
Colonial Pipeline事件（2021年5月7日攻撃）について、担当機関CISAがその後の官民連携強化を振り返った一次資料。
Colonial Pipeline Cyberattack Highlights Need for Better Preparedness（米GAO）（外部）
米会計検査院による事案の整理。侵害されたのは業務系で、制御・運用技術側の侵害証拠は確認されなかった点の裏付け。
