英国のサイバーセキュリティ法制を刷新する法案が、9月1日から上院の委員会段階に入ります。所管大臣に、二次立法で規則を書き換える権限と、国家安全保障を理由に指示を出す権限を渡す内容です。ところが、その「所管大臣」が属していた省庁のほうが、7月21日に廃止されました。
英国のサイバーセキュリティ・レジリエンス（ネットワーク・情報システム）法案が、2026年6月16日に下院を通過し、9月1日から上院の委員会段階に入る予定である。2025年11月12日提出の同法案はNIS規則2018を改正し、データセンター、大規模ロードコントローラー、マネージドサービス事業者、指定重要サプライヤーを新たに規制対象へ加える。
対象事業者は、重大な影響を及ぼしうるインシデントを覚知から24時間以内に初期通知し、72時間以内に詳細報告する義務を負う。通常のNIS規則違反への制裁金は、重い違反で1700万ポンドまたは全世界売上高4%、軽い違反で1000万ポンドまたは2%の高い方となる。所管大臣には、二次立法でNIS規則を更新する権限と国家安全保障上の指示権が与えられる。
From: 
Cyber Security and Resilience (Network and Information Systems) Bill 2024-26
【編集部解説】
所管する省庁が、審議のさなかに消えた
英国のサイバーセキュリティ・レジリエンス法案は、9月1日から上院の委員会段階に入る予定です。下院を通過したのが6月16日、上院での第二読会が7月14日でした。政府は現在、国王裁可の時期を2027年初頭と見込んでいます。
ただ、この法案がいま置かれている状況は、少し変わっています。7月20日、キア・スターマー首相が退任し、アンディ・バーナム氏が後任に就きました。翌21日、政府は科学・イノベーション・技術省（DSIT）を廃止し、その機能を複数の省庁へ再配分すると発表しています。ビジネス・貿易省（DBT）はビジネス・イノベーション・科学・貿易省（BIST）へ改称されて科学・イノベーション分野を引き継ぎ、通信・メディア・オンライン安全は「デジタル」が名称に戻ったDCMSへ、AI戦略とAIセキュリティ研究所は内閣府へ移りました。法案を提出したリズ・ケンドール科学技術相も退任しています。
内閣府が7月22日に公表した行政機構再編のファクトシートには、通信やAIの行き先は書かれています。ただ、DSITの機能全体については「再配分される」と記すにとどまり、サイバーセキュリティ政策をどの省庁が引き継いだのかは、この文書からは読み取れません。英国議会の法案ページは、8月21日の更新時点でも提出省庁を「DSIT」、担当大臣を「リズ・ケンドール」と表示したままです。gov.ukに並ぶ各ファクトシートには「2024年から2026年のスターマー労働党政権のもとで公表された」という注記が付きました。
そして、この法案の第3部と第4部が何をするものかというと、「所管大臣（Secretary of State）」に対して、二次立法でNIS規則を書き換える権限、規制当局が考慮しその達成に努めるべき戦略的優先事項を定める権限、そして国家安全保障を理由に規制対象事業者と規制当局の双方へ直接指示を出す権限を、新たに渡すものです。
法案はこれらの権限を、特定の個人名や省庁名ではなく「the Secretary of State」に与えています。省庁の組み替えに対応しやすい英国の一般的な起草実務ですが、実際の権限移管では別途の法的手当てが必要になる場合もあります。それでも、誰にどれだけの裁量を委ねるかを議会が議論している最中に、行政組織のほうが組み替えられたという順番は、記録しておく価値があると考えます。
委任権限の広さは、すでに上院で論点になっています。上院の委任立法・規制改革委員会は7月21日に公表した報告書で、法案そのものを政令で改正できる「ヘンリー8世条項」が2か所（37条7項と40条5項）ある点を院の注意に付しました。憲法委員会も、29条1項の規則制定権が法案の仕組みの中心にあると指摘しています。9月1日からの委員会段階では、ここが主要な論点の一つになります。
なぜ「二次立法で変えられる」ことが法案の中心にあるのか
現行のNIS規則2018は、1972年欧州共同体法を根拠に作られました。その法律が廃止されたため、政府は規則を手直しする委任権限を失っています。分野を1つ追加するだけでも議会制定法が必要になる、という状態が続いてきました。
2022年の施行後レビューが示した改革には第一次立法を必要とするものが含まれており、迅速な手直しが難しい状態が続いてきました。法案が「将来対応（future-proofing）」の権限を国王裁可の初日から発効させる設計になっているのは、その穴を最初に塞ぐためです。
一方で、EUは同じ期間にNIS2指令へ移行し、加盟国は2024年10月までに国内法化を求められました。オランダがサイバーセキュリティ法を施行したのは2026年8月15日です。政府自身の影響評価が、英国は「国際的なパートナーから後れをとっている」と書いています。
規制の輪郭が、どこまで広がるのか
新たに対象へ入るのは4種類です。
データセンターは、第三者にサービスを提供する事業者ならIT負荷1MW以上、自社利用の施設なら10MW以上が閾値になります。影響評価によれば、1MWという線引きは英国内で把握されているデータセンターサイトの81%を捕捉します。規制当局はOfcomです。
大規模ロードコントローラーは、電気自動車や蓄電池といったスマート家電の電力を制御する事業者で、管理する電力の最大流量が300MW以上なら対象です。この数字は英国の電力系統運用者であるNESOとの協議で決まりました。需要が低い時間帯に300MW分の需要が突然消えると、系統の安定性に影響が及びうる、という助言に基づいています。サイバー攻撃が停電として現れる経路が、発電所ではなく家庭の充電器の側にもあるという認識が、閾値の形で条文に入ったことになります。
マネージドサービス事業者は、顧客のITシステムを継続的に運用・管理する契約を結び、そのために顧客のネットワークや情報システムへ接続・アクセスする事業者です。DSITが2025年11月に公表した最新の市場調査によれば、2025年3月時点で英国には1万2867社のMSPが活動し、34万3762人を雇用しています。このうち何社が規制対象になるかは、従業員数を英国内で数えるか全世界で数えるかによって変わり、調査は977社から2381社という幅を示しました。法案の定義がどちらを指すのかがまだ確定していないためで、調査自体がその点を明示しています。零細・小企業は、RMSPとしての通常の適用からは除外されます。
そして重要サプライヤーは、規制当局が個別に指定する仕組みです。政府がその必要性を説明する際に挙げているのが、2024年6月に病理検査事業者Synnovisが受けたランサムウェア攻撃です。キングス・カレッジ病院とガイズ・アンド・セント・トーマス病院で、外来1万152件と予定手術1710件が延期されました。政府は、この攻撃が患者1人の死亡に寄与したとしています。下院図書館の調査ブリーフィングは、少なくとも2件の重篤な被害があったとも記しています。規制対象の病院そのものではなく、その先の1社が止まったことで起きた出来事です。この指定は企業規模を要件としないため、規模の小さい事業者でも対象になりえます。
24時間という時計
報告義務の設計は、EUのNIS2に近づきました。覚知から24時間以内に軽量な初期通知、72時間以内に詳細報告。いずれも規制当局とNCSCの双方に届きます。
より重要なのは、報告の引き金が変わることです。現行制度は「サービスの継続に影響が出た」ことを条件にしていますが、法案は「重大な影響を及ぼした、及ぼしている、または及ぼす可能性がある」インシデントを対象にします。政府のファクトシートが例に挙げるのは、病院のシステムに侵入した攻撃者が、まだ締め出しには至っていないものの、後に締め出して身代金を要求できる状態です。実害が出る前の段階が、報告の対象に入ります。
なお、EUのNIS2には1か月後の詳細報告という第3段階がありますが、英国はこれに相当する規定を置いていません。
制裁金の上限は、抑止のために置かれている
法案21条は、現行の3段階の制裁金体系を2段階へ簡素化します。通常のNIS規則違反について、重い違反は1700万ポンドまたは全世界売上高の4%のいずれか高い方、軽い違反は1000万ポンドまたは2%のいずれか高い方です。現行制度では売上高に連動した算定ができず、上限は1700万ポンドに固定されていました。
影響評価は、この額が大企業にとっては年間売上のごく一部にすぎず、コンプライアンスの費用より制裁金のほうが安くなる場面があると率直に書いています。上限を売上高比に切り替えたのは、その逆転を解消するためです。
ここは読み方に注意が必要なところで、政府自身はファクトシートで「この改革の目的は罰金を広く使うことではなく、罰金の継続的な使用が不要になるようなコンプライアンスの文化を育てることにある」と明記しています。額の大きさだけを取り出して厳罰化と読むと、原典の意図から離れます。
もう一段外側に、別の制裁体系があります。第4部の国家安全保障上の指示に従わなかった場合で、法案49条は、関連する政令が施行された後は1700万ポンドと全世界売上高の10%のいずれか高い方まで、継続的な違反には1日あたり最大10万ポンドの制裁金を科せるとしています。通常のNIS規則違反に対する4%・2%の体系とは別の制度であり、報道でもしばしば混同されるところです。
M&SとJLRの本業は、今回の対象拡大に含まれない
2025年に大規模なサイバー被害を受けたマークス・アンド・スペンサーとジャガー・ランドローバーは、どちらも今回の自動的な対象拡大には含まれません。小売と自動車製造は、NIS規則が重要と定めた分野ではないからです。ただし、規制対象事業者にとって不可欠な供給元であれば重要サプライヤーとして個別に指定される道は残っており、企業単位で永久に対象外というわけではありません。
この点は複数のステークホルダーが指摘しています。IT専門職団体ISACAで最高グローバル戦略責任者を務めるクリス・ディミトリアディス氏は、サイバー規制が重要国家インフラだけに焦点を絞れる時代は終わり、いまや主要な雇用主はすべてデジタル経済の一部であり、したがって脅威の対象でもあると論じています。
政府の立場は明確です。当時デジタル経済担当相だったロイド・オブ・エフラ男爵夫人は、重要インフラと同水準の規制を経済全体に課す考えはないと説明しています。分野別の規制当局を12に分けている構造についても、分野ごとにリスクの性質もテクノロジーも異なるためだとしています。エネルギー分野はタービン、変電所、ガス管といった制御技術への依存が大きく、デジタルサービス分野はクラウドやWebアプリケーションが中心である——同じ物差しを当てる設計にはしない、という考え方です。
もっとも、法案は分野を追加する委任権限そのものを政府に与えます。線引きが動かないという話ではなく、動かす手続きが議会制定法から二次立法へ移るという話です。
まだ決まっていないこと
審議中の法案なので、確定していない部分は少なくありません。政府はそれを実施計画として示しています。
政府が挙げる主な予定では、国王裁可の初日に発効するのが将来対応の権限と施行後レビューの規定、2か月後が戦略的優先事項の声明と情報共有です。データセンター、マネージドサービス事業者、大規模ロードコントローラー、重要サプライヤー、インシデント報告、費用回収、そして指示権限は、いずれも二次立法を待って施行されます。政府はこの一覧を網羅的なものではないと断っています。
制裁金の算定基礎となる「売上高」の定義も、二次立法で定められます。政府は、英国の経済と社会に提供される規制対象サービスに見合う範囲に限る意向を示しつつ、親会社が違反に関わる意思決定に影響を与えた場合などにはグループ企業の売上高を考慮する余地があるとしています。
実施方針のコンサルテーションは2026年中に順次進められており、大規模ロードコントローラー向けのサイバー評価枠組みについては6月23日に第1弾が公開されました。制度全体のコストは年間1億5000万ポンド未満と見積もられています。
ランサムウェアの身代金支払い規制は、別制度として政策開発が続いています。セキュリティ研究者の法的保護をめぐるComputer Misuse Act 1990の改革も、提出時点の法案には含まれていません。
日本の読者にとって、どこが自分の話になるか
まず、英国外の事業者でも対象になりえます。法案3条は不可欠サービス提供者について、英国でサービスを提供し基準を満たす組織であれば、英国外に設立されていても対象になりうることを明確にしています。マネージドサービス事業者にも別の条項で域外適用が置かれ、英国外に本拠を置く場合は英国内の代表者を指名したうえで規制当局へ登録情報を提出する必要があります。重要サプライヤーも、英国に設立されているかどうかを問わず指定されえます。
英国の顧客にクラウドやマネージドサービスを提供している日本企業、英国内にデータセンターを持つ事業者にとっては、EUのNIS2に続いて確認すべき制度がもう1つ増えることになります。
もう1つは、線引きの参照点としての価値です。日本では2025年5月にサイバー対処能力強化法と関連整備法が成立し、施行に向けた制度整備が進んでいます。英国が今回、データセンターとロードコントローラーを「不可欠なサービス」の側に数え直したこと、そして規制対象の一段外側にいるサプライヤーを個別指定で引き込む仕組みを作ったことは、「重要インフラとはどこまでか」という問いへの、1つの具体的な回答です。
答えが日本にそのまま当てはまるわけではありません。電力系統の構成も、データセンターの集積の仕方も違います。それでも、300MWや1MWといった数字を、どんな根拠で、誰と相談して決めたのかが公開されている点は、参照する価値があります。
9月1日から始まる上院の委員会段階では、条文が一条ずつ検討されます。どこまでを議会が握り、どこからを大臣に委ねるのか。省庁の名前が変わった直後のこのタイミングで、その線がどう引き直されるのかを見ておきたいと考えています。
【関連記事】
CEVA Logistics侵害、Steam・ポケモンセンターに波及
EUのNIS2指令をオランダが国内法化した「Cyberbeveiligingswet」の施行と、物流事業者の侵害が重なった事例を扱っている。
Jaguar Land Rover生産停止、サイバー攻撃で英国2工場閉鎖｜自動車業界デジタル化リスクが現実に
本記事で「対象分野に含まれない」と紹介したJLRの被害そのものを報じた記事。製造業への影響の広がりを扱う。
NCSCら10カ国16機関、中国系秘匿ネットワークへの防御策を共同公開
英国NCSCが主導した国際共同アドバイザリー。重要インフラへの事前展開という脅威認識の背景を扱っている。
【編集部後記】
下院図書館の調査ブリーフィングは、英国のマネージドサービス事業者を「1500〜1700社」と記しています。2023年の調査に基づく数字です。同じ議会の資料でも、より新しい2025年の調査は977社から2381社という幅を示していました。従業員数を英国内で数えるか、全世界で数えるか。それだけで2倍以上ひらきます。
議員に配られる資料でさえ、数字は静かに古くなります。9月1日から始まる委員会段階で、この幅はどちらの端で語られるのでしょうか。
【用語解説】
NIS規則2018
Network and Information Systems Regulations 2018。英国で唯一の分野横断的なサイバーセキュリティ規則。エネルギー、運輸、医療、飲料水、デジタルインフラの事業者と、一部のデジタルサービス提供者に対し、リスク管理措置とインシデント報告を義務づける。1972年欧州共同体法を根拠に制定された。
不可欠サービス提供者（OES）
Operator of Essential Services。NIS規則が定める重要分野で、一定の閾値を超える規模のサービスを提供する事業者。規制当局による能動的な監督の対象となる。
マネージドサービス事業者（MSP／RMSP）
顧客のITシステムを継続的に運用・管理する契約を結び、そのために顧客のネットワークや情報システムへ接続・アクセスする事業者。このうち法案の規制対象となるものをRMSP（Relevant Managed Service Provider）と呼ぶ。零細・小企業は通常の適用から除外される。
大規模ロードコントローラー
電気自動車や蓄電池といったスマート家電の電力使用を遠隔で制御する事業者。管理する電力の最大流量が合計300MW以上の場合、法案により不可欠サービスとして規制対象になる。
重要サプライヤー
規制当局が個別に指定する供給元。指定を受けると法定のサイバーセキュリティ責務を負う。企業規模を要件としないため、小規模な事業者でも指定されうる。
IT負荷（IT load）
データセンター内のIT機器が引き出せる電力の最大量。法案はこれをデータセンターの規制対象閾値の基準に用いる。
所管大臣（Secretary of State）
英国の閣内大臣を指す法律上の呼称。法案は権限の受け手を特定の個人名や省庁名ではなく、この呼称で定めている。
二次立法（secondary legislation）
議会制定法の授権に基づき、大臣が制定する政令・規則の総称。議会での審議手続きが第一次立法より簡略になる。
ヘンリー8世条項
第一次立法そのものを二次立法によって改正できるようにする条項。議会の統制が及びにくくなるため、上院では専門の委員会が個別に精査する慣行がある。
委員会段階（Committee stage）
法案を一条ずつ検討し、修正を審議する段階。上院では通常、第二読会の後に置かれる。
国王裁可（Royal Assent）
両院を通過した法案が法律として成立するための最終手続き。
NIS2指令
EUがNISディレクティブを改定した2022年の指令。対象分野の拡大、サプライチェーンリスクへの対応、インシデント報告の強化、規制当局の権限強化を柱とする。加盟国には2024年10月までの国内法化が求められた。
全世界売上高（worldwide turnover）
制裁金の算定基礎となる売上高。法案は上限額を定めるが、その具体的な定義は二次立法に委ねられている。
【参考リンク】
Cyber Security and Resilience (Network and Information Systems) Bill（外部）
英国議会が運営する法案の公式ページ。審議段階ごとの日程、現行の条文、政府が提出した各種文書、修正案の一覧を掲載している。
Cyber Security and Resilience (Network and Information Systems) Bill: factsheets（外部）
英国政府が法案とあわせて公表したファクトシート群。概要、データセンター、インシデント報告、執行など項目別に整理されている。
Enforcement（外部）
制裁金の帯構造と上限額の設計思想を政府が説明した文書。現行の3段階から2段階への簡素化と、そこに至った理由を扱っている。
Machinery of Government changes: Fact Sheet（外部）
内閣府が2026年7月に公表した行政機構再編の説明文書。DSITの廃止と、各省庁への機能の再配分について記したものである。
Cyber Security and Resilience (Network and Information Systems) Bill: HL Bill 32 of 2026–27（外部）
上院図書館が公表した本法案の調査ブリーフィング。上院段階での主な論点と、業界団体や規制当局それぞれの反応をまとめている。
Delegated Powers and Regulatory Reform Committee, 7th Report of Session 2026-27（外部）
上院の委任立法・規制改革委員会による報告書。この法案が所管大臣へ委ねようとしている権限を、条項ごとに精査した内容である。
Research on managed service providers 2025（外部）
DSITが2025年11月に公表した英国のMSP市場調査。事業者数、雇用者数、規制対象となる事業者数の推計を扱っている。
The Network and Information Systems Regulations 2018（外部）
法案が改正の対象としている現行のNIS規則の条文。対象となる分野と、事業者が負う責務および報告義務について定めたものである。
National Cyber Security Centre（外部）
英国のサイバーセキュリティにおける技術的権威。GCHQの一部であり、NIS規則上のCSIRTと国際連絡窓口の機能を担う。
【参考記事】
Cyber Security and Resilience (network and information systems) Bill issued by UK government（外部）
法律事務所Clifford Chanceによる法案の解説。現行の制裁金上限と、法案による引き上げ幅を具体的に対比している。
UK Cyber Security and Resilience Bill: key considerations for technology businesses（外部）
法律事務所Taylor Wessingによる分析。英国の新しい制裁金上限が、EUのNIS2のほぼ2倍にあたる点を指摘している。
Cyber Security and Resilience Bill progresses through Parliament（外部）
法律事務所Macfarlanesによる下院委員会段階の報告。国家安全保障上の指示違反に置かれた別の制裁体系を整理している。
The UK Cyber Security and Resilience Bill and what it means for your business（外部）
法律事務所Gowling WLGによる実務向け解説。日額10万ポンドと5万ポンドという制裁金の設計を具体的に扱っている。
Shining a new light on the UK’s Managed Service Providers (MSP) sector（外部）
DSIT委託調査を実施したGlass.AIによる解説。1万2867社というMSPの推計と、その規模別の内訳を紹介している。
