サイバー保険で出るもの・出ないもの｜身代金・委託先・保険料の目安【法人向け】

ランサムウェアで業務が止まった、取引先から預かった情報が漏れた、委託先のクラウドが止まって受注できなくなった。こうした事故の費用を、サイバー保険はどこまで払ってくれるのでしょうか。

このページは、事業者向けのサイバー保険について、補償されるもの・されないもの、保険料の目安、入り方、事故が起きたときの使い方を、保険会社の公式資料と業界団体・官公庁の公表をもとに編集部が整理したものです。特定の保険会社や商品をすすめるものではありません。補償の範囲は商品と契約によって違うので、加入や請求の前に、約款と保険会社・代理店の説明で確かめてください。

まず知っておくこと

1. 補償は「3つの柱」でできている

   他人への損害賠償、事故に対応する費用、事業が止まった間の損失の3つです。3つめは多くの商品でオプションなので、付けていなければ「業務が止まった損失」は出ません。

2. 身代金を払うための保険ではない

   日本損害保険協会は「ランサムウェアの被害によって支払った身代金はサイバー保険の対象になりません」と説明しています。国内大手のパンフレットも、攻撃者に払う金銭を対象外にしています。出るのは、調査・復旧・休業などの費用です。

3. 事故のときの「窓口」にもなる

   大手の商品には、24時間365日の受付や、調査・復旧をする専門事業者の紹介が付いているものがあります。保険金だけでなく、最初の数時間に誰へ電話するかが決まっていることも、加入の意味のひとつです。

何が補償されるか

日本損害保険協会は、サイバー事故が起きると「①事故対応費用、②損害賠償費用、③利益損害・営業継続費用」の3つの費用が発生する可能性があると説明しています。各社の商品も、おおむねこの3つに対応する補償でできています。どこまで補償されるか、上限はいくらかは、保険会社とプランによって違います。

• 不正送金・ビジネスメール詐欺：三井住友海上やあいおいニッセイ同和は、不正送金やビジネスメール詐欺による預貯金の損害（資金損害）を、オプションとして用意しています（あいおいニッセイ同和はワイドプランのみ）。日本商工会議所の制度のあいおいニッセイ同和版では、資金損害の限度額は1事故・保険期間中500万円（費用の限度額のほうが低ければそちら）、自己負担は1事故10万円です
• 「攻撃の疑い」の段階から使えるか：調査の費用を出す条件は商品で違います。損保ジャパンは2026年2月の改定で「サイバー攻撃緊急初動費用」を設け、外部から知らされた場合だけでなく、自社で異常に気づいた段階の調査・遮断の費用も対象にしたと説明しています（単独の商品の説明。団体制度の版の条件は、保険会社に確かめてください）
• 平時のサービス：外部からの監視（東京海上日動は契約者のドメインを外から定期的に調べるサービスを無償で提供）、標的型メールの訓練、セキュリティの診断などを付ける保険会社もあります

補償されないもの・誤解されやすい点

身代金
国内大手の商品は、攻撃者に払う身代金を対象外にしています（三井住友海上・あいおいニッセイ同和は「サイバー攻撃が金銭等の要求を伴う場合において、その金銭等」を対象外とする。注記は省略）。Chubb損保の商品には「サイバー恐喝対応費用補償」の項目があり、恐喝を受けたときに専門家へ相談する費用などを補償します。身代金そのものの扱いは、公開ページからは分かりません。

戦争・国家が関わる攻撃
戦争のほか、国家が関与するサイバー攻撃のうち、重要インフラや安全保障に重大な影響を及ぼすものは対象外です（三井住友海上・損保ジャパン・東京海上日動の資料）。東京海上日動は2025年1月から、すべての契約に戦争などを除外する特約を付けています。

罰金・課徴金
罰金・科料・過料・課徴金・制裁金などは、賠償の対象になりません。AIG損保は、日本国外の情報保護に関する法令に違反して支払いを命じられた制裁金などについて、保険の対象とすることが適法に認められている場合に限って補償するとしています（2022年3月時点の商品ページ）。

社内の不正
契約者や被保険者の故意、役員・従業員などによる窃盗・詐欺・横領などの犯罪行為による損害は、原則として対象外です。損保ジャパンは、使用人の犯罪行為に起因して生じた自社の損害をオプションで補償しています。

委託先で自社の情報が漏れた
三井住友海上は、管理を委託した他人の情報が漏れた場合も補償の対象と明記しています。なお東京海上日動は、情報を他人に提供したり扱いを委託したりしたこと自体が漏えいにあたるとされた賠償請求を対象外にしています（委託先で起きた漏えいの扱いとは別の論点です）。委託先経由の事故がどこまで出るかは、約款の文言で確かめる必要があります。

委託先のクラウドやサービスが止まった
自社が攻撃されていなくても、使っているクラウドが止まれば業務は止まります。東京海上日動は、自社の直接の管理下にない電気・通信・インターネットなどのインフラの停止や障害による損害を対象外にしています。インフラの除外にクラウドが含まれるか、利益損害の対象となる「機器」に委託先のシステムが入るかは約款の定義しだいで、各社の扱いは公開資料からは分かりません。2026年10月のIDCフロンティアのクラウドへのランサムウェア攻撃のような事案では、ここが論点になります。

契約前の攻撃
損保ジャパンは、契約前のサイバー攻撃による事故は補償しないとしています。被害を受けてから加入しても、その事故には使えません。

連絡の期限
東京海上日動の緊急対応の費用は、攻撃が疑われる事象を最初に見つけた日の翌日から30日以内に連絡しないと、見つけてから30日以内にかかった費用しか補償されません。異常に気づいたら、早めに保険会社か代理店に知らせてください。

保険料の目安と割引

保険料は、売上高・業種・支払限度額・自己負担額・セキュリティ対策の状況で決まります。下の表は、保険会社が公式に載せている例です。前提（割引の有無、限度額、自己負担）がそろっていないので、会社どうしの安い・高いの比較には使えません。自社の規模と業種で、どのくらいの桁になるかをつかむための目安です。

各社の公開ページ・パンフレットより（2026年10月22日確認）。三井住友海上の例は2024年4月以降始期、日本商工会議所の制度は2026年4月以降始期のもの。

• 公開されている例を見ると、売上高が数億〜10億円ほどでIT業以外なら、年6万〜20万円前後の例が多く並びます。利益損害を付けると数十万円、ITサービス業は100万円を超える例があります
• 割引：三井住友海上は全25項目の確認シートに答えると最大60%、あいおいニッセイ同和も対策しだいで最大60%の割引があります。損保ジャパンも独自の確認シートの評価を保険料に反映します
• 日本商工会議所の「サイバー保険制度」：あいおいニッセイ同和・損保ジャパン・東京海上日動・三井住友海上の4社が引き受け、会員企業が団体の制度として割安な保険料水準で入れます。三井住友海上版とあいおいニッセイ同和版は団体割引20%と合わせて最大68%、東京海上日動版は最大約68%、損保ジャパン版は「最大60%以上」と案内しています
• 加入の条件：確認した中小企業向けの資料では、EDRや多要素認証の導入を加入の必須条件にしている例は見つかりませんでした。対策の状況は、加入できるかどうかより、割引率に反映される作りです。ただし海外では、一部の対策が保険会社の最低限の要件になっていると、保険仲介大手のMarshは説明しています

どこで入れるか

• 保険会社・代理店：単独の商品として入ります。補償の組み合わせを自社に合わせやすい入り方です。「サイバー保険 比較」で出てくるサイトの多くは代理店や紹介業者が運営していて、順位や「おすすめ」は手数料の仕組みに左右されることがあります
• 商工会議所・業界団体の制度：団体の割引があり、補償の型が決まっている分、選ぶ手間が少なくて済みます。加入は会員に限られます
• 「サイバーセキュリティお助け隊サービス」（IPAの基準に合う中小企業向けのサービス）：監視・相談・駆けつけに、簡易なサイバー保険が付いていることが基準の必須条件です。基準（2.1版）では、ネットワーク監視型の価格の上限を月額1万円以下（税抜）としています。保険の補償額はサービスごとに違うので、契約前に確かめてください
• セキュリティ製品に付いてくる保険：製品やサービスに保険が自動で付く例があります（例：DITのサービスに付く保険は最大500万円）。上限が小さく、支払いの条件も限られることが多いので、「保険付きだから安心」とは考えないでください

事故が起きたら

1. 保険の受付に早めに連絡する

   契約している保険会社の事故受付や、サイバー保険専用の受付に連絡します。連絡の期限がある商品もあります（東京海上日動は、見つけた日の翌日から30日以内）。証券番号と受付の番号は、ふだんから社内で共有しておいてください。

2. 調査・復旧の業者を、保険会社と相談して決める

   多くの商品に専門事業者の紹介があります。自社で手配した費用がどこまで出るかは契約しだいなので、手配の前に保険会社に確かめると、後で揉めにくくなります。

3. 警察と、関係する役所に届け出る

   警察への相談・届け出に加え、個人情報が漏れた場合は個人情報保護委員会への報告が必要になることがあります。保険の事故対応費用には、報告のための弁護士などの費用を含む商品もあります。

保険に入っていない場合や、補償の外の部分の相談先は、相談先（無償）と相談先（有償）にまとめています。

加入の状況と2026年の動き

中小企業の加入は1割前後

• 日本損害保険協会の調査（2025年8〜9月）では、中小企業のサイバー保険の加入率は8.8%でした（前回2024年11月の調査では10.0%）。サイバー保険に入っていない回答者のうち、加入したいと答えたのは24.0%です。回答者は損害保険の契約に関わる経営者・従業員に限られているため、中小企業全体ではもっと低い可能性があります
• 入らない理由として挙げられた具体的な理由で最も多いのは「リスクが発生する可能性は低いと考えているため」（27.9%）でした（「わからない／特に理由はない」は32.9%）。同じ調査で、サイバー攻撃・情報漏えいなどの被害を受けた企業のうち回答した44社の被害額の中央値は125万円です
• 上場企業と売上高400億円以上の未上場企業を対象にしたKPMGの調査（2024年実施）では、57.9%が加入していました

ランサムウェアの被害は中小企業が中心

• 警察庁によると、2025年のランサムウェアの被害報告は226件で、約6割が中小企業でした。復旧などにかかった費用が1000万円以上の組織は半数を超えています
• 2026年上半期は123件で、半期として過去最多になりました。1000万円以上かかった組織は約6割に増え、1か月未満で復旧した組織は5割弱です
• JIPDECの調査（2026年1月）から計算すると、ランサムウェアの被害を受けた企業のうち身代金を支払ったのは43.8%で、2024年の約57%から下がっています。支払っても復旧できなかった企業もあります

制度の動き：保険とは、まだつながっていない

• 経済産業省の「セキュリティ対策評価制度」（★3〜★5）：★3・★4は2027年3月ごろの運用開始が予定されています。2026年10月22日時点で、★を取ると保険料が下がるといった仕組みや、それを打ち出した保険会社は見当たりません
• 個人情報保護法の改正（2026年7月公布、施行は公布から2年以内）：課徴金の制度ができますが、対象は不適正な利用・取得や第三者提供の違反などで、漏えいそのもの（安全管理措置の義務違反）は対象外です。漏えいの報告や本人への通知を一部軽くする見直しも含まれています
• サイバー対処能力強化法（能動的サイバー防御）：2026年10月1日から、基幹インフラ事業者に侵害の報告が義務づけられました。保険との関係を示した公式の資料はありません

海外：保険料は下がり、条件は厳しく

• 保険仲介大手Marshの指数では、世界のサイバー保険料率は2026年7〜9月期に前年同期比4%下がり、13四半期続けて下落しています（米国は横ばい）
• 一方でMarshは、一部のセキュリティ対策の導入が保険会社にとって最低限の要件になっていると説明し、重要な対策として多要素認証、EDR、テスト済みのバックアップなどを挙げています。安くなった代わりに、入るための宿題が増えている状況です
• Munich Reの推計では、世界のサイバー保険料は2025年に約150億ドルで、2030年に約280億ドルになる見込みです

個人事業主・フリーランスの場合

事業者向けのサイバー保険には、個人事業主が入れる商品もあります。一方で、自宅のパソコンを仕事に使っている場合、個人向けの火災保険のサイバー特約では仕事用の機器が対象外になることがあります。個人向けの補償の範囲はお金を盗られたら戻るのか（補償の地図）にまとめています。

このページの方針

• 保険会社や商品の順位づけ、「おすすめ」はしません。保険料の例は前提がそろっていないため、比較表にはしていません
• このページの掲載は、保険会社・代理店との取引や提携によるものではありません。今後、保険会社やセキュリティ会社と取引が生じた場合は、その旨を記載します
• 2026年10月22日時点で、東京海上日動の公式サイトは一時停止していました。同社の内容は、同社が発行した案内書・パンフレットで確認しています。保険料の例は、公式ページで確認できなかったため載せていません

【参考リンク】

日本損害保険協会 サイバー保険（外部）
事故で発生する3つの費用と、身代金が対象外であることの説明。

日本損害保険協会 中小企業におけるリスク意識・対策実態調査2025（外部）
サイバー保険の加入率8.8%、加入しない理由、被害額。2025年12月公表。

損保ジャパン サイバー保険（2026年2月改定）（外部）
サイバー攻撃緊急初動費用の新設と、インシデントサポートデスクの刷新。

損保ジャパン サイバー保険の保険料例（外部）
売上高・業種別の年間保険料の例と前提。

三井住友海上 サイバープロテクター（外部）
3つのプラン、割引確認シート、保険料の例。

日本商工会議所 サイバー保険制度（事務局）（外部）
4社の団体制度と、各社のパンフレット。

IPA サイバーセキュリティお助け隊サービス（外部）
中小企業向けの監視・相談・駆けつけと簡易保険をまとめたサービスの案内。

警察庁 令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について（外部）
ランサムウェアの被害件数、復旧の費用と期間、侵入経路。2026年9月公表。

経済産業省 サプライチェーン強化に向けたセキュリティ対策評価制度（外部）
★3〜★5の評価制度の概要と予定。

個人情報保護委員会 令和8年改正個人情報保護法（外部）
課徴金制度と、漏えい等報告・本人通知の見直し。

Marsh Global Insurance Market Index（2026年第3四半期）（外部・英語）
世界のサイバー保険料率の推移。

【編集部後記】

サイバー保険を調べると、「何が出るか」より「何が出ないか」のほうに、事故の実像が映っているように感じます。身代金、国家の攻撃、止まったクラウド。どれも2026年のいま、ニュースで目にするものばかりです。保険は、入ったら終わりの安心ではなく、自社がどんな事故を想定しているかを確かめる機会なのかもしれません。皆さんの会社では、事故の最初の1時間に電話する先が決まっているでしょうか。