能動的サイバー防御が10月1日始動 企業に何が求められるか情シス向けに解説

2026年10月1日、「サイバー対処能力強化法」と同整備法の主な部分が施行され、「能動的サイバー防御」の運用が始まりました。電力・通信・金融など15分野258の基幹インフラ事業者には、機器の届出とインシデント報告の義務がかかります。一般の企業に直接の義務はありませんが、取引やインシデント対応の場面で関わります。

能動的サイバー防御とは何か

能動的サイバー防御は、大きな被害が出る前に、国が攻撃の兆しをつかんで止めにいく取り組みです。政府の資料では、次の3つの柱で説明されています。

法律は、サイバー対処能力強化法(令和7年法律第42号)と、その整備法(同第43号)の2つです。強化法の正式名は「重要電子計算機に対する不正な行為による被害の防止に関する法律」です。どちらも2025年5月16日に成立し、5月23日に公布されました。

段階的な施行の流れ

いつから・誰に・何を・罰則は

15分野は、電力、ガス、石油、水道、鉄道、貨物自動車運送、外航海運、港湾運送です。さらに航空、空港、通信、放送、郵便、金融、クレジットカードが入ります。罰則は強化法の第83条・第84条で、第86条により会社にも罰金が科されます。

うちの会社は関係あるか

次の3つの質問で、自社の立場を確かめます。

基幹インフラ事業者にかかる2つの義務

機器の届出(資産届出)

届出の対象は「特定重要電子計算機」と呼ばれる機器です。攻撃を受けると基幹インフラの重要な設備が止まるおそれのあるコンピューターで、組み込まれたソフトウェアも含みます。設備そのものに加え、インターネットとの接続口の機器、認証の仕組み、ファイアウォール、同じネットワークにある機器なども入ります。

所有者がグループ会社やシステムベンダーでも、クラウドサービスでも、基幹インフラ事業者が使っていれば対象になり得ます。一方、WindowsとWindows Serverは、広く使われる製品として届出が不要と指定されています。ただし、そうした製品が攻撃を受けた場合も報告の対象にはなります。

インシデントの報告

マルウェアの実行や不正アクセスなどで対象機器が攻撃を受けたとき、またはその原因になりうる事象を知ったときに報告します。報告先は、事業を所管する大臣と内閣総理大臣です。

報告には、政府が統一した共通様式(DDoS攻撃・ランサムウェア・その他の3種類)を使います。委託先が管理する機器や、クラウドで動く機器が侵害された場合も報告の対象です。

国から返ってくる情報

政府は、届けられた機器の情報と、未公表のものを含む脆弱性の情報を突き合わせるとしています。該当する事業者には、ピンポイントで注意を促します。報告されたインシデントの技術情報も、被害を受けた組織に配慮したうえで、ほかの事業者に早めに伝えます。

アクセス・無害化措置はどう進むか

攻撃サーバーへの対処は、国家サイバー統括室(NCO)、警察、防衛省・自衛隊が連携して行います。施行までに、行政手続きを含めた共同訓練も重ねてきたと政府は説明しています。

政府は、対処のしかたを選ぶ局長級の体制も立ち上げたとしています。選択肢は、注意喚起、テイクダウン、攻撃者の名指し(パブリック・アトリビューション)、アクセス・無害化措置などです。

一般の企業にはどう関係するか

メーカーや販売元への要請は、強化法の第42条に定められています。国外の供給者が日本国内に製品を供給した場合にも適用されます。

基幹インフラ事業者が取引先に情報を求めるときは、独占禁止法や取適法などに反しないよう留意すると、政府の解説に書かれています。取引先から過大な要求を受けたときの判断の手がかりになります。

政府は2026年9月の資料で、基幹インフラ事業者を中心に約100組織が協議会に入る予定だとしていました。さらに「協議会フレンズ」という枠組みを設け、一般向けに加工した情報を広く共有するとしています。

情シスがいまやること

共通様式は2025年5月28日の関係省庁の申合せで作られ、2026年9月15日に改定されました。国家サイバー統括室のサイトで、記載例とあわせて公開されています。被害にあったときに一から書式を探さずに済むよう、保存場所を決めておきます。

委託先として決めておきたい連絡の流れ

基幹インフラ事業者からシステムの運用を任されている会社は、侵害を見つけてから取引先に知らせるまでの流れを文書にしておきます。政府の解説では、報告に役立つ情報として、攻撃元のIPアドレスやマルウェアの情報、攻撃の時系列などが挙げられています。

1. 侵害の疑いを見つけたら、社内の責任者にすぐ連絡する。
2. 取引先の窓口と、知らせる期限(何時間以内か)を契約で決めておく。
3. 攻撃元のIPアドレス、被害を受けた機器、時系列をメモに残す。
4. 分かった範囲で先に知らせ、あとから続報を出す。

今日からできること

1. 主な取引先の中に、電力・通信・金融など15分野の事業者がいるかを一覧にします。
2. 該当する取引先との契約で、侵害を知らせる期限と窓口を確かめます。
3. 国家サイバー統括室の共通様式を保存し、インシデント対応の手順書にリンクを貼ります。

能動的サイバー防御は国と基幹インフラが中心の仕組みですが、取引でつながる企業も無関係ではありません。台帳と連絡の流れを整えておけば、取引先から求められたときにも慌てずに済みます。