能動的サイバー防御関連法の概要と民間企業への影響　一般企業、基幹インフラ事業者、電気通信事業者、ITベンダー

増大するサイバー攻撃の脅威に対し、積極的に対応していくための「能動的サイバー防御」に関する法律（以下本稿において「能動的サイバー防御法」といいます）が、2025年5月16日、同年の通常国会で成立しました。

能動的サイバー防御法は、大きく分けて、①官民連携、②通信情報の利用、③アクセス・無害化、④組織・体制整備の4つから構成されます。本稿では、特に①②にフォーカスし、民間企業（基幹インフラ事業者、電気通信事業者、ITベンダーなど）に求められる対応について解説します。

能動的サイバー防御法の概要

能動的サイバー防御法の制定経緯等

サイバー攻撃は年々巧妙化・深刻化するとともに、次のとおり、サイバー安全保障に関わる深刻な攻撃の例も多く見られます。

こうした状況も背景として、国家安全保障戦略を踏まえた「サイバー安全保障分野での対応能力の向上に向けた有識者会議 ¹」での検討および「サイバー安全保障分野での対応能力の向上に向けた提言」（2024年11月29日、以下「有識者会議提言」といいます）のとりまとめを経て、2025年2月7日に法案が閣議決定され、法案審議において、衆議院での修正 ² を経て、同年5月16日に成立しました。

能動的サイバー防御法は、正確には以下の2つの法から構成されています。

「能動的サイバー防御」とは

能動的サイバー防御については、2022年12月に閣議決定された国家安全保障戦略 ³ において、次のとおり言及されています ⁴。

能動的サイバー防御法の構成

能動的サイバー防御法は、大きく分けて、①官民連携、②通信情報の利用、③アクセス・無害化、④組織・体制整備の4つから構成されます ⁵。概要は次の表のとおりです。

【能動的サイバー防御法の全体像】

これらの施策のうち、特に民間企業への影響が大きいと考えられるのは、①官民連携、②通信情報の利用です。

施行スケジュール

能動的サイバー防御法の施策の大部分は、公布（2025年5月23日付）から1年6か月以内に施行されます。

もっとも、例外もいくつかあり、たとえば、通信情報の利用に関する施策については、公布から2年6か月以内の施行とされているほか、基幹インフラ事業者に新たに課される義務との関係では、施行からの若干の猶予期間が設けられています（詳細は3-1参照）。

能動的サイバー防御法の影響を受ける民間企業

直接的な影響

能動的サイバー防御法に基づいて直接的な影響を受ける民間企業は、次のとおりです。

※改正項目①②の詳細は1-3参照

（1）基幹インフラ事業者

基幹インフラ事業者は、能動的サイバー防御法で初めて出てくる概念ではなく、すでに別の法律に基づく規律があります。それが経済安全保障推進法 ⁶ です。

基幹インフラ事業者とは、経済安全保障推進法に基づき、電気、通信、金融などの15分野 ⁷（下表）の基幹インフラ役務（サービス）を提供する事業者のうち、その規模等に照らして個別に指定される事業者（同法では「特定社会基盤事業者」）を指します。

【現行の基幹インフラ分野と所管省庁】

（2）基幹インフラ事業者が用いるシステムに関連する事業者

基幹インフラ事業者が用いるシステムに関連する事業者とは、典型的には各々の基幹インフラ分野における基幹システム（制御システム等）の開発または保守運用の委託を受けている事業者や、システムインテグレーター（SIer）などがあげられます。

（3）電気通信事業者

電気通信事業者とは、典型的には通信キャリアやインターネットサービスプロバイダ（ISP）などがあげられます。

（4）ITベンダー

適用対象となるITベンダーは広範多岐にわたりますが、特に汎用的なソフトウェアを開発またはサービス提供している事業者や、ソフトウェアを組み込んだ汎用的な機器等を開発している事業者は留意が必要です。

関接的な影響

上記以外の民間企業は、直接的な義務等の対象外となっています。

他方で、一般企業に向けたセキュリティの普及・啓発活動等を行ってきたNISCの改組など、能動的サイバー防御法に関わる動向がセキュリティ実務に間接的な影響を与える可能性があるため、引き続き、最新の状況を注視することが望ましいでしょう。

基幹インフラ事業者に求められる対応

現行の経済安全保障推進法の下、基幹インフラ事業者は、インフラサービスの提供に用いる制御システム等（特定重要設備 ⁸）が我が国の外部から行われる特定妨害行為（サイバー攻撃等）の手段として使用されることを防止しなければなりません。

また、インフラサービスの安定的な提供を確保するため、特定重要設備を導入したり、他の事業者に維持管理または操作させる（重要維持管理等の委託）際には、設備の供給者や委託先に関する情報等をあらかじめ主務大臣に届け出て、審査を受けなければなりません ⁹。

【経済安全保障推進法に基づく基幹インフラ制度の概要】

このような現行の経済安全保障推進法に基づく基幹インフラ制度に加えて、能動的サイバー防御法によって、基幹インフラ事業者に以下のような新たな義務等が生じます。

セキュリティインシデントの報告義務

新法では、基幹インフラ事業者に対するセキュリティインシデントの報告義務が措置されます。以下では、この報告義務と、その前提となる特定重要電子計算機に関する届出義務を概説します。

なお、新法は事後的な届出義務であり、経済安全保障推進法は、原則として事前の届出に基づく審査となるため、届出を行うタイミングは異なりますが、基幹インフラ事業者に重複する過度な事務負担とならないよう配慮が必要になるものと考えられます。

法案を審議した国会においても、政府は、関係者や専門家と意見交換を重ね、懸念や配慮を反映した制度設計を進めること、官民連携を強化しつつ産業界の意見を尊重し過度な負担を避けること、他法令との重複を避け報告の一元化・様式統一・簡素化・報告基準および内容の明確化により事業者負担の軽減と迅速な政府対応を図るべきであるといった内容の付帯決議がなされています ¹⁰。これらは、有識者会議提言4頁においても同種の記載があったところ、それを改めて確認したものともいえます。

今後は、主務省令で定められる届出事項に注視する必要があると考えられます。

（1）特定重要電子計算機に関する届出義務

基幹インフラ事業者は、特定重要電子計算機を導入したときは、その製品名および製造者名その他の主務省令で定める事項を事業所管大臣に届け出なければなりません ¹¹。

この特定重要電子計算機に関する届出義務 ¹² については経過措置があり ¹³、基幹インフラ事業者は、現に導入している特定重要電子計算機に関する製品名や主務省令で定められる事項について、新法の施行日から6か月以内に所管大臣に届け出る必要があります。

• 「特定重要電子計算機」とは
  
  「特定重要電子計算機」とは、基幹インフラ事業者が使用する電子計算機（コンピュータはもちろん、そこに組み込まれるプログラムも含まれます ¹⁴）のうち、そのサイバーセキュリティが害された場合に、特定重要設備の機能が停止し、または低下するおそれがあるものとして政令で定めるもの（当該特定重要設備の一部を構成するものを含む）をいいます ¹⁵。
  
  新法に基づき届出が必要な特定重要電子計算機は、特定重要設備に関連するハードウェアやソフトウェアであり、これは、経済安全保障推進法に基づいて事前審査を受ける必要がある特定重要設備等、特にその一部を構成する構成設備（OS、サーバなど）と重複する部分も出てくる可能性があります。たとえば、クラウドサービスについては、新法に基づく特定重要電子計算機であり、経済安全保障推進法に基づく構成設備にもなり得るように思われます。


• 「特別社会基盤事業者」とは
  
  新法は、特定重要電子計算機を使用する基幹インフラ事業者を「特別社会基盤事業者」と定義しています ¹⁶。
  
  理論的には、基幹インフラ事業者の一部が「特別社会基盤事業者」という構造になりますが、実際には、特定重要電子計算機を使用しない基幹インフラ事業者はほぼ想定されないと考えられますので、ほとんどの基幹インフラ事業者が、ここにいう「特別社会基盤事業者」に該当し、特定重要計算機に関する届出を行う必要があると予想されます ¹⁷。
  
  なお、事業所管大臣は、基幹インフラ事業者が特定重要電子計算機を導入した際の届出を受けたときは、これを内閣総理大臣に通知します ¹⁸。ここにいう「内閣総理大臣」とは、整備法に基づき新たに設置されることとなる、サイバーセキュリティに関する司令塔となる新組織（現在の内閣サイバーセキュリティセンター（NISC）を改組するもの、以下「新組織」といいます）を指すと考えられます ¹⁹。つまり、届出に関する情報は、各々の基幹インフラ所管省庁と新組織との間で連携される仕組みとなっています。

（2）セキュリティインシデント報告義務

• 報告の対象となるセキュリティインシデント
  
  

  新法によって、基幹インフラ事業者は、特定侵害事象（不正アクセス行為等により特定重要電子計算機のサイバーセキュリティが害されること等 ²⁰）またはその原因となり得る主務省令で定められる事象を知ったときは、その旨および主務省令で定められる一定の事項を事業所管大臣と内閣総理大臣（新組織）に報告する義務を負います ²¹。
  
  

  この報告義務に関しては、①報告対象事象、②報告手続、③報告事項について、すべて主務省令で定めることとされており、現時点での詳細は不明です。
  
  

  ただし少なくとも①報告対象事象については、以下の2つの類型があげられています。

  （i）新法2条5項に規定する特定侵害事象（不正アクセス等）
  （ii）その原因となり得る事象として主務省令で定めるもの

  特に（ii）については、確定的な事象ではなく、いわゆる「ヒヤリハット」に位置づけられるものも含まれ得ます。
  
  

  したがって、主務省令の定めが義務の範囲に大きく影響すると考えられるため、今後、主務省令で定められる報告義務の詳細に留意する必要があると考えられます。

• サプライチェーン・委託先への影響
  
  セキュリティインシデント報告義務の主体は、あくまで基幹インフラ事業者です。基幹インフラ事業者の数は限られていますが、そのサプライチェーンに含まれる事業者（システムの供給者や、システムの保守運用の委託を受けている事業者等）を含めると、影響を受ける事業者の数は少なくないと思われます。
  
  今日では、サプライチェーンや委託先を狙った攻撃も多数発生しており、独立行政法人情報処理推進機構（IPA）が2025年1月30日に公開した「情報セキュリティ10大脅威 2025 ²²」においても、サプライチェーンや委託先を狙った攻撃は、組織向け脅威の第2位に位置づけられています。
  
  サプライチェーンに含まれる事業者において報告対象事象が発生した場合に、新法に基づく義務が発生するかどうかは今のところ明確ではありません。いずれにせよ、基幹インフラ事業者が報告義務を履行するためにどのようなオペレーションを組むかは、新法の内容と主務省令をはじめとする下位法令の制定を踏まえて検討が必要になると考えられます。

基幹インフラ事業者と政府との協定（同意）による通信情報の共有

サイバー攻撃は海外から行われることが多いため、通常の情報収集の手段では、どのような攻撃がどこから行われるかを事前に知ることは困難です。そのため、被害を未然に防止するためには、通信情報を分析することにより、攻撃者やそれが用いる攻撃用のインフラの実態を把握することが必須となります ²³。

そこで、新法は、通信の秘密や個人のプライバシーに配慮しつつも、国内を経由する通信情報を取得、分析、利用するために、各企業から通信情報を収集することを可能にしようとしています。
その一環として、政府は、基幹インフラ事業者を通信の当事者とする通信情報の提供を受けて、そのうち国外から国内への通信（外内通信）に関する通信情報を用いて、サイバーセキュリティの確保を図るために必要な分析を行い、その分析の結果を当該基幹インフラ事業者に提供するという協定を、基幹インフラ事業者との間で締結できるとしています ²⁴。

この協定は任意のものなので、基幹インフラ事業者は通信情報の提供を強制されるわけではありませんが、契約当事者となる者は、相互に協定締結の協議を求めることができ、その求めを受けた一方当事者は、正当な理由がない限り協議に応じなければならない ²⁵ とされています。そのため、基幹インフラ事業者としては、少なくとも政府と、協定に関する協議を行うこととなる可能性は相応に高いと考えられます。

情報共有および対策に関する協議会の設置

政府と民間との情報共有制度の1つとして、内閣総理大臣、関係行政機関の長、基幹インフラ事業者、ITベンダーとの間において、官民共同の協議会（以下「協議会」といいます）を設置することとされています ²⁶。

上記の協定と同様、民間事業者については任意の制度で、同意した者のみが構成員となります ²⁷。

協議会の構成員は、サイバー攻撃による被害の防止に資する情報を共有し、サイバー攻撃による被害の防止のための対策に関する事項や、被害防止情報を適正に管理するために必要な措置に関する事項等について協議を行います ²⁸。

さらに、協議会は、協議を行うため必要があると認めるときは、その構成員に対し、サイバー攻撃による被害の防止に関して必要な情報に関する資料の提出、意見の開陳、説明その他の協力を求めることができ、当該構成員は、正当な理由がある場合を除き、その求めに応じなければなりません ²⁹。また、構成員は、共有された情報については守秘義務を負います ³⁰。

重要インフラ事業者に関する新たな基準・ガイドライン策定の可能性

整備法により改正されるサイバーセキュリティ基本法では、サイバーセキュリティ戦略本部の新たな所掌事務として、いわゆる重要インフラ事業者等のサイバーセキュリティの確保に関して「国の行政機関が実施する施策の基準の作成」が追加されます ³¹。

ここにいう「重要インフラ事業者」とは、経済安全保障推進法に基づく基幹インフラ事業者ではなく、サイバーセキュリティ基本法3条1項に規定する「重要社会基盤事業者」を指します。こちらも基幹インフラ事業者と同様、通信・電力・金融などの15分野に属する事業者の一部の事業者を指します ³²。基幹インフラ事業者とは法的な根拠や分野が異なりますが（たとえば、現状、医療や行政サービスは、重要インフラ分野には含まれますが、基幹インフラ分野には含まれていません）、いずれも我が国において重要性の高いインフラであることは変わりません。

現状、重要インフラ事業者に関しては、サイバーセキュリティ基本法14条および26条1項5号に基づいて、「重要インフラのサイバーセキュリティに係る行動計画 ³³」とその下位規範として「重要インフラのサイバーセキュリティに係る安全基準等策定指針 ³⁴」が公表されています。

整備法に基づく改正後のサイバーセキュリティ基本法26条1項3号にいう重要インフラ事業者に関する「施策の基準」が何を指すかは、条文からは明らかではありません。上記の行動計画等を発展させて新たな基準・ガイドラインを策定する可能性もあるため、新たな基準・ガイドラインが策定される場合には、その内容も注視する必要があります。

電気通信事業者に求められる対応

3-2のとおり、新法では、通信情報の利用に関する規律が新たに措置されます。その一環として、政府は以下の場合には、新設される独立機関 ³⁵ であるサイバー通信情報監理委員会の承認を条件に、企業の同意を必要とせずに、情報を取得できるようになります。

国内を経由し伝送される国外から国外への通信（外外通信）の分析のための取得

政府は、外外通信であって、他の方法ではその実態の把握が著しく困難であるサイバー攻撃に関係するものが、特定の電気通信設備により伝送されていると疑うに足りる状況がある場合には、サイバー通信情報監理委員会の承認を受けて、当該電気通信設備から、政府の設置する設備（以下「受信用設備」といいます）に、通信情報が送信されるようにする措置をとることができます ³⁶。

ここにいう受信用設備をどのように設置するのか、詳細は今のところ不明ですが、関係する電気通信事業者は、政府の求めに応じて特定の通信データを提供するための対応が求められる可能性があります。

国内・国外間での通信（外内通信・内外通信）の分析のための取得

政府は、外内通信または内外通信であって、サイバー攻撃に用いられていると疑うに足りる状況のある特定の外国設備と送受信している、または当該状況のある機械的情報 ³⁷ が含まれているものの分析をしなければ被害防止が著しく困難であり、他の方法ではこれらの通信の分析が著しく困難である場合には、サイバー通信情報監理委員会の承認を受けて、これらの通信が含まれると疑うに足りる外国関係通信を伝送する電気通信設備から、受信用設備に、通信情報が送信されるようにする措置をとることができます ³⁸。

こちらについても、電気通信事業者は、4-1の外外通信のケースと同様、政府の求めに応じて特定の通信データを提供するための対応が求められる可能性があります。

ITベンダーに求められる対応

分析情報・脆弱性情報に関する対応

整備法に基づき新たに設置されることとなる、サイバーセキュリティに関する司令塔となる新組織は、基幹インフラ事業者から届出が行われた特定電子計算機の情報と報告されたインシデント情報 ³⁹、通信情報 ⁴⁰、協議会を通じて得た情報 ⁴¹、その他の情報（外国政府から提供された情報等）について、整理と分析をすることができます ⁴²。

この整理と分析をされた情報については、その情報の守秘性に応じて次の3つのカテゴリーに分けて提供等されることとなります。

分析情報・脆弱性情報の提供等

政府から提供等される情報が、基幹インフラ事業者が使用する特定重要電子計算機として用いられるハードウェアやそれに組み込まれるプログラム（電子計算機等）に関連する脆弱性に関するものである場合は、事業所管大臣（電子計算機やそれに組み込まれるプログラムの供給を行う事業を所管する大臣）は、その電子計算機等のベンダー等に対し、被害防止のために必要な措置を講ずるよう要請することができる ⁴⁶ ほか、必要な限度で、報告または資料の提出を求めることができます ⁴⁷。この求めを受けたベンダーは、求めに応じるよう努めなければならないとされています ⁴⁸。

関連して、整備法 ⁴⁹ による改正後のサイバーセキュリティ基本法7条2項では、コンピュータやプログラム、情報通信ネットワークまたは電磁的記録媒体などの情報システムの供給者について、利用者のサイバーセキュリティ確保のための設計・開発、情報の継続的な提供等に努めるものとするという責務規定が措置されます。

基幹インフラ事業者のサプライチェーンとしての対応

3-1のとおり、新法では、基幹インフラ事業者に対するセキュリティインシデントの報告義務が新たに措置されますが、義務の発生事由は、特定重要電子計算機に対するサイバーセキュリティの侵害となります。

したがって、義務の主体はあくまで基幹インフラ事業者ではありますが、運用上は、基幹インフラ事業者が適切に報告義務を果たせるように、特定重要電子計算機を供給等している事業者が、基幹インフラ事業者に協力する必要が出てくる可能性もあると考えられます。実際にどのようなオペレーションとなることが想定されるかは、今後の議論動向を注視する必要があると考えられます。