サイバー対処能力強化法の成立

「重要電子計算機に対する不正な行為による被害の防止に関する法律」（サイバー対処能力強化法）が2025年5月16日に成立し、5月23日に公布されました（令和7年法律第42号）。

事業者が先に対応することになるのは、第2章に置かれた届出と報告の義務です。議論の的になった通信情報の取得は、施行が公布から2年6か月以内と最も遅く置かれました。

法律の構成と施行時期

本則は12章からなります。施行は一括ではなく、規定ごとに分かれています。

いずれも「政令で定める日」までの上限を示したもので、具体的な期日はまだ決まっていません（附則1条）。公布日の2025年5月23日から数えると、事業者の義務は遅くとも2026年11月までに動きます。

事業者に生じる義務

対象

「特別社会基盤事業者」が対象です。経済安全保障推進法にいう特定社会基盤事業者のうち、特定重要電子計算機を使用するものを指します（2条3項）。

特定社会基盤事業者は、基幹インフラ制度の対象事業者です。経済安全保障推進法は電気、ガス、鉄道、電気通信、金融など15の事業を掲げ、そのうち政令で定めるものについて、主務省令の基準に該当する者を主務大臣が指定します（同法50条1項）。分野に属していれば自動的に対象になるのではなく、規模等による指定を経ます。

届出と報告

義務は2つです。第一に、特定重要電子計算機を導入したときは、製品名と製造者名その他主務省令で定める事項を、事業を所管する大臣に届け出なければなりません（4条）。届出事項に変更があったときも同じです。施行の時点で既に導入しているものについては、施行日から6か月以内に届け出ることとされています（附則4条）。

第二に、インシデントの報告です。

第五条　特別社会基盤事業者は、特定重要電子計算機に係る特定侵害事象又は当該特定侵害事象の原因となり得る事象として主務省令で定めるものの発生を認知したときは、主務省令で定めるところにより、その旨及び主務省令で定める事項を特別社会基盤事業所管大臣及び内閣総理大臣に報告しなければならない。
出典: 重要電子計算機に対する不正な行為による被害の防止に関する法律

「特定侵害事象」は、重要電子計算機に対する特定不正行為によりそのサイバーセキュリティが害されることをいいます（2条5項）。特定不正行為に当たるのは、不正指令電磁的記録供用（刑法168条の2第2項）、不正アクセス行為、電子計算機損壊等業務妨害をはじめとする刑法第2編第35章の罪に当たる行為でサイバーセキュリティを害するもの、の3類型です（2条4項）。

報告の対象は、特定侵害事象そのものにとどまりません。「その原因となり得る事象」も含まれます。何がこれに当たるかは主務省令に委ねられています。

違反した場合

届出や報告を怠ると、所管大臣は期限を定めて是正を命ずることができ（6条）、この命令に違反した場合は200万円以下の罰金です（83条）。4条・5条の義務違反そのものが直ちに罰則の対象になるわけではなく、命令を挟む構造です。ただし、所管大臣はこれらの規定の施行に必要な限度で報告や資料の提出を求めることもでき（9条）、これに応じない場合や虚偽の報告をした場合は、命令を経ずに30万円以下の罰金の対象になります（84条）。

届出・報告義務の対象になるか

第2章の届出と報告の義務は、特別社会基盤事業者に限って課されます。ただし、それ以外の事業者に本法がまったく及ばないわけではありません。

協議会には、内閣総理大臣が必要と認めるときに、重要電子計算機を使用する者や電子計算機等の供給者を、同意を得て構成員として加えることができます（45条2項）。構成員になると、協議会で知り得た被害防止情報の適正な管理が求められ（同条4項）、資料の提出や説明の求めには、正当な理由がある場合を除いて応じなければなりません（同条5項）。

電子計算機等の供給者には、別の規律が置かれています。内閣総理大臣や所管大臣は、脆弱性を認知したときに被害の防止に必要な措置を要請でき（42条2項）、供給した製品に関する報告や資料の提出を求めることができます（同条4項）。供給者はこの求めに応じるよう努めなければなりません（同条5項）。国外の供給者が国内へ供給した場合にも適用されます（同条6項）。届出事項に製品名と製造者名が含まれることとあわせて、自社の製品が特定重要電子計算機に使われる場合には、供給先や当局からの照会に応じられるようにしておく必要があります。

施行までに整理しておく事項

施行日も主務省令も未定ですが、報告の経路を整理する作業は先に進められます。

インシデントが起きたとき、報告先は複数にまたがります。個人データの漏えい等のうち個人の権利利益を害するおそれが大きいものとして規則で定める事態であれば個人情報保護委員会への報告（個人情報保護法26条）、業法上の報告、取引先との契約に基づく通知。ここに本法の報告が加わります。報告先ごとに基準も期限も違うため、どの事象がどの報告に該当するかを判断する担当者と手順を決めておかないと、事象の認知から報告までの間で滞留します。

あわせて、社内で事象を認知する経路も確認しておく必要があります。外部のSOCや保守ベンダーからの連絡が、情報システム部門で止まらずに法務・リスク管理の側へ届く形になっているか。本法が「原因となり得る事象」まで報告対象としている以上、被害が顕在化していない段階の情報が拾えるかどうかが問われます。

ロジットパートナーズ法律会計事務所のサービス

当事務所では、内部統制構築において、インシデント発生時の報告経路と判断手順の設計に対応しています。報告義務が複数の法令にまたがる場合の整理や、社内規程への落とし込みも、あわせて扱います（規程・ポリシー整備）。

供給側として基幹インフラ事業者との取引条件を確認する場合の契約のレビューや（契約書作成・レビュー）、制度の適用関係について書面で見解を示す必要がある場合の意見書の作成も扱っています（法律意見書）。体制の整理から進めることもできます（法務コンサルティング）。