サイバー対処能力強化法、10月施行へ　全企業に一律義務ではない

国家サイバー統括室（NCO）と経団連は2026年7月22日、サイバー対処能力強化法の施行に向けた意見交換会を開いた。重要インフラ事業者などの経営層約300人が参加した。松本デジタル相は7月24日の会見で、同法は10月から施行予定だと説明し、経営トップにサイバー攻撃を想定した事業継続計画（BCP）の見直しを求めた。

ただし、「10月から全企業に同じ新規義務がかかる」と読むのは正確ではない。NCOは7月14日、17日、23日にも、特別社会基盤事業者の届出・報告様式や制度解説案について意見募集を公表している。施行に向けて細部を整えている段階であり、対象、開始日、提出方法は所管省庁と最新の政省令・案内で確認する必要がある。

直接の届出・報告は、指定された事業者と機器が中心

NCOの法説明資料によると、法令上の「特別社会基盤事業者」（資料では基幹インフラ事業者とも説明）が「特定重要電子計算機」を導入したときは、製品名などを事業所管大臣へ届け出る仕組みになる。また、不正アクセスなどでその計算機のサイバーセキュリティが害されたこと、または原因になり得る一定の事象を認知した場合には、事業所管大臣と内閣総理大臣への報告が求められる。

ここでいう特定重要電子計算機は、侵害されると重要な設備の機能が停止または低下するおそれがある一定のコンピューターだ。一般の事務用パソコンを含む国内の全端末が、一括して新制度の届出対象になるという説明ではない。自社が指定事業者か、どのシステムが該当するかを、業種名や印象だけで自己判断しないことが出発点になる。

一方、機器やプログラムの供給者にも無関係ではない。法律は、利用者のセキュリティを確保する設計・開発や継続的な情報提供に努める責務を置き、政府が重要機器の脆弱性を認知した場合は供給者へ情報提供し、必要な措置を要請できる仕組みを定めた。直接の届出対象でないIT企業でも、脆弱性対応、顧客への連絡、保守期限の説明を追える状態が必要になる。

対象外でも「復旧できるか」は待てない

新法の報告対象外であることと、サイバー事故への備えが不要であることは別だ。取引先から安全対策や復旧時間を尋ねられることもあれば、自社の業務が止まれば法の指定に関係なく顧客と従業員へ影響する。警察庁は、現在のランサムウェアでは未修正のVPN機器、漏えいした認証情報、簡単なパスワード、設定不備などを使った侵入が多いと説明している。

今週確認する4項目

• 対象範囲と資産：所管省庁の案内で指定の有無を確認し、重要業務、サーバ、クラウド、VPN・ルーター、保守会社、責任者を一つの台帳へ結び付ける。機器名だけでなく、止まる業務と代替手段を記す。
• 外部入口と認証：インターネットへ公開している機器を棚卸しし、不要な通信を閉じる。OSやVPN機器の更新、初期・使い回しパスワードの廃止、多要素認証、管理者権限の最小化を確認する。
• バックアップと復旧：重要度に応じて定期取得し、少なくとも一つはネットワークから切り離す。取得の成功表示だけで終えず、別環境へ戻すテストを行い、復旧にかかった時間と不足した権限・手順を記録する。
• 初動の連絡と証拠：夜間を含む社内責任者、保守会社、警察などの連絡先、判断権限、公表手順を紙でも残す。端末・ネットワーク・クラウドのログが調査に使える期間保存されるかを確認する。

IPAが2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、最初に取り組む項目へ「バックアップを取ろう！」を加え、従来の5か条を6か条にした。対象には個人事業主や小規模事業者も含まれる。法対応の専任部署がない会社は、同ガイドラインの「5分でできる！情報セキュリティ自社診断」を入口にし、未実施項目へ担当者と期限を置くと進めやすい。

被害時は、隔離と証拠保全を両立する

ランサムウェアが疑われる端末は、被害拡大を防ぐためLANケーブルを抜く、無線を切るなどしてネットワークから隔離する。一方、警察庁は調査に必要なログが失われる場合があるため、端末やネットワーク機器の電源を落とさないよう案内している。実際の対応は状況で変わるため、現場が迷わないよう「誰の判断で隔離し、誰へ連絡し、何を保存するか」を訓練で確かめたい。

10月という日付は、セキュリティ製品を急いで買うための合図ではない。まず法の直接対象を確認し、対象なら届出・報告の責任と情報の流れを固める。対象外でも、入口を減らし、認証を強くし、切り離したバックアップから戻し、連絡とログを試す。義務の有無と復旧力を分けて点検すれば、制度変更を過大にも過小にも扱わずに備えられる。