サイバー対処能力強化法の施行: 10月1日に始まった報告制度と国の措置を解説

はじめに

2026年10月1日、重要電子計算機に対する不正な行為による被害の防止に関する法律（令和7年法律第42号。いわゆるサイバー対処能力強化法。以下「法」といいます）の主要部分が施行されました。

政府は、国家安全保障戦略（令和4年12月閣議決定）に基づき、サイバー攻撃への対処能力の向上に取り組んできました。法は、その取組の一環として2025年5月に成立したものです。同時に成立した整備法（令和7年法律第43号）により、警察官職務執行法と自衛隊法も改正されています。

法は段階的に施行されます。本稿では、10月1日に施行された部分を中心に説明します。

法の目的と全体像

法の目的は、国や基幹インフラの重要なコンピュータ（法律上は「重要電子計算機」）を、サイバー攻撃による被害から守ることにあります（1条）。

そのための制度は、大きく分けて次の4つです。

基幹インフラ事業者による、使用する機器の届出と、サイバー攻撃の報告
国による、脆弱性情報の機器・ソフトウェアの供給者への提供
国による、海外からの攻撃を防ぐための通信情報の取得と分析
独立した委員会（サイバー通信情報監理委員会）による、通信情報の取扱いの監督

法が防止の対象とする行為（「特定不正行為」）は、不正指令電磁的記録（いわゆるコンピュータウイルス）の供用、不正アクセス行為、サイバー攻撃による業務妨害の3類型です（2条4項）。

施行のスケジュール

時期	施行された主な内容
2025年7月1日	目的・定義・基本方針の規定
2026年4月1日	サイバー通信情報監理委員会の設置
2026年10月1日	届出・報告の制度、脆弱性情報の提供、協議会、警察と自衛隊の措置
2027年11月22日までの政令で定める日	通信情報の取得と分析など

この法律は誰に関係するか

届出と報告の義務を負うのは、基幹インフラ事業者の一部（特別社会基盤事業者）に限られます。もっとも、法が関係する範囲はそれより広く、主に次の立場の者に影響があります。

基幹インフラ事業者（特別社会基盤事業者）: 対象となる機器の届出と、サイバー攻撃の報告が義務付けられます
機器・ソフトウェア・クラウドサービスの供給者（国外の事業者を含む）: 国から脆弱性の情報提供や対策の要請を受けることがあります。取引先の基幹インフラ事業者が国に届け出る事項には、製品名と製造者名が含まれます
攻撃の踏み台とされたコンピュータの管理者（業種を問いません）: 警察から措置を命じられ、または警察が回線を通じて措置をとることがあります
国の機関、地方公共団体、国の重要な秘密情報を取り扱う事業者など: 使用するコンピュータのうち、政令で定めるもの（国の重要な秘密情報を記録するコンピュータと、それに回線でつながるコンピュータなど）が法の保護の対象となります
国外関係電気通信設備を設置する電気通信事業者: 通信情報の取得の仕組みに関し、その施行前から、国に必要な協力を求められることがあります（法附則2条2項）

届出と報告の義務を負う事業者

前提となる経済安全保障推進法の制度

「特別社会基盤事業者」という概念は、経済安全保障推進法（令和4年法律第43号）の基幹インフラ制度を前提としています。

同法は、国民生活や経済活動の基盤となる役務を提供する事業のうち、政令で定めるものを「特定社会基盤事業」とし、主務大臣が、その事業者の中から「特定社会基盤事業者」を指定する仕組みを設けています（同法50条1項）。指定を受けた事業者の名称は公示されます（同条2項）。対象となる事業は、現在の条文では次の15分野です。

電気、ガス、石油（石油精製業・石油ガス輸入業）、水道
鉄道、貨物自動車運送、外航海運、港湾運送、航空、空港
電気通信、放送（基幹放送）、郵便
金融（銀行・保険・金融商品取引所・第一種金融商品取引業・信託・資金清算・振替など）、クレジットカード（包括信用購入あっせん）

指定を受けた事業者は、同法上、「特定重要設備」（事業の用に供される設備・機器・プログラムのうち、役務の安定的な提供に重要で、国外からの妨害の手段として使われるおそれがあるものとして主務省令で定めるもの）を導入する際に、原則として、国への事前届出と審査を受けます。

特別社会基盤事業者とは

法は、この特定社会基盤事業者のうち、後述する「特定重要電子計算機」を使用する者を「特別社会基盤事業者」と定義しています（法2条3項）。

したがって、実務上の出発点は、自社がすでに経済安全保障推進法の指定を受けているかどうかです。指定を受けた事業者は、内閣府が「特定社会基盤事業者として指定された者」として一覧で公表しており（2026年7月1日現在の版）、分野ごとの指定基準とあわせて、一般送配電事業者、大手の銀行、通信事業者、航空会社などの名称を確認できます。指定を受けていない事業者は、この法の届出・報告義務の対象にはなりません。指定を受けている事業者は、次に述べる特定重要電子計算機に当たる機器を使用していれば、特別社会基盤事業者として届出と報告の義務を負います。

届出の対象となる機器（特定重要電子計算機）

3つの類型

どの機器が「特定重要電子計算機」に当たるかは、施行令（令和8年政令第47号）1条3項が定めています。類型は次の3つです。

特定重要設備そのもの、または特定重要設備の一部を構成するコンピュータ（以下「一号電子計算機」といいます）
特定重要設備とネットワークでつながっていて、特定重要設備の機能に影響を与えるデータを送信する機能を持つコンピュータのうち、主務省令で定めるもの
一号電子計算機に定期的に入力されるデータを作るコンピュータで、そのデータが入力されなくなると特定重要設備の機能が停止・低下するもののうち、主務省令で定めるもの

1つ目は特定重要設備そのもの（その一部を含みます）、2つ目と3つ目は特定重要設備の周辺にあるコンピュータです。

周辺のコンピュータの具体的な範囲

2つ目の類型の具体的な範囲は、主務省令（特別社会基盤事業者による特定侵害事象等の報告等に関する命令、令和8年内閣府・総務省・法務省・財務省・厚生労働省・農林水産省・経済産業省・国土交通省令第4号。以下「報告命令」といいます）1条1項が定めています。対象は、特定重要設備と公衆回線以外の回線で直接または間接につながっているコンピュータのうち、次のいずれかに当たるものです（以下は要約で、正確な要件は同項の各号によります）。

特定重要設備に、ルーティングを経ずにデータを送るコンピュータ
一号電子計算機に、他のルータを介さずに直接通信するルータ
一号電子計算機に、他のファイアウォールを介さずに直接通信するファイアウォールなど
特定重要設備に送るデータを一時的に保存するコンピュータ（ファイアウォールを介してのみ通信するもの）と、そのファイアウォール
対象機器全体のネットワーク構成図（IPアドレスなどが記載されたもの）を保存するコンピュータ（一時的な保存を除く）
対象機器1台分の識別符号（ID・パスワードなど）をすべて保存するコンピュータ（一時的な保存を除く）
対象機器へのアクセスを制御するコンピュータ（認証サーバなど）
IPアドレスを割り当てられた電気通信設備であるコンピュータ

このうち識別符号を保存するコンピュータとアクセスを制御するコンピュータの2項目でいう「対象機器」には、この2項目に当たるコンピュータ自身は含まれません。

3つ目の類型については、データを作るコンピュータのうち、IPアドレスを割り当てられた電気通信設備であるものと、そのアクセスを制御するコンピュータが対象とされています（報告命令1条2項）。

何を届け出るか

届出は、機器の種類に応じて、次の単位で行います（報告命令2条1項）。

アプライアンス（特定の用途のプログラムが組み込まれ、それ以外のプログラムが通常組み込まれない機器）: ハードウェア
それ以外の機器: 組み込まれたオペレーティングシステム、ミドルウェア、アプリケーション

届け出る事項は、事業者の概要、関係する特定重要設備の区分、特定重要電子計算機の区分、製品名、製造者名です（報告命令2条5項）。クラウドサービスを使っている場合は、サービスの名称と、サービスを提供する事業者の名称を届け出ます（同条4項）。

特定重要設備やその構成設備に当たる機器については、経済安全保障推進法に基づく導入届出を行っており、その届出の設備の名称が製品名と、供給者の名称が製造者名と、それぞれ同じであれば、その届出書類と連絡先を記載した書面を提出することで、この届出に代えることができます（報告命令2条4項）。

届出が不要な場合

次の場合は届出が不要です（報告命令2条1項ただし書）。

1つの特別社会基盤事業者の事業の用に供される機器である場合（複数の特別社会基盤事業者の場合は、親法人等が同じであるか、一方が他方の親法人等であるときに限ります）
広く一般に使用されているものとして、国が指定した機器である場合

2つ目の指定は、2026年9月15日の告示で行われています。現時点で指定されているのは、マイクロソフト・コーポレーションの Windows と Windows Server の2製品です。

届出の期限

届出の期限は、原則として導入した日から4か月以内です（報告命令2条1項）。主な例外は次のとおりです。

法の施行時点ですでに導入している機器: 施行日（2026年10月1日）から6か月以内（法附則4条）
経済安全保障推進法の指定を受けてから2か月以内に導入した機器（指定に係る事業の設備に関するもの）: 指定を受けた日から6か月以内（報告命令2条2項。事業の譲受けや合併・分割などによって指定の基準に当たることとなった事業者を除きます）
省令改正により新たに対象となり、その日から2か月以内に導入した機器: 対象となった日から6か月以内（同条3項）

届け出た事項に変更があったときは、原則として変更の日から4か月以内に変更届を出します（法4条3項、報告命令3条1項）。事業者の名称の変更だけであれば、変更届は不要です（報告命令3条4項）。

サイバー攻撃を受けたときの報告

特別社会基盤事業者は、特定重要電子計算機に係る特定侵害事象や、その原因となりうる事象として報告命令が定めるものの発生を認知したときは、所管大臣と内閣総理大臣に報告しなければなりません（法5条）。

報告は2段階で行います（報告命令4条2項）。

第一報: 認知した後、速やかに
確報: 認知した日から30日以内

報告の対象は、特定侵害事象（攻撃によって実際にサイバーセキュリティが害された場合）と、報告命令4条1項が定める事象です。一号電子計算機と、周辺のコンピュータの列挙の最初の2項目に当たるコンピュータについては、報告命令4条1項1号が、たとえば次のような事象を定めています。

不正なプログラム（ウイルスなど）を受信させられた
他人のIDなどを入力された
アクセス制御をすり抜ける情報や指令を入力された
不正アクセスに使う目的で、機器のサイバーセキュリティを害してIDなどを取得された
こうした攻撃の痕跡が見つかった

その他の特定重要電子計算機については、報告命令4条1項2号が定めるのは特定侵害事象の痕跡です。

なお、ID入力型・すり抜け型の事象からの除外（報告命令4条1項1号ロ・ハの括弧書き）や、報告命令4条2項が定める事象など、報告の対象から除かれるものがあります。

届出や報告の義務に違反した事業者に対しては、所管大臣が届出や報告を命ずることができ（法6条）、この命令に違反した場合は200万円以下の罰金の対象となります（法83条）。

国から供給者への脆弱性情報の提供

国は、重要電子計算機に使われる機器やソフトウェアの脆弱性を把握したときは、その供給者に情報を提供し、対応方法を公表することができます（法42条1項）。

特定重要電子計算機に使われる製品については、被害を防ぐために必要があれば、供給者の事業を所管する大臣が供給者に対策を要請できます（同条2項）。供給者は、国から報告や資料の提出を求められたときは、応じるよう努めなければなりません（同条4項・5項）。

これらの規定は、国内の者に製品を供給している国外の供給者にも適用されます（同条6項）。

情報共有のための協議会

内閣総理大臣は、関係行政機関で構成する協議会を組織し、攻撃の防止に役立つ情報を共有します（法45条）。必要があれば、重要電子計算機を使用する事業者や供給者も、同意を得て構成員となることができます。

警察と自衛隊による措置

警察の措置の内容

整備法による改正で、警察官職務執行法に6条の2が新設されました。人の生命、身体または財産に重大な危害が発生するおそれがあり緊急の必要があるときは、警察庁長官が指名した警察官（サイバー危害防止措置執行官）が、攻撃に使われている通信の送信元・送信先のコンピュータや、攻撃に使われるデータが記録されたコンピュータ（いずれもその疑いがあるものを含みます。加害関係電子計算機）について、不正なプログラムの消去など、危害防止のため通常必要な措置であって、回線を通じて行うそのコンピュータの動作に関するものをとることができます（同条2項）。

措置のとり方は2つあります。

コンピュータの管理者などに、その措置をとるよう命じる
警察官が自ら、その措置をとる

この措置には、事前にサイバー通信情報監理委員会の承認が必要です。ただし、重要電子計算機に重大な障害を生じさせる（またはそのおそれのある）通信が現に送信されている場合など、承認を得るいとまがない特段の事由がある場合は事前の承認は不要で、措置の後、速やかに委員会に通知されます（同条4項・9項）。措置の対象となるコンピュータが国内にあると認める相当な理由がない場合は、警察庁の警察官に限って措置をとることができ、事前に外務大臣と協議しなければなりません（同条3項）。

管理者の側から見た場合

この措置の相手は、攻撃者本人に限られません。マルウェアに感染して攻撃の踏み台にされた一般企業のサーバや、ホスティング事業者が管理するサーバも、加害関係電子計算機に当たりえます。

警察から措置を命じられることがあります
警察が自ら措置をとった場合は、原則として、遅滞なく管理者に通知されます（同条8項）。ただし、危害の防止に支障がある場合や、管理者の所在が不明な場合は通知されないことがあります
措置をとるにあたり、警察官は、みだりに関係者の正当な業務を妨害してはならないとされています（同条7項）

警察から連絡を受けた場合に備えて、連絡を受ける窓口や、サーバの停止・隔離の判断手順をあらかじめ決めておくことが考えられます。

自衛隊の措置

自衛隊法にも81条の3が新設されました。重要電子計算機（同条2項で範囲が絞られています）に対し、国外にある者による特に高度に組織的かつ計画的な特定不正行為が回線を通じて行われた場合に、次のいずれにも当たるときは、内閣総理大臣の命令により、自衛隊が警察と共同して措置（通信防護措置）をとることができます（同条1項・3項）。

容易に回復できない支障が生じ、国家と国民の安全を著しく損なうような重要電子計算機の機能の停止・低下（特定重大支障）が生じるおそれが大きいこと
特定重大支障の防止に、自衛隊の特別な技術や情報が不可欠であること
国家公安委員会の要請または同意があること

今後施行される部分

国が通信情報を取得して分析する仕組みは、公布の日から2年6か月以内（2027年11月22日まで）の政令で定める日に施行されます（法附則1条4号）。法の目次によれば、この部分には「当事者協定」や「外外通信目的送信措置」といった仕組みが置かれています。施行前でも、内閣総理大臣と特別社会基盤事業者は互いに当事者協定の締結について協議を求めることができ、内閣総理大臣は国外関係電気通信設備を設置する電気通信事業者に必要な協力を求めることができます（法附則2条）。

実務上の確認事項

経済安全保障推進法の指定を受けている事業者
- 自社のどの機器が特定重要電子計算機に当たるかを、特定重要設備の周辺のネットワーク機器・認証基盤・構成情報を保管するサーバまで含めて洗い出す
- すでに導入している機器は、2026年10月1日から6か月以内に届け出る
- 攻撃を認知したときの報告の手順（速やかな第一報と30日以内の確報）を社内で定める
機器・ソフトウェアの供給者（国外の供給者を含む）
- 国から脆弱性の情報提供や対策の要請を受ける可能性がある
- 顧客である基幹インフラ事業者の届出事項には、製品名と製造者名（クラウドサービスではサービスの名称と提供事業者の名称）が含まれる
すべての事業者（サーバを運用する企業、ホスティング事業者など）
- 自社のサーバが攻撃の踏み台にされ、警察から措置の命令や通知を受ける場合に備え、連絡窓口と対応手順を決めておく

おわりに

本稿は一般的な情報の提供を目的とするもので、個別の事案についての法的助言ではありません。自社が対象となるか、どの機器を届け出るべきかといった個別のご相談は、お問い合わせからどうぞ。

参考資料

重要電子計算機に対する不正な行為による被害の防止に関する法律（令和7年法律第42号）: https://laws.e-gov.go.jp/law/507AC0000000042
重要電子計算機に対する不正な行為による被害の防止に関する法律施行令（令和8年政令第47号）
重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令（令和8年内閣府・総務省・法務省・財務省・厚生労働省・農林水産省・経済産業省・国土交通省令第4号）
経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律（令和4年法律第43号）: https://laws.e-gov.go.jp/law/504AC0000000043
報告命令第2条第1項ただし書の特別社会基盤事業所管大臣及び内閣総理大臣が指定するもの（令和8年9月15日告示）: https://www.cao.go.jp/cybersecurity/pdf/hanyouhin.pdf
内閣府「特定社会基盤事業者として指定された者」（令和8年7月1日現在）: https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_jigyousya.pdf
警察官職務執行法: https://laws.e-gov.go.jp/law/323AC0000000136
自衛隊法: https://laws.e-gov.go.jp/law/329AC0000000165
内閣府「サイバー安全保障」: https://www.cao.go.jp/cybersecurity/index.html
内閣官房「サイバー安全保障に関する取組」: https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html
IPA「情報セキュリティ早期警戒パートナーシップガイドライン改訂案などの公開」（2026年9月14日）: https://www.ipa.go.jp/security/reports/vuln/kenkyukai-report2026.html