基幹インフラのサイバー被害報告、制度案への意見募集が開始 事業者は何を準備すべきか｜2026年7月16日版
電力、通信、金融、鉄道などの基幹インフラを担う事業者に対し、サイバー攻撃の被害やその兆候を国へ報告する制度の具体化が進んでいます。政府は7月15日、対象となる重要なコンピューターの届出と、侵害事象の報告方法を説明する案の意見募集を始めました。
これは利用者が直ちに何かを申請する制度ではありません。ただし、障害や攻撃の情報を官民で早く共有し、生活に欠かせないサービスの停止を防ぐための運用設計です。対象事業者にとっては、IT資産の把握、委託先との連携、初動報告の手順が実務課題になります。
- 何が起きたか：政府が、届出・被害報告の制度解説案を公表
- 対象：基幹インフラに関わる「特別社会基盤事業者」
- 締切：意見募集は2026年8月19日まで
- 生活への意味：サービス障害が広がる前に、国と事業者が情報をつなぐ仕組みを整える
何が公表されたのか
内閣府は、サイバー対処能力強化法に基づく「特別社会基盤事業者」に向け、重要な電子計算機の届出と、特定侵害事象などの報告に関する制度解説案を示しました。意見募集の公示日は7月15日で、受付は8月19日までです。
同法は、サイバー被害が国家の安全や国民生活、経済活動に大きな影響を及ぼし得る重要電子計算機を守ることを目的としています。制度の中心は、攻撃を受けてからの復旧だけではありません。重要な機器をあらかじめ把握し、侵害やその原因となり得る事象を認知した際に、情報共有へつなげる点にあります。
ここがポイント: 対象事業者に求められるのは、単なる「事故後の報告」ではありません。重要な機器を特定し、異常を検知した時点で誰が判断し、どこへ連絡するかを平時から決めておくことです。
なぜ今、届出と報告の運用が重要なのか
インフラ障害は利用者の行動を一気に止める
基幹インフラのシステムに障害が起きれば、影響は企業の内部にとどまりません。決済が使えない、交通の案内や運行に支障が出る、通信が不安定になるといった形で、利用者の日常に直結します。
政府の説明資料では、サイバーセキュリティが損なわれた場合に特定重要設備の機能停止・低下につながるおそれがある電子計算機を「特定重要電子計算機」と位置付けています。重要設備そのものだけでなく、それを動かすサーバーや周辺システムも含め、攻撃経路を見落とさないことが制度の狙いです。
既存制度とは役割が異なる
経済安全保障推進法の基幹インフラ制度では、重要設備の導入や維持管理の委託に際して、事前の届出・審査が行われます。
今回のサイバー対処能力強化法に基づく仕組みは、サイバー攻撃による侵害を念頭に、重要な電子計算機の情報と事象報告を扱います。同じ基幹インフラ分野でも、見る対象とタイミングが異なります。
- 経済安全保障推進法の制度：重要設備の導入・委託を事前に確認する
- サイバー対処能力強化法の制度：重要な電子計算機と侵害事象の情報を共有する
両制度を別々の帳票作業として扱うと、現場の負担が増えるだけです。既存の資産管理、調達審査、インシデント対応をどうつなげるかが、各事業者の実務上の焦点になります。
事業者が先に確認したい3点
制度案の段階であっても、対象となり得る事業者は準備を始められます。
1. 届出対象になり得る機器を洗い出す
重要設備の停止・低下につながる機器がどこにあるかを、事業部門と情報システム部門で照合します。自社が直接保有する機器だけでなく、クラウドや運用委託先に依存する部分も確認対象になり得ます。
2. 「被害」と「兆候」の連絡経路を分けない
侵害が確定してから経営判断を始めると、情報共有が遅れます。監視部門が異常を把握した場合に、法務、広報、事業部門、経営層、所管官庁へどう上げるのかを、連絡先まで含めて整理しておく必要があります。
3. 委託先との契約・報告条件を見直す
重要なシステムを外部事業者が運用している場合、障害の検知者と報告義務を負う事業者が一致しないことがあります。契約上の通知期限、ログの提供、緊急時の連絡責任者を確認しなければ、制度対応の空白が生まれます。
実務の解説では、クラウドサービス、認証サーバー、VPN機器などが対象範囲に含まれ得るとの見方も示されています。最終的な対象は制度の確定内容に従う必要がありますが、資産台帳に「重要サービスとのつながり」を記録していない組織ほど、対応に時間がかかりやすいでしょう。
利用者にとっての変化は「見えにくいが重要」
この制度は、一般の利用者に新たな手続きや義務を課すものではありません。変化が現れるのは、事故が起きた際の情報の流れです。
早期報告と分析が機能すれば、同種の攻撃の兆候を他の事業者へ共有し、被害の横展開を抑える余地が生まれます。一方で、報告対象が過度に広がれば、現場が大量の通知処理に追われ、本当に緊急性の高い事象が埋もれる懸念もあります。
制度案への関心が集まるのは、まさにこの線引きです。対象機器の範囲、既存制度との重複、委託先を含む情報収集の方法をどこまで明確にできるかが、実効性を左右します。
今後の注目点
意見募集の後、政府は寄せられた意見を踏まえて制度解説を固めていくことになります。対象事業者だけの話に見えて、安定した決済、通信、交通、医療などを支える基盤の話でもあります。
今後は次の点を追うべきです。
- 2026年8月19日の意見募集締切後、どの論点が制度に反映されるか
- 「特定重要電子計算機」の対象範囲が、現場で判断できる水準まで明確になるか
- 委託先・クラウド利用を含む報告体制を、事業者がどう整備するか
制度の成否は、報告件数の多さでは測れません。重大な兆候を早くつかみ、利用者に影響が出る前に対処へ結び付けられるか。そこが次に問われます。