2026年10月1日、「重要電子計算機に対する不正な行為による被害の防止に関する法律」（サイバー対処能力強化法）にもとづく官民連携の仕組みが動き始めました。内閣官房国家サイバー統括室と内閣府の説明資料によると、15分野258の基幹インフラ事業者は、使っている特定重要電子計算機の製品名などを来年3月までに届け出て、サイバーインシデントを認知したときは国へ報告します。国は届け出られた資産情報と脆弱性情報を突き合わせ、該当する事業者へピンポイントに注意喚起する。資料はその狙いを「AIで加速する脆弱性悪用にも対抗する」と書いています。
この記事の要点
- 10月1日から、15分野258の基幹インフラ事業者に、国へのインシデント報告が義務付けられた
- 資産の届出は、国が脆弱性情報と突き合わせて該当する事業者へ注意喚起するための仕組みとして説明されている
- 対象外の企業にとっても、使っている機器やソフトを製品名で答えられる状態は、取引先として問われていく
何が始まったのか
サイバー対処能力強化法と同整備法は、2025年5月16日に成立し、同月23日に公布されました。2026年9月に公表された施行の説明資料は、10月1日以降の柱として、基幹インフラ事業者などへの国独自の情報の提供（官民連携の強化）と、攻撃サーバーなどに対するアクセス・無害化措置の2つを挙げています。攻撃サーバーなどを見つけるための通信情報の利用は、来年秋からとされています。
官民連携の側では、基幹インフラ事業者を中心に約100組織が加わる協議会が置かれる予定です。資料は、資産の届出やインシデント報告について「もらって終わり」ではなく、提供した事業者の対策につながる情報を返すと書いています。
資産の届出とインシデント報告の中身
- 資産の届出: 基幹インフラ事業者は、導入済みの特定重要電子計算機の製品名などを、来年3月までに事業所管大臣へ届け出る。新しく導入したものは、導入から4か月以内の届出が求められる
- インシデント報告: 10月1日から、特定重要電子計算機でマルウェアの実行や不正アクセスなどのサイバーインシデント、またはその原因となり得る事象を認知したときは、事業所管大臣と内閣総理大臣へ報告する
対象は、金融、電力、通信、空港・航空、水道などの15分野で、資料には258の事業者と書かれています。
なぜ「製品名」なのか
資料によると、国は届け出られた資産情報と、国が入手する未公表のものを含む脆弱性情報を突き合わせます。そのうえで、該当する資産を持つ基幹インフラ事業者を特定し、速やかに注意喚起します。インシデント報告で得た技術情報も、可能な限りタイムリーに他の事業者へ展開し、被害の拡大を抑えるとしています。
これは、重大な脆弱性が出たときに「どこが影響を受けるか」を答える時間を、国の側からも縮めようとする仕組みです。逆に言えば、自社の資産を製品名の粒度で把握していなければ、注意喚起を受けても、自社のどこが該当するのかを答えられません。
対象外の企業にも関わること
報告や届出が義務になるのは基幹インフラ事業者ですが、その周りの企業も無関係ではありません。経済産業省とIPAのサイバーセキュリティ経営ガイドラインは、自社だけでなく、ビジネスパートナーや委託先を含むサプライチェーン全体への目配りを経営者に求めています。基幹インフラ事業者の取引先や委託先として、使っている機器やソフトを問われる場面は増えていきます。
報告の負担を軽くする動きもあります。国家サイバー統括室は2026年9月15日に、被害報告の一元化の申合せと、DDoS攻撃事案、ランサムウェア事案の共通様式を改定し、その他のサイバー攻撃等事案の共通様式を新しく定めました。警察へ相談する場合なども、この様式を使えるとされています。事件のときに何を報告するかを、平時に一度見ておくことができます。
製品名で答えられる台帳
本社のシステムは台帳があっても、拠点やグループ会社のネットワーク機器、プリンター、NASまで製品名で答えられる会社は多くありません。当社のForceJOSYSは、オフィスのLANを継続して観測し、端末台帳を自動で作って更新していく、中小規模の事業所向けのIT運用支援サービスです。拠点ごとに「何がつながっているか」を答えられる状態を作り、本社の台帳とつなぐ入口にできます。
参考資料
拠点の機器を製品名で答えられるようにする
拠点や中小規模のグループ会社の端末台帳づくりについてご相談ください。
製品の詳細はForceJOSYSのサイトでご覧いただけます。
まずは相談する相談無料・