サイバー対処能力強化法とは？2026年10月施行で何が変わる

最終更新日：2026年9月

2026年10月1日、「サイバー対処能力強化法」の主要規定が施行され、対象となる基幹インフラ事業者には、特定重要電子計算機の届出や特定侵害事象等の報告といった新たな義務が始まります。「自社は対象になるのか」「何をしなければならないのか」を正確に把握できていない情シス・BCP担当者も多いのではないでしょうか。本記事では、法律の概要と、自社が対象かどうかを確認する際に押さえておきたいポイントを整理しました。

※本記事は2026年9月時点で公表されている法令・命令等に基づいています。2026年9月時点では、施行令、特定重要電子計算機の届出・特定侵害事象等の報告に関する命令、報告様式等が公表されています。個別の事業者・システムが対象となるかについては、内閣府や事業所管省庁の最新情報を必ずご確認ください。

この記事でわかること

• サイバー対処能力強化法：重要インフラ事業者等のサイバーセキュリティ対策を強化するための法律。正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」
• 特別社会基盤事業者：経済安全保障推進法に基づく「特定社会基盤事業者」のうち、本法で定める「特定重要電子計算機」を使用する事業者。特定重要電子計算機の届出や特定侵害事象等の報告義務の対象となる
• 資産届出：特定重要電子計算機を導入した場合に、その製品名・製造者名等を所管大臣へ届け出る義務
• インシデント報告：特定重要電子計算機について、特定侵害事象またはその原因となり得るものとして命令で定められた事象を認知した場合に、政府へ報告する義務

サイバー対処能力強化法とは

サイバー対処能力強化法（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律／令和7年法律第42号）は、2025年5月16日に成立し、同年5月23日に公布されました。法律の一部の規定は2025年7月から先行して施行されていますが、資産届出やインシデント報告といった主要な義務に関する規定は、2026年10月1日から施行されます。

本法は、政府が進める、いわゆる「能動的サイバー防御」の制度整備の一環として成立した法律です。あわせて、2025年7月には、内閣サイバーセキュリティセンター（NISC）が改組され、国家サイバー統括室（NCO）が設置されました。

対象となる事業者（特別社会基盤事業者）

この法律に基づく資産届出やインシデント報告の義務対象となるのは「特別社会基盤事業者」です。経済安全保障推進法に基づき事業所管大臣から「特定社会基盤事業者」に指定された事業者のうち、本法で定める「特定重要電子計算機」を使用する事業者が該当します。指定の母体となっている経済安全保障推進法の基幹インフラ制度では、電力・ガス・水道・通信・金融・航空・鉄道など十数分野が対象とされています。特定社会基盤事業者の最新の指定状況は、内閣府が公表する一覧で確認できます。

求められる義務の概要

特別社会基盤事業者に求められる主な義務として、次の2点が挙げられています。

• 資産届出：特定重要電子計算機を導入した場合に、その製品名・製造者名など所定の情報を所管大臣へ届け出る義務
• インシデント報告：特定重要電子計算機について、「特定侵害事象」または、その原因となり得るものとして命令で定められた事象を認知した場合に、政府へ報告する義務。一定のサイバー攻撃の兆候等を把握した段階でも、報告対象となる場合があります

資産届出については、2026年10月1日の施行時点ですでに稼働している特定重要電子計算機を対象に、経過措置として初回の届出期限が2027年4月1日とされています。それ以降は、特定重要電子計算機を新たに導入・変更するたびに届け出る形になります。届出・報告の具体的な様式や対象システムの細かな範囲は、施行令や関連する命令で定められています。自社のどのシステムが届出対象になるかは、一次情報を確認したうえで、必要に応じて所管省庁に問い合わせるのが確実です。

罰則

特定重要電子計算機の届出や特定侵害事象等の報告義務に違反した場合、特別社会基盤事業所管大臣は、届出・報告または報告内容の是正を命じることができるとされています。この命令に違反した場合には、200万円以下の罰金が科される可能性があります。なお、この法律にはほかにも複数の罰則規定が設けられているため、法律全体として「必ず最初に是正命令がある」とは限らない点にもご留意ください。

自社が対象か確認しておきたいポイント

• 業種の該当性：自社が経済安全保障推進法の基幹インフラ分野（電力・ガス・水道・通信・金融・航空・鉄道等）に該当する事業を営んでいるか
• 指定・該当性の確認：事業所管大臣から「特定社会基盤事業者」に指定されているか、そのうえで「特定重要電子計算機」を使用しているか（＝「特別社会基盤事業者」に該当するか）
• 資産の棚卸し：特定重要電子計算機について、製品名・製造者名等を記録した資産台帳を整備できているか
• 報告体制：特定侵害事象等を把握した際に、社内でどのように検知し、誰が政府への報告を判断・実施するかのフローがあるか
• 取引先としての対応：自社が特別社会基盤事業者でなくても、対象事業者にシステムやサービスを納入している場合、製品名・製造者名などの情報提供を求められる可能性がある点

よくある質問

Q. 中小企業やITベンダーも対象になりますか？
A. 直接の届出・報告義務は、経済安全保障推進法上の「特定社会基盤事業者」のうち「特定重要電子計算機」を使用する「特別社会基盤事業者」に課されます。ただし、届出には製品名・製造者名等の情報が必要になるため、対象事業者にシステムを納入しているベンダーが、顧客から情報提供を求められる可能性は十分考えられます。自社が直接の義務対象かどうかは、特別社会基盤事業者に該当するかどうかで確認する必要があります。

Q. もう施行されている部分もあるのですか？
A. はい。法律の一部の規定は2025年7月から先行して施行されています。資産届出・インシデント報告といった主要な義務に関する規定は2026年10月1日からの施行です。どの規定がいつから適用されるかは附則や関連政令で細かく定められているため、正確な時期は一次情報でご確認ください。

Q. 対策として何を導入すればよいですか？
A. この記事で紹介した内容は資産届出・報告義務の枠組みの説明であり、特定の製品導入を必要とするものではありません。一般的には、自社システムの資産情報を正確に把握・記録できる体制や、インシデントの兆候を早期に検知・共有できる体制づくりが実務上のポイントになるとされています。自社の状況に応じて、必要な対応を個別にご検討ください。

まとめ

サイバー対処能力強化法は、2026年10月1日から、特別社会基盤事業者を対象とした特定重要電子計算機の届出・特定侵害事象等の報告義務が本格的に施行される、影響の大きい法律です。主要な施行ルールは公表されていますが、自社が「特別社会基盤事業者」に該当するか、どのシステムが「特定重要電子計算機」に当たるかについては、個別に確認する必要があります。自社が対象になるかどうか、どのような対応が必要かについては、内閣官房・内閣府など所管機関が公表する最新の一次情報を必ずご確認ください。

関連記事・一次情報

• 内閣官房：サイバー安全保障に関する取組
• 内閣府：サイバー安全保障

導入のご相談やお見積もりは、お問い合わせ・資料請求ページから承っています。

「LiveOn Chat」について詳しく知りたい場合はこちらをご覧ください。