サイバー対処能力強化法の対象企業は、業種や企業規模だけでは判断できません。直接の義務対象となるのは、経済安全保障推進法に基づく特定社会基盤事業者のうち、特定重要電子計算機を使用する「特別社会基盤事業者」です。対象となるシステムには、自社所有の設備だけでなく、クラウドや委託先が管理するものも含まれる可能性があります。本記事では、対象企業の判断基準、特定重要電子計算機の範囲、届出義務と企業が準備すべき事項を解説します。
制度全体については、「サイバー対処能力強化法とは？4つの柱と施行スケジュールをわかりやすく解説」で紹介しています。
サイバー対処能力強化法の対象となる企業の条件
法律上の直接的な義務主体は「特別社会基盤事業者」です。特定社会基盤事業者であることに加え、そのサイバーセキュリティが害された場合に特定重要設備の機能が停止または低下するおそれのある「特定重要電子計算機」を使用していることが条件になります。したがって、「基幹インフラ15分野の企業はすべて対象」「指定企業の全システムが対象」といった説明は正確ではありません。自社が個別指定を受けているか、対象となる特定重要設備は何か、その機能に影響する電子計算機はどこまでかを順に確認する必要があります。
特定社会基盤事業者と特別社会基盤事業者の違い
「特定社会基盤事業者」は、経済安全保障推進法に基づき、国民生活や経済活動の基盤となる役務を安定的に提供するため、事業所管大臣から指定された事業者です。特定重要設備を導入し、または重要な維持管理等を委託する際に、同法に基づく事前届出と審査を受ける制度の対象になります。一方の「特別社会基盤事業者」は、特定社会基盤事業者のうち、サイバー対処能力強化法上の特定重要電子計算機を使用する者です。名称が似ていますが、根拠となる義務と対象設備が異なります。特定重要設備の導入前審査と、特定重要電子計算機の導入後届出を混同しないことが重要です。
特定社会基盤事業者の対象15分野
経済安全保障推進法の基幹インフラ制度は、電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、港湾運送、航空、空港、電気通信、放送、郵便、金融、クレジットカードの15分野を対象としています。ただし、15分野に属するすべての企業が自動的に特別社会基盤事業者となるわけではありません。事業所管大臣による個別指定と、特定重要電子計算機の使用状況を確認する必要があります（内閣府「基幹インフラ役務の安定的な提供の確保に関する制度」。
2026年6月17日に公布された改正法で医療分野が追加されましたが、追加規定は公布から1年6か月以内に政令で定める日から施行されるため、施行日や新たな指定の状況を確認する必要があります。制度改正や新たな指定により範囲は変わるため、記事公開時や自社判定時には、内閣府の最新の指定一覧と施行状況を確認してください。
特定重要電子計算機とは
特定重要電子計算機は、特定社会基盤事業者が使用する電子計算機のうち、サイバーセキュリティが害された場合に、特定重要設備の機能が停止または低下するおそれのあるものです。対象はハードウェアだけではなく、組み込まれたOS、ミドルウェア、アプリケーション、ファームウェアなどのプログラムも含み得ます。
施行令は、大きく三つの類型を定めています。第一は、特定重要設備である電子計算機またはその一部を構成する電子計算機です。第二は、特定重要設備と直接または間接に接続され、その機能に影響する電磁的記録を送信する機能を持つ一定の電子計算機です。第三は、特定重要設備の情報処理に用いるデータを作成し、そのデータが一定期間ごとに入力されなければ設備の機能が停止または低下する一定の電子計算機です。
対象範囲を制御システム本体だけに限定すると、接続機器やデータ供給系を見落とします。反対に、社内の端末やサーバーを無条件にすべて含めるのも適切ではありません。「特定重要設備の機能にどのような影響を与え得るか」という関係を、システム構成図とデータフローで確認することが必要です。
クラウドや委託先、海外のシステムも対象になり得る
法令上の「使用」は、必ずしも自社所有を意味しません。2026年10月に公表された制度解説では、グループ会社が所有するシステム、クラウドサービス、海外に存在するシステム、他社と共同利用するシステム、災害復旧サイトも、要件を満たせば特定重要電子計算機に該当し得ると説明しています。ここで重要なのは、所有者と義務主体が同じとは限らないことです。クラウドや運用委託先が管理するシステムでも、特別社会基盤事業者が自社事業に使用し、特定重要設備の機能に影響するなら、対象となる可能性があります。共同利用の場合には、複数の特別社会基盤事業者がそれぞれ届出・報告義務を負う可能性もあります。
特定重要電子計算機の届出義務
特別社会基盤事業者は、特定重要電子計算機を導入した場合、原則として導入日から4か月以内に事業所管大臣へ届け出ます。2026年10月1日に届出制度が施行され、施行時点ですでに導入済みのものについては、施行日から6か月以内とする経過措置があります。届出事項を変更した場合も、原則として変更から4か月以内に変更届が必要です（e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令」）。
届出には、事業者の概要、特定重要設備と電子計算機の区分、製品名、製造者名などが含まれます。ただし、主務省令は、広く一般に使用されているものとして主務大臣等が指定する製品を届出対象外とする仕組みを設けています。具体的な対象外製品については、公布された告示を確認する必要があります。届出対象外であっても、特定重要電子計算機である限り、インシデント報告の対象になり得る点には注意が必要です。
特定重要電子計算機で発生した事象の報告対象と期限は、「特定重要電子計算機のインシデント報告」で詳しく解説します。
届出に向けた資産管理のポイント
実務では、最初に特定重要設備と関連システムの境界を定め、ネットワーク接続、データ入力、運用委託、クラウド責任分界を可視化します。そのうえで、届出対象となるハードウェアとプログラムを抽出し、製品名、製造者、バージョン、用途、管理者、変更履歴を更新できる状態にします。制度解説は、システム概略図と資産一覧を整理する手順を示しています。これは単なる申請書作成ではなく、「どの資産で異常が起きたら、誰が特定侵害事象等を判定するのか」を決める作業でもあります。資産の所有者、運用者、監視担当、法令上の義務主体が異なる環境ほど、平時の関係者調整が重要です。
ITベンダー・クラウド事業者への影響
ベンダーや委託先が特別社会基盤事業者でなければ、本法の届出・報告義務を直接負うとは限りません。しかし、対象事業者が報告するためには、委託先からの迅速な通知、ログやIoC、影響を受けた製品・バージョン、対応状況などの情報が必要になります。契約やSLAでは、通知対象となる事象、初回連絡までの時間、連絡先、証拠保全、ログ提供の範囲、再委託先からの情報取得、緊急時の協力体制を確認しておくべきです。これはすべてのベンダーに法律が一律に課す義務ではありませんが、対象事業者との契約上、実務的な要求が強まる可能性があります。
外部公開資産の把握とASMの活用
特定重要電子計算機の届出に向けた資産整理では、内部のシステム構成や運用状況を把握することが基本となります。一方、外部に公開されている資産や設定上の問題など、内部の管理台帳だけでは把握しきれないリスクにも注意が必要です。
ブロードバンドセキュリティ（BBSec）の「アタックサーフェス調査」では、公開情報（OSINT）を活用し、攻撃者の視点から外部公開資産や潜在的なリスクを可視化します。法定届出を代行するサービスではありませんが、管理漏れや外部に露出したリスクの把握に活用できます。
まとめ
サイバー対処能力強化法の対象企業を判断するときは、業種、事業者指定、使用する電子計算機という三段階で確認します。基幹インフラ分野に属するだけで対象と決めつけず、特定社会基盤事業者として指定され、特定重要電子計算機を使用しているかを見極める必要があります。クラウド、共同利用、海外設置、委託先管理であっても対象になり得るため、資産の所有関係だけで線を引くことはできません。特定重要設備の機能、システム接続、データフロー、責任分界、連絡経路を一つの図で確認できる状態にすることが、届出とインシデント報告の双方に役立ちます。
【参考情報】
- e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律」（https://laws.e-gov.go.jp/law/507AC0000000042）
- e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律施行令」（https://laws.e-gov.go.jp/law/508CO0000000047）
- 内閣府ほか「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説（特定重要電子計算機の届出及び特定侵害事象等の報告）（案）」（https://public-comment.e-gov.go.jp/pcm/download?seqNo=0000317900）
- 内閣府「経済安全保障推進法の特定社会基盤役務の安定的な提供の確保に関する制度（説明会資料）」（令和８年７月７日）（https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_setsumeikai.pdf）
- 国家サイバー統括室「サイバー対処能力強化法及び同整備法の一部施行について」（2026年10月1日）（https://www.cyber.go.jp/pdf/press/houdou_20261001.pdf）
編集責任：木下
ウェビナー開催のお知らせ
最新情報はこちら
