サイバー対処能力強化法は、重要インフラ等に対する重大なサイバー攻撃の被害を未然に防ぎ、拡大を抑えるため、官民連携、通信情報の利用、アクセス・無害化、政府体制を整える法律です。届出・インシデント報告などの主要規定は2026年10月1日に施行されますが、通信情報利用の中核規定は別の日に施行されます。
ニュースでは「能動的サイバー防御法」と呼ばれることもありますが、その名称の単独法があるわけではありません。また、民間企業が攻撃者へ反撃できる法律でもありません。本記事では、サイバー対処能力強化法とは何か、対象企業と施行日、企業に求められる対応を、政府の一次資料に基づいてわかりやすく解説します。
contents
サイバー対処能力強化法とは
サイバー対処能力強化法は、正式には「重要電子計算機に対する不正な行為による被害の防止に関する法律」です。これと「同法の施行に伴う関係法律の整備等に関する法律」を組み合わせ、国民生活や経済活動、国と国民の安全に重大な影響を与え得るサイバー攻撃への対処能力を高めます。両法は2025年5月16日に成立し、同月23日に公布されました*1。制度の狙いは、攻撃を受けた組織だけに対処を任せるのではなく、事業者が把握したインシデント情報、国が持つ脅威情報、ベンダーが持つ脆弱性情報などを組み合わせ、被害の未然防止と拡大防止につなげることです。従来の「事故後の復旧」に加え、攻撃の兆候を早期に把握して先回りする考え方が強く打ち出されています。
制度を理解する4つの柱
政府の説明資料では、制度の全体像を「官民連携の強化」「通信情報の利用」「アクセス・無害化」「組織・体制整備」の4つの観点から整理しています。本記事でも、この4つに分けて制度の概要を見ていきます。
官民連携の強化
対象となる事業者は、特定重要電子計算機を導入した場合に製品名や製造者名などを届け出ます。また、特定重要電子計算機で一定のサイバーインシデントを認知した場合には、事業所管大臣と内閣総理大臣への報告が必要です。政府は報告情報などを整理・分析し、被害防止に必要な情報を事業者や関係機関へ提供します。守秘義務を伴う情報共有・対策のための協議会も設けられます。
通信情報の利用
国がサイバー攻撃に利用されるインフラを把握するため、通信利用者との任意の協定に基づく取得と、一定の国外関係通信を対象とする同意によらない取得の仕組みが設けられます。取得した通信情報については、人による知得を伴わない自動的な方法によって、サイバー攻撃との関連が認められる機械的情報を選別します。政府資料では、IPアドレスや指令情報などが「意思疎通の本質的な内容ではない情報」の例として示されています。
アクセス・無害化
一定の要件を満たす重大なサイバー攻撃については、警察が攻撃に使用されるサーバー等に対し、攻撃用プログラムの停止・削除などの無害化措置を行う仕組みが整備されます。また、外国政府を背景とする高度で組織的な攻撃などでは、自衛隊が対応する場合もあります。
詳しい要件や通信情報の利用との関係は、「能動的サイバー防御とは？通信情報の利用とアクセス・無害化」で詳しく解説します。
組織・体制整備
政府の司令塔機能も強化されました。内閣官房には国家サイバー統括室と内閣サイバー官が置かれ、サイバーセキュリティ戦略本部の体制も強化されています。通信情報の取扱いや無害化措置を監督するサイバー通信情報監理委員会は、2026年4月1日に設置されました。
施行日は2026年10月1日、ただし段階施行に注意
サイバー対処能力強化法は、すべての規定が同じ日に施行されるわけではありません。主要な規定は2026年10月1日に施行されますが、一部は先行施行され、通信情報の利用に関する規定は別の日に施行されます。主な施行スケジュールは以下のとおりです。
| 時期 | 主な内容 |
| 2025年5月23日 | 法律公布 |
| 先行施行 | 政府の組織・体制整備など |
| 2026年4月1日 | サイバー通信情報監理委員会の設置 |
| 2026年10月1日 | 届出・インシデント報告など主要規定 |
| 別途政令で定める日 | 通信情報利用に関する中核規定 |
特定重要電子計算機の届出、インシデント報告、官民協議会、情報の分析・提供、アクセス・無害化などの主要部分は、2026年10月1日に施行されます。しかし、通信情報の取得・利用に関する中核規定は別の施行区分です。法律上、公布から2年6か月を超えない範囲で政令により定める日から施行されるため、「2026年10月1日に全制度が一斉に始まる」と理解するのは正確ではありません。
制度は段階的に動き出しており、総則や基本方針、監督機関の設置など、先に施行された規定もあります。公開日が施行日をまたぐ場合は、「施行されます」を「施行されました」へ変更するだけでなく、通信情報利用の施行状況も別に確認する必要があります。
企業への影響は「直接的な義務」と「取引上の影響」に分かれる
企業への影響を考える際は、まず「自社が法律上の義務を直接負う事業者なのか」と、「対象事業者のベンダーや委託先として対応を求められる可能性があるのか」を分けて考える必要があります。特定重要電子計算機の届出とインシデント報告を直接義務付けられるのは、法律上の「特別社会基盤事業者」です。これは、経済安全保障推進法に基づいて指定された特定社会基盤事業者のうち、特定重要電子計算機を使用する事業者を指します。そのため、基幹インフラ分野に属する企業がすべて一律に対象になるわけではありません。
対象となる事業者やシステム、特定重要電子計算機を導入した場合の届出については、「サイバー対処能力強化法の対象企業と届出義務」で詳しく解説します。
報告対象、速報・詳報の期限、委託先やクラウドで発生した事象の扱いは、「インシデント報告の対象と期限」で確認できます。
ベンダーや委託先に法律上の届出義務が直接課されなくても、契約に基づく通知、ログや技術情報の提供、脆弱性対応を求められる可能性があります。ただし、本法がすべてのベンダーへ一律にログ保存等を義務付けているわけではありません。
まとめ
サイバー対処能力強化法では、官民連携、通信情報の利用、アクセス・無害化、政府の体制整備を通じて、重大なサイバー攻撃による被害を未然に防ぎ、拡大を防止する仕組みが整備されます。企業にとって特に重要なのは、自社が届出・インシデント報告の対象となるのかを確認し、対象となる場合には必要な情報を速やかに把握・報告できる体制を整えておくことです。また、対象事業者のベンダーや委託先にも、契約や取引を通じて対応が求められる可能性があります。次の記事から、「対象企業と届出」「インシデント報告」「通信情報の利用とアクセス・無害化」に分けて詳しく解説します。
よくある質問
▼ サイバー対処能力強化法はいつ成立しましたか参考情報
- 内閣府「サイバー安全保障」（https://www.cao.go.jp/cybersecurity/index.html）
- 内閣府「サイバー対処能力強化法及び同整備法について」（令和7年9月）（https://www.cao.go.jp/cybersecurity/pdf/setsumei.pdf）
- 内閣府「施行期日を定める政令」（https://www.cao.go.jp/cybersecurity/pdf/sekoukijitsu.pdf）
- 内閣府「重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針」（令和７年12月23日）（https://www.cao.go.jp/cybersecurity/pdf/kihonhoushin.pdf）
- e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和七年法律第四十二号）（https://laws.e-gov.go.jp/law/507AC0000000042）
- e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律施行令」（令和八年政令第四十七号）（https://laws.e-gov.go.jp/law/508CO0000000047）
編集責任：木下
BBSecの脆弱性診断・セキュリティ対策支援サービス
BBSec（ブロードバンドセキュリティ）では、Webアプリケーション診断、プラットフォーム診断、クラウド環境診断、脆弱性管理支援など、企業のセキュリティリスクを可視化する各種サービスを提供しています。外部サービスや委託先を含めたセキュリティ体制の見直し、情報漏えいリスクへの備え、インシデント発生前の予防対策を検討している企業は、ぜひご相談ください。
サイバーインシデント緊急対応
ウェビナー開催のお知らせ
最新情報はこちら
