能動的サイバー防御法の施行後、中小企業に来るのは義務でなく取引先からの要求

2026年10月1日、「能動的サイバー防御法」の、会社に義務がかかる部分が施行された。国がサイバー攻撃に先回りして備えるための法律で、ニュースで名前を見た人も多いはずだ。この記事は施行前の2026年8月に公開したものを、10月に書き直した。施行の状況など、8月と今とで変わったところは時点を分けて書いている。

この法律の話を最初に聞いたとき、自分も「大きなインフラ企業の話でしょ」と思った。電力・通信・金融・鉄道——そういう国レベルのインフラを守るための法律で、うちみたいな中小には縁遠い、と。実際、法律で直接の義務を負うのは、こうしたインフラを担う大きな会社に限られている。

だが中身を追っていくと、印象が変わった。この法律の影響は、「対象外」のはずの中小企業にこそ、静かに降りてくる構造になっている。しかも「法律の義務」という分かりやすい形ではなく、「取引先からの要求」という別の顔をして降りてくる。ここに気づかず「うちは対象外だから」で構えていると、ある日いきなり足元をすくわれる。

結論から言うと、身構えて大がかりな体制を作る必要はない。やることは、これまでこのブログで書いてきた棚卸し（会社に何があるかの一覧づくり）・記録を残すこと・事故のときの止め方の延長線上にある。法律の正式な名前や制度の細かい話は、後半の「担当者向け」にまとめた。

▼何が決まったか：電力・通信・金融など15分野の大きな会社に「届け出」と「報告」の義務。10月1日に施行済み

法律の細かい中身は後半に回す。ここでは、中小の会社が押さえておけばいい点だけに絞る。

この法律は、国のサイバー攻撃への備え方を「受け身」から「先回り」へ変えるものだ。これまでは「攻撃を受けてから対応する」のが基本だったが、攻撃の兆しや準備の段階で、国が自分から動けるようにする。

会社の実務に関わってくるのは、次の点だ。

• ▶ 対象は、法律で決めた15分野（電力・通信・金融・交通・水道など）の中で、国が指定した大きな会社
• ▶ 対象の会社は、使っている重要なシステムを国に届け出る（今使っているシステムの期限は2027年3月末）。そして、サイバー攻撃などの大きな事故が起きたら、知ってから3〜5日以内に第一報、30日以内に詳しい報告を国に出す義務を負う
• ▶ この届け出と報告の義務は、2026年10月1日に施行された。国が攻撃の手がかりを探すために通信の情報を分析する部分などは、2027年11月までに施行される（10月28日時点ではまだ）。中小の会社の実務には直接関係しない

ここまで読むと、やはり「うちは関係ない」に見える。問題はこの先だ。

▼中小に何が来るか：法律の義務ではなく、取引先からの要求として降りてくる

直接の義務を負うのは、15分野の中で国が指定した大きな会社だけ。これは事実だ。だが、その大きな会社は単独では動いていない。無数の取引先・仕事の委託先・システムを作る会社——つまり中小企業のつながりの上に成り立っている。

インフラの会社は、事故を知ってから3〜5日以内に国へ第一報を出さなければならない。事故が起きたのが、システムの保守や運用を任せている委託先や、使っているクラウドサービスの側でも同じだ（国の解説資料にそう書いてある）。だからインフラの会社は、自分の重要なシステムに関わる取引先に「何かあったらすぐ知らせる体制」を求める。ここが中小に降りてくる本当の経路だ。具体的にはこう来る。

加えて、この法律とは別に、国（経済産業省など）は取引先のセキュリティ対策を、星の数で示す制度（SCS評価制度）を準備していて、2026年度末ごろに申請の受付を始める予定だ。★3は「すべての取引先が最低限やるべき対策」、★4はその上の水準。発注する側が取引先に「うちとの取引には★3を」と求める使い方が想定されている。「お宅は★いくつか」を示せることが、取引の前提条件になっていく流れがある。示せない会社は、大きな会社との取引そのものが難しくなる可能性がある。

まとめると、中小企業への影響はこうだ。

▼今やること：「会社に何があるか」の一覧・記録・止め方の3つ。施行された今も同じ

ここが今日一番伝えたいことだ。制度が変わっても、足元でやるべきことの土台は変わらない。新しい法律が来たからといって、いきなり見たこともないツールを入れる話ではない。

取引先から「セキュリティ体制を示してほしい」と言われて、まず詰まるのは何か。それは高度な防御製品を持っていないことではない。自社に何があるのか、誰が何を持っているのかを、そもそもつかめていないことだ。棚卸しができていない会社は、要求に答える以前に、今の状態を説明することすらできない。

逆に言えば、これまでこのブログで一貫して書いてきた「棚卸し」「記録を残す」「止める手順」がそのまま効く。8月の公開時は「施行前に手をつけておく3つ」として書いた。施行された今も、やることは同じで、この3つの順で十分だ。

①は、メールや文書作成で既に使っている Microsoft 365 や Google Workspace の管理画面で、かなりの部分が分かる。②は注意がいる。標準のままだと半年ほどで消える記録が多く、1年残すには上位のプランか、記録を書き出して別に保管する仕組みが要る。新しい製品を買う前に、まず今何か月残っているかを確かめるのが先だ。

▼一番の注意：完璧な体制から入ると、一歩も動けなくなる

この手の制度対応で一番多い失敗は、いきなり完璧な体制を作ろうとして動けなくなることだ。事故対応の専門チームを作ろう、外部の会社と契約して24時間見張ってもらおう、分厚いセキュリティの規程を整えよう——正論ではある。だが情シスがいない会社がそこから入ると、たいてい検討だけで半年が溶ける。

施行日は来たが、慌てて何かを買う日ではない。手元にあるものを棚卸しして、記録を残して、止め方を決める。国の守り方が「先回り」に変わっても、会社の守りの土台は地道に今の状態をつかむことから始まる。

▼まとめ：自分の会社で確かめること

• ▶ 能動的サイバー防御法の、会社に義務がかかる部分（届け出と報告の義務）は、2026年10月1日に施行された。直接の義務を負うのは、15分野の中で国が指定した大きな会社
• ▶ 中小は直接の対象ではない。ただ、インフラの会社のシステムに関わる仕事を受けていれば、「法律の義務」ではなく「取引先からの要求」という形で降りてくる
• ▶ 取引先のセキュリティ対策を星の数で示す評価制度も、2026年度末ごろに申請の受付が始まる予定。★3が、すべての取引先が最低限やるべき対策
• ▶ 電力・通信・金融・交通・水道のようなインフラの会社から、仕事を受けているか。特に、その会社のシステムの開発・保守・運用や、その会社が使うクラウドサービスを請け負っていないか。あるなら、その契約にセキュリティや事故の報告の条件が入っていないか、更新のときに入ってこないか
• ▶ 会社の PC・クラウドサービス・アカウントの一覧はあるか。誰が管理しているか、辞めた人のアカウントが残っていないか
• ▶ ログインなどの記録は、今何か月残っているか。目安は1年。標準のままでは半年ほどで消えるものが多い
• ▶ 情報が漏れたかもしれないとき、誰が何を止め、誰に報告するか、1枚に書いてあるか
• ▶ 完璧な体制から入ると動けなくなる。棚卸し → 記録 → 止め方の順で始める

▼担当者向け：制度の詳細

前半の言い方と、実際の名前

施行の時点：8月の公開時と、10月28日時点

報告の期限と、委託先の扱い

• ▶ 第一報（速報）：DDoS 攻撃はできるかぎり速やかに。ランサムウェアなどそのほかの攻撃は、知った日から3〜5日以内
• ▶ 詳しい報告（詳報）：知った日から30日以内
• ▶ 委託先が管理しているシステムが攻撃された場合も報告の対象。インフラの会社は委託先から知らせを受けて判断し、報告する
• ▶ 特定重要電子計算機の届出は、原則として導入から4か月以内。施行時に既に使っているものは2027年3月31日まで
• ▶ インフラの会社が委託先やクラウドの会社に届け出・報告に必要な情報を求めるときは、独占禁止法や中小受託取引適正化法などに反しないよう気をつけること、と解説資料にある

出典：内閣府ほか「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説」（2026年10月1日）

対象の15分野と、医療の扱い

届出・報告の義務の対象は、経済安全保障推進法の基幹インフラ制度の15分野だ。2026年10月時点の15分野は、電気・ガス・石油・水道・鉄道・貨物自動車運送・外航貨物・港湾運送・航空・空港・電気通信・放送・郵便・金融・クレジットカードで、医療は入っていない。15分野の会社がすべて対象なのではなく、この中で国が指定した会社（特定社会基盤事業者）のうち、届け出の対象のシステムを使う会社が、この法律の「特別社会基盤事業者」になる。

医療を加える経済安全保障推進法の改正は2026年6月に公布されたが、10月28日時点では未施行だ。「重要インフラ」という名前の似た別の枠組み（サイバーセキュリティ戦略本部の重要インフラの分野）もあるので、取引先が「インフラの会社として求められている」と言ってきたら、どの制度の話かを確かめたほうがよい。

SCS評価制度との関係

SCS評価制度は、経済産業省と内閣官房国家サイバー統括室が2026年3月に制度構築方針を公表した制度で、この法律の中で決まった制度ではない。法律の義務ではなく、2社間の取引契約などで、発注する側が取引先に★の段階を示して求める使い方が想定されている。★3・★4は2026年度末ごろの制度開始（申請受付の開始）を目指している（変更の可能性あり）。★5は今後検討。IPA は「中小企業の情報セキュリティ対策ガイドライン」を★3・★4の要求事項に合わせて改訂している。

ログの保存の目安

前半の②は、認証ログ・ネットワークログ・主要アプリのログが今何か月残っているかを確かめること（目安は1年）。Microsoft 365 の監査ログは、標準（Audit Standard）では180日。1年残すには Audit Premium（E5 など）が要る。Google Workspace の監査ログ・レポートの多くは約6か月で、管理者は延ばせない。1年残すなら、外部への書き出し（BigQuery への書き出しなど、プランによる）か、別の保存先が要る。まず管理画面で、今どのログが何か月残っているかを確かめる。