2026年10月1日、「能動的サイバー防御法」が施行される。ニュースで名前を見た情シスも多いはずだ。
この法律の話を最初に聞いたとき、自分も「基幹インフラ事業者の話でしょ」と思った。電力・通信・金融・鉄道——そういう国レベルの重要インフラを守るための法律で、うちみたいな中小の情シスには縁遠い、と。実際、直接の義務対象は基幹インフラ事業者に限られている。
だが中身を追っていくと、印象が変わった。この法律の影響は、「対象外」のはずの中小企業にこそ、静かに降りてくる構造になっている。しかも「法律の義務」という分かりやすい形ではなく、「取引先からの要求」という別の顔をして降りてくる。ここに気づかず「うちは対象外だから」で構えていると、ある日いきなり足元をすくわれる。
結論から言うと、身構えて大がかりな体制を作る必要はない。やることは、これまでこのブログで書いてきた棚卸し・ログ・インシデント対応フローの延長線上にある。この記事では、能動的サイバー防御法を材料に、情シスがいない会社が施行前に手をつけておくべきことを整理する。
この記事でわかること
- ▶ 能動的サイバー防御法で「何が」「誰に」義務化されるのか（最小限）
- ▶ 直接の対象外である中小企業が、なぜ巻き込まれるのか
- ▶ 「法律の義務」ではなく「取引先からの要求」として降りてくる仕組み
- ▶ 情シス不在の会社が施行前にやるべき3つのこと
- ▶ 完璧を目指して動けなくならないための順序
▼ 能動的サイバー防御法とは（中小視点で最小限だけ）
制度の逐条解説は他に譲る。ここでは、中小の情シスが押さえておけばいい要点だけに絞る。
この法律（正式にはサイバー対処能力強化法・同整備法）は、日本のサイバーセキュリティ政策を「受動」から「能動」へ転換するものだ。これまでは「攻撃を受けてから対応する」のが基本だったが、攻撃の予兆・準備の段階で国が主体的に動けるようにする。米国や英国が先行している「国家レベルの能動防御」の日本版にあたる。
実務に効いてくるのは、次の点だ。
- ▶ 電力・通信・金融・交通・医療・水道など15分野の基幹インフラ事業者が対象
- ▶ 対象事業者には、重大なインシデント発生時の報告義務が課される（速報・詳細報告の期限つき）
- ▶ 届出義務・インシデント報告義務の施行が2026年10月1日（通信情報の利用に関する規定はさらに後、段階施行）
ここまで読むと、やはり「うちは関係ない」に見える。問題はこの先だ。
▼ 「うちは対象外」の中小こそ、サプライチェーンで巻き込まれる
直接の義務対象は基幹インフラ事業者だけ。これは事実だ。だが、基幹インフラ事業者は単独では動いていない。無数の取引先・委託先・システムベンダー——つまり中小企業のネットワークの上に成り立っている。
国が基幹インフラ事業者に「守れ」と義務を課せば、その事業者は当然、自社の取引先にも同じ水準を求めるようになる。ここが中小に降りてくる本当の経路だ。具体的にはこう来る。
加えて、この法律はサプライチェーン全体のセキュリティ評価制度（SCS評価制度）とセットで動く政策パッケージだ。ざっくり言えば、「お宅のセキュリティ体制は何段階のどこにいるのか」を評価で示せることが、取引の前提条件になっていく流れがある。評価の水準を満たせない会社は、基幹インフラ事業者との取引そのものが難しくなる可能性がある。
さらに周辺では、サイバー保険の引受条件も厳格化していく見込みだ。「入っておけば安心」だった保険が、「一定の対策をしていないと入れない・降りない」に変わっていく。
まとめると、中小企業への影響はこうだ。
| 降りてくる経路 | 中小に起きること |
|---|---|
| 取引条件の厳格化 | 取引先から「インシデント報告体制」「セキュリティ水準」を契約で求められる |
| セキュリティ評価との連動 | 評価水準を示せないと、取引そのものが難しくなる |
| サイバー保険 | 引受条件が厳しくなり、対策なしでは入りにくくなる |
▼ 結局、やることは”棚卸し”から変わらない
ここが今日一番伝えたいことだ。制度が変わっても、足元でやるべきことの土台は変わらない。新しい法律が来たからといって、いきなり見たこともないツールを導入する話ではない。
取引先から「セキュリティ体制を示してほしい」と言われて、まず詰まるのは何か。それは高度な防御製品を持っていないことではない。自社に何があるのか、誰が何を持っているのかを、そもそも把握できていないことだ。棚卸しができていない会社は、要求に答える以前に、現状を説明することすらできない。
逆に言えば、これまでこのブログで一貫して書いてきた「棚卸し」「ログ管理」「止める手順」がそのまま効く。制度対応の名の下に慌てて何かを買う前に、この土台を固めるのが先だ。
▼ 情シス不在の会社が施行前にやる3つ
大がかりなことは要らない。施行前に手をつけるなら、この3つの順で十分だ。
| やること | 具体的に | なぜ今か |
|---|---|---|
| ①資産・アカウントの棚卸し | どの端末・どのSaaS・どのアカウントが存在し、誰が管理しているかを一覧化する。退職者・不明な権限を洗い出す | 「現状を説明できる」ことが、取引先の要求に答える最低ライン |
| ②ログの保存 | 認証ログ・ネットワークログ・主要アプリのログを、最低1年は残る設定にしておく | インシデント時に「何が起きたか」を後から追えないと、報告も対応もできない |
| ③「止める・報告する」フロー | 漏洩が疑われたとき、誰が何を止め、誰に報告するかを1枚に書いておく。連絡先と判断者を明記 | 事故が起きてから手順を考えていては、報告期限にも取引先対応にも間に合わない |
①と②は、Microsoft 365やGoogle Workspaceのような既に使っている基盤の設定を見直すだけで、かなりの部分がカバーできる。新しい製品を買う話にする前に、手元の基盤で何が取れているかを確認するのが先だ。
▼ ハマりどころ：完璧を目指すと、一歩も動けなくなる
この手の制度対応で一番多い失敗は、いきなり完璧な体制を作ろうとして動けなくなることだ。CSIRTを設置しよう、外部SOCと契約して24時間監視を、分厚いセキュリティポリシーを整備しよう——正論ではある。だが情シス不在の会社がそこから入ると、たいてい検討だけで半年が溶ける。
施行日は決まっているが、慌てて何かを買う日ではない。手元にあるものを棚卸しして、記録を残して、止め方を決める。制度が「能動」に変わっても、守りの土台は地道な現状把握から始まる。
▼ まとめ
- ▶ 能動的サイバー防御法は2026年10月1日施行。直接の義務対象は基幹インフラ事業者15分野
- ▶ 中小は直接の対象外だが、サプライチェーン経由で確実に巻き込まれる
- ▶ 「法律の義務」ではなく「取引先からの要求」という形で降りてくるのが本質
- ▶ セキュリティ評価やサイバー保険の条件にも波及していく
- ▶ やることは棚卸し・ログ・止める手順。これまでの土台の延長線上にある
- ▶ 完璧な体制から入ると動けなくなる。棚卸し → ログ → フローの順で始める
📅 30分無料相談、受け付けています
「取引先からセキュリティ体制を求められそうだが、何から手をつければいいか分からない」「棚卸しやログの現状を整理したい」——そういった段階からお気軽にどうぞ。施行前にやっておくべきことを、御社の状況に合わせて一緒に整理します。
📅 30分無料相談を予約する →