サイバー新法で、うちの会社は何が変わるのか

深夜、取引先から届いた一通のメール。「至急ご確認ください」という件名だけで、心臓がひやりとした経験はないでしょうか。
開いてみれば単なる誤送信だったとしても、その数秒間に感じる緊張は、サイバー攻撃が身近になった今の空気そのものだと私は思っています。

2025年5月、その空気を変えるかもしれない法律が成立しました。
通称「能動的サイバー防御法」。
正式には「サイバー対処能力強化法」と、その関連整備法である「サイバー対処能力整備法」の二本立てで、5月16日に国会を通過し、23日に公布されています。
施行は公布から1年6か月以内、つまり2026年中に予定されているようです。

これまでの日本のサイバーセキュリティは、攻撃を受けてから対処する「受動的防御」が基本でした。
ファイアウォールを固め、侵入されたら被害を最小化する。
言ってしまえば、泥棒が入ってから鍵を締め直すようなやり方です。
今回の法律が目指すのは、その手前の段階への介入ではないだろうか。
国や重要インフラに安全保障上の懸念を生じさせる重大な攻撃について、攻撃源を特定し、情報を集め、場合によっては無力化する。
攻めの構えを国として初めて制度化した、という点が一番の転換点だと思います。

法律の中身は、官民が協議会を通じて被害防止情報を共有する仕組み、攻撃分析に必要な情報だけを機械的に選別して人の目には触れさせない通信情報の利用、攻撃者のサーバーなどに政府がアクセスして無害化する措置、そしてそれらを動かす組織・体制の整備という、大きく4つの柱で構成されています。
プライバシーへの配慮として、通信情報は自動的な機械選別にとどめ、内容そのものを人が読むわけではないという設計になっているようです。
このあたりのバランス感覚は、法案審議でもかなり時間をかけて詰められた部分だと聞きます。

直接の対象になるのは、電力・通信・金融・医療・物流など14分野の「基幹インフラ事業者」です。
該当する事業者には、特定重要電子計算機を導入した際に30日以内に事業所管大臣へ届け出ること、サイバー攻撃の被害を認知した場合に政府へ報告すること、政府からの資料要請に対応することが義務づけられます。
違反すれば、報告義務違反で200万円以下の罰金、資料提出拒否で30万円以下の罰金、秘密漏えいには拘禁刑という、決して軽くない罰則も用意されています。

ただ、気になるのはここから先です。
基幹インフラ事業者に直接該当しない中小企業やWeb制作・運用に関わる立場でも、無縁ではいられません。
委託先やITベンダーとして基幹インフラ事業者と取引がある場合、間接的にセキュリティ水準の底上げを求められる可能性は十分にあります。
「うちは対象業種じゃないから関係ない」と思っていた会社ほど、取引先経由で対応を迫られて慌てる姿が目に浮かびます。

2026年中の施行に向けて、自社が保有するシステムやサーバーを棚卸ししておくこと、インシデント発生時の報告フローや連絡体制を整理しておくこと、取引先が基幹インフラ事業者に該当するかどうかを確認しておくことは、今のうちにやっておいて損はないと思います。
Webサイトやシステムを日々運用していると、どうしても目の前の改修や更新作業に追われがちです。
だからこそ、こうした法制度の変化は気づいたときには対応が後手に回っていた、というパターンに陥りやすいのではないでしょうか。
法律の細部は今後の政令やガイドラインで固まっていく段階にあります。
続報が出るたびに、また取り上げてみたいと思います。