能動的サイバー防御とは？法律の内容と中小企業への影響をやさしく解説

能動的サイバー防御とは、国や重要インフラに対する重大なサイバー攻撃のおそれがあるときに未然に排除し、発生したときに被害の拡大を防ぐ国の取り組みです。法律の義務を直接負うのは基幹インフラの258事業者で、それ以外の中小企業に同じ義務がかかるわけではありません。ただ、取引を通じた影響はあります。

今日やることは、基幹インフラ15分野の会社に納めているものを一覧にすることです。電力、水道、鉄道、通信などの会社に、機器やソフト、保守を提供していれば、この記事の話が当てはまります。

この記事は法律の解説書ではなく、中小企業への波及に絞った整理です。個別の判断は弁護士や所管省庁に確かめてください。ほかの基本用語はセキュリティの基本のカテゴリ⁠にあります。

法律で何が始まった？

根拠はサイバー対処能力強化法と同整備法で、2025年5月16日⁠に成立し、同月23日に公布されました。2026年10月1日に、主な部分が施行されています。

通信情報の時期は、2026年9月⁠の政府資料⁠の「来年秋より施行」⁠によります。

誤解されやすいのは、会社が自分で攻撃者に反撃できるようになる、という受け止めです。無害化措置を行うのは警察と自衛隊で、民間企業に反撃を認める内容ではありません。

自社は法律の直接の対象？

資産届出とインシデント報告の義務を負うのは、15分野258事業者です。15分野は次のとおりで、製造業は入っていません。

• エネルギー：電力、ガス、石油
• 交通・物流：鉄道、貨物自動車運送、外航海運、港湾運送、航空、空港
• 通信・放送：通信、放送、郵便
• 金融：金融、クレジットカード
• 生活：水道

法律上の正確な呼び方は特別社会基盤事業者で、基幹インフラ事業者のうち「特定重要電子計算機」⁠を使う会社を指します。サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0⁠のQ3に定義があります。

つまり多くの中小企業にとって、法律の届出や報告の義務は自社のものではありません。考えるのは「納入先が義務を果たすとき、自社に何が回ってくるか」⁠で⁠す⁠。

取引先の中小企業にはどう波及する？

ここから先の「聞かれる可能性」⁠は⁠、法律に書かれた義務ではなく、制度の内容から私たちが考えた見立てです。

納入した機器の情報を聞かれる

基幹インフラ事業者は、導入済みの特定重要電子計算機の製品名などを2027年3月までに届け出ます⁠。新しく導入したものは、導入から4か月以内です。

政府は、届け出られた資産情報と脆弱性の情報を突き合わせ、該当する事業者へ注意喚起するとしています。納入先がこの届出を整えるとき、納入元に製品名や版を確かめる場面が考えられます。

事故のときに早い連絡を求められる

基幹インフラ事業者は、対象の事象を認知したら、速やかに速報を、30日以内⁠に詳報を出さなければなりません。

保守や委託の先で事故が起きれば、納入先はその情報を早く必要とするはずです。2026年7月に出た重要インフラ統一基準の概要も、委託先などへの攻撃が自組織に影響するリスクを挙げ、組織の壁を越えた対策を求めています。契約や確認書で、事故時の連絡を定める話につながる可能性があります。

機器やソフトの「供給者」⁠と⁠し⁠て名指しされる

中小企業に直接関わる規定の1つが、ここです。国は、重要電子計算機に使われる電子計算機やプログラムの脆弱性を認知したとき、供給者に情報を提供でき⁠、基幹インフラ事業者の機器に関わるものなら必要な措置を要請できます。供給者とは、生産者、輸入者、販売者、提供者のことです。

あわせてサイバーセキュリティ基本法第7条第2項に、供給者の努力義務が加わりました。利用者の安全に配慮した設計と開発、維持管理に必要な情報の継続的な提供などです。

たとえば、水道事業者へ制御盤を納めるメーカーの場合を考えます。盤の中の機器やソフトが対象に当たるかどうかは製品の中身によりますが、次の問いには答えられるようにしておきたいところです。

• 盤の中の制御機器とソフトの型式と版は、納入先ごとに記録があるか
• 脆弱性の情報を、仕入先からどの窓口で受けるか
• 保守の遠隔接続はどの経路で、誰が使えるか
• 納入先へ修正の情報を伝える手順があるか

統一基準の概要は、閉域網だから安全とは限らないという認識も示しています。「外とつながっていないから」という答えだけでは通りにくくなるかもしれません。

自社のサーバーが攻撃に悪用されていたら

取引の有無に関わらず、どの会社にも起こり得る場面です。政府の説明資料⁠によると、警察庁長官が指名する警察官は、人の生命、身体、財産に重大な危害が及ぶおそれがあり緊急の必要があるとき、攻撃の送信元などのコンピュータの管理者や関係者に、必要な措置を命じることができます。自ら措置をとることもできます。

つまり、侵入されて攻撃の踏み台になったサーバーの管理者として、連絡を受ける立場になる可能性はゼロではありません。使っていないサーバーやVPN機器を残さないこと、管理者が誰かを社内で分かるようにしておくことは、この場面でも意味があります。

取引先の確認に評価制度が使われる

これは能動的サイバー防御の法律とは別の制度ですが、時期が重なります。経済産業省と国家サイバー統括室のSCS評価制度です。IPAのページは、委託元が委託先に適切な段階（★）⁠を示し、実施状況を確かめる使い方を想定しています。

★3と★4は2026年度末ごろの開始⁠を目指しており、2026年10月28日には評価用ガイドと解説書が公開されました。基幹インフラの会社に限らず、発注側が取引先を確かめる共通の物差しになる可能性があります。

情報を受け取る側にもなれる？

新しい協議会には、基幹インフラ事業者を中心に約100組織⁠が加わる予定です。システムベンダやセキュリティベンダも構成員の例に挙がっています。政府資料には、一般化した情報を共有する「協議会フレンズ」という枠組みも書かれています。入れる条件は、この資料からは読み取れません。関心があれば国家サイバー統括室の公表情報を確かめてください。

中小企業がすぐ使えるのは、IPAの情報セキュリティ安心相談窓口と中小企業の情報セキュリティ対策ガイドライン第4.0⁠版です。ガイドラインは、SCS評価制度の考え方に沿って改訂されています。

今日作る一覧には何を書く？

基幹インフラ15分野に納めているものだけで構いません。Excel1枚⁠で十分です。

埋まらない欄があれば、そこが今の弱点です。図面やソフトの扱いまで整理したいときは情報セキュリティの3要素を社内の例で考える記事⁠、社長の責任との関係はサイバーセキュリティ基本法と社長の責任⁠が続きの話になります。

社内で判断しきれないときは、セキュリティコンサルティングの比較で相談先を比べられます。制御機器まわりはOTセキュリティの製品比較が参考になります。取引先の評価を外部の点数で見る方法にはセキュリティレーティングの比較がありますが、外から見える範囲の評価であることは理解して使ってください。