サイバーセキュリティ基本法とは？会社に求められる努力と社長の責任

サイバーセキュリティ基本法とは、国のサイバーセキュリティ施策の基本を定めた法律で、事業者には自主的な確保と国の施策への協力を努力義務として求めています。社長の損害賠償の責任は、この法律ではなく主に会社法と民法から生じます。

今日やることは、自社の体制の基本方針を社長が決めて、紙に残すことです。誰が担当か、何を守るか、年に何回確かめるかの3点⁠で構いません。担当者任せにしていないことを、後から説明できる形にします。

この記事は法律の考え方の整理で、個別の案件への法的助言ではありません。具体的な判断は弁護士に確かめてください。ほかの用語はセキュリティの基本のカテゴリ⁠にまとめています。

基本法は会社に何を求めている？

条文から、事業者に関わるところだけを抜き出すと次のようになります。

「その他の事業者」⁠に⁠は規模の限定がなく、中小の製造業も入ります。ただ、どれも「努めるものとする」という努力義務で、何を入れろという具体的な指定はありません。

罰則も、努力を怠った会社に向けたものではありません。この法律の罰則は第38条だけで、第31条第2項⁠の違反者を対象にしています。

第7条第2項は、サイバー対処能力強化法の整備法による改正で加わりました⁠。自社で作った機器やソフトを顧客に納めている会社は、供給者として読む必要があります。この改正の背景は能動的サイバー防御と中小企業への影響⁠で説明しています。

第15条には、国の側の役割が書かれています。中小企業などの自発的な取り組みが進むよう、相談に応じ、情報の提供と助言を行うといった施策です。IPAの情報セキュリティ安心相談窓口のような公的な窓口は、遠慮せず使ってください。

では、社長の責任はどこから来る？

基本法に罰則が無いからといって、社長に責任が無いわけではありません。責任の根拠は別の法律にあります。

国家サイバー統括室のサイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0（2026年10月）⁠のQ5とQ6が、この点の最新の整理です。要点を表にします。

ハンドブックは、情報漏えいなどが起きても、役員は原則として刑事責任を負わないとしたうえで、個人情報保護法の例外を示しています。

もとにあるのが善管注意義務です。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、「取締役にふさわしくベストを尽くして経営に当たる義務⁠」⁠と言い換えています。経済産業省とIPAのサイバーセキュリティ経営ガイドライン Ver3.0は、担当者への丸投げは許されないと書いています。

小さな会社にも内部統制の話は関係する？

会社法は、大会社などに内部統制システムの決定を明文で義務づけています。大会社とは、資本金5億円以上または負債総額200億円以上⁠の株式会社です。

では多くの中小企業は無関係かというと、そう言い切れません。ハンドブックのQ5は、それ以外の会社でも、決定しないことが善管注意義務や忠実義務の違反となる場合があると説明しています。事業継続への影響が看過できない状況では、サイバーセキュリティのリスクも含まれ得るという考え方です。

一方で、社長に過大な水準を求めているわけでもありません。同じQ5は、次のように説明しています。

• どんな体制にすべきかは一義的に決まらない
• 事業の規模や特性に応じ、必要性、効果、コストなどを勘案して各組織が決める
• 取締役会などは細目まで決める必要はなく、基本方針を決めればよい

ハンドブックが紹介する最高裁の平成21年7月9日の判決も、同じ方向の考え方を示しています。これは大会社の架空売上の事案でサイバー攻撃の話ではありませんが、通常想定される不正を防げる程度の体制を求めつつ、具体的な水準は事業内容や規模などで判断するとしました。

「適切な体制」⁠は製造業ならどう考える？

法律に「何人の会社ならここまで」という線はありません。目安になるのは公的なガイドラインで、ハンドブックのQ6も、対策水準を検討する際の参考になると書いています。

たとえば、客先の図面を預かって加工する従業員50人⁠の会社の場合を考えます。社長が決めておきたいのは次のような点です。

• 守るものの順番：客先の図面、受注データ、生産計画のどれを優先するか
• 担当：総務の兼任でも、誰が担当で、誰が社長へ報告するか
• 外との約束：客先と結んだ秘密保持契約が、図面の扱いに何を求めているか
• 止まったときの判断：工場が止まったら、誰が客先へ連絡し、誰が費用を決めるか
• 確かめ方：更新やバックアップが本当に動いているかを、年に何回見るか

細かい設定は担当者や外部に任せて構いません。任せてよいのは作業で、方針を決めて確かめる仕事は社長に残ります。

被害の大きさを考える材料として、警察庁の令和8年上半期の資料⁠があります。ランサムウェアの被害報告は半期で123件⁠と過去最多でした。被害企業は中小企業が約6割⁠、製造業が約3割⁠を占めています。アンケートでは、復旧に総額1,000万円以上かかった組織が全体の6割でした。

責任に備えて今日何を残す？

大事なのは、後から説明できる形にすることです。残すものは多くありません。

1. 基本方針：IPAのガイドラインの付録に、情報セキュリティ基本方針のサンプルがあります
2. 今の状態：付録の「5分⁠でできる！情報セキュリティ自社診断⁠」⁠の結果と日付
3. 判断の記録：やると決めたこと、今はやらないと決めたことと、その理由
4. 確かめた記録：年に1回でも、担当者から報告を受けた日と内容

「今はやらない」⁠の記録も役に立ちます。費用や規模を理由に優先順位を付けること自体は、ハンドブックの考え方とも矛盾しません。

文書と記録を回す道具を探すならISMS取得支援ツールの比較、外部の目を入れるならセキュリティコンサルティングの比較があります。金銭的な備えとしてはサイバー保険の比較で補償の範囲を見比べられますが、保険に入れば体制を決める責任が無くなるわけではありません。

守る情報の順番は、情報セキュリティの3要素を社内の例で考える記事⁠の方法で決められます。取引先を装うメールへの動きはEmotetの手口と感染時の動き⁠が参考になります。