サイバー対処能力強化法（能動的サイバー防御）

能動的サイバー防御のしくみ

制度の全体像

サイバー攻撃から国民生活・経済活動と国家・国民の安全を守るため、「能動的サイバー防御」を実施する法律が成立しました（令和7年法律第42号。正式名称「重要電子計算機に対する不正な行為による被害の防止に関する法律」）。

主な内容

重要インフラ分野を含め、民間事業者等がサイバー攻撃を受けた場合等の政府への情報共有、政府から民間事業者等への対処調整・支援などの取組が強化されます。

誰に・どう影響するか

重要インフラ事業者を中心とした事業者の情報システム部門・法務に影響します。

注意点と実務ポイント

施行日は公布（2025年5月23日）から1年6月以内で政令で定める日です。自社が重要インフラ・関連事業者に該当するかの確認、施行日・対象範囲の継続確認、インシデント対応・情報共有の体制点検を進めましょう。最新情報は内閣官房・NISCでご確認ください。

施行は段階的に行われます

この法律は一度にすべてが施行されるのではなく、段階的に施行されます。公式資料によると、本則は一部を除き「公布の日から起算して1年6月を超えない範囲内において政令で定める日」から施行されます。ただし、通信情報の利用を監督する『サイバー通信情報監理委員会』の設置は「1年を超えない範囲内」、通信情報の利用に関する規定は一部を除き「2年6月を超えない範囲内」と、より長い準備期間が設けられています。整備法（関係法律の整備等に関する法律）は原則として強化法の施行日に合わせて施行されます。自社が対象となる事業者は、どの規定がいつ動き出すかを区別して施行政令の公表を確認することが重要です。

基幹インフラ事業者に課される届出義務とインシデント報告義務

この法律で実務上の負担が大きいのは、対象となる基幹インフラ事業者に新たに課される2つの義務です。1つ目は『資産届出』で、特定重要電子計算機（そのサイバーセキュリティが害された場合に特定重要設備の機能が停止・低下するおそれがある一定の電子計算機）を導入したときは、その製品名等を事業所管大臣に届け出る必要があります。2つ目は『インシデント報告』で、不正アクセス行為等により特定重要電子計算機のサイバーセキュリティが害されたこと、またはその原因となり得る一定の事象を認知したときは、その旨と一定の事項を事業所管大臣および内閣総理大臣に報告しなければなりません。届け出・報告された情報は、事業所管大臣を通じて内閣総理大臣にも共有されます。

義務違反には罰則があります

届出・報告の義務には罰則が定められています。公式資料によると、基幹インフラ事業者がインシデント報告等を行わず、是正命令を受けてもなお対応しない場合は『200万円以下の罰金』、インシデント報告等に関連して資料提出等を求められても対応しない場合は『30万円以下の罰金』が科され得ます。また、行政職員や協議会の構成員等が職務上知り得た秘密を不正に利用・漏えいした場合は『2年以下の拘禁刑又は100万円以下の罰金』の対象となります。情報共有の枠組みに参加する事業者側にも、共有された情報の適正な管理が求められる点に注意が必要です。