「能動的サイバー防御」で組織は何に備えるべきか～2026年10月1日施行。セキュリティ責任者が押さえるべき論点と実務対応を解説～
2026年10月1日に施行される「サイバー対処能力強化法」および「整備法」、いわゆる「能動的サイバー防御法」。制度の全体像と組織が備えるべきポイントを解説します。
2025年5月に成立した「サイバー対処能力強化法」および「整備法」、いわゆる「能動的サイバー防御法」の施行期日が、政令によって2026年（令和8年）10月1日と正式に確定しました※。本法は、攻撃を受けてから対処する従来の「受動的防御」から、攻撃の兆候段階で先んじて対処する「能動的防御」へと、日本のサイバー安全保障を大きく転換させるものです。直接の規制対象は基幹インフラ事業者ですが、その影響はサプライチェーンを通じて幅広い企業に及びます。本稿では、制度の全体像と確定した施行スケジュール、そして企業が今から備えるべきポイントを解説します。
※正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律（令和七年法律第四十二号）」(強化法)および「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律（令和七年法律第四十三号）」(整備法)
能動的サイバー防御とは？ ～受動から能動への転換
能動的サイバー防御（Active Cyber Defense）とは、一言でいえば「攻撃を受けてから対応する」防御から、「攻撃の兆候段階で対処する」防御への転換を指す考え方です。日本では2022年12月に閣議決定された国家安全保障戦略で導入方針が明示され、2025年5月に関連法が成立、そして2026年秋に施行される運び※となりました。
※サイバー通信情報管理委員会の設置やインシデント報告の共通様式の先行運用（後述）などすでに実施されているものもある。
（関連記事）
能動的サイバー防御とは？日本でも必要性が高まる理由を解説
従来の「受動的防御（専守防衛型）」は、攻撃を受けてから検知・復旧に動き、通信情報の利用は限定的で、基本的に自社ネットワーク内で完結する閉じた防御が中心でした。これに対し、これからの「能動的防御（先制対処型）」では、攻撃前の兆候を能動的に探知・分析し、通信情報を選別的に利用し、必要に応じて攻撃インフラ※へのアクセス・無害化を行い、官民連携による情報共有を制度として組み込みます。両者の違いを整理したものが下図です。
※リモートアクセスツールに対する遠隔操作用サーバや窃取した情報の送信先サーバなど攻撃に使用されるIT機器やサービスを指す。
強化法① 官民連携の強化
基幹インフラ事業者による資産届出・インシデント報告、官民協議会の設置、脆弱性対応の強化を行います。民間事業者に最も直接的に関わる柱です。
強化法② 通信情報の利用
サイバー攻撃を検知するため、国が通信情報を利用します。恣意的な運用を避けるため、独立機関の承認を受けて取得する仕組みです。
整備法① アクセス・無害化
重大な攻撃のおそれがある場合に、警察・自衛隊が攻撃インフラへ限定的な措置を実施します。これも独立機関の承認を前提としています。
整備法② 組織・体制整備
国家サイバー統括室（NCO）、サイバー通信情報監理委員会、内閣サイバー官、内閣府特命担当大臣の設置など、推進体制を整えます。
このうち、民間の企業が実務として向き合うことになるのは、主に「強化法① 官民連携の強化」の部分です。通信情報の利用やアクセス・無害化は国の権限に関する事項ですが、資産の届出やインシデント報告、官民協議会への参加は、対象となる事業者に具体的な義務として課されます。
施行スケジュール ～2026年10月1日施行が確定
これまで施行時期は「2026年10月または11月ごろ」と見込まれていましたが、施行期日を定める政令（政令第46号）により、施行日が2026年（令和8年）10月1日と正式に確定しました。官民連携に関する部分がこの日から運用開始となります。経緯を時系列で整理すると、次のとおりです。
2025年10月にはインシデント報告の統一様式がすでに公開されており、制度開始に向けた準備は着実に進んでいます。施行まで残された時間は限られています。対象となる可能性のある企業は、確定した2026年10月1日という日付を起点に、逆算して準備を進める必要があります※。
※施行期日：重要電子計算機に対する不正な行為による被害の防止に関する法律の施行期日を定める政令（政令第四十六号）により、2026年10月1日と規定。
誰が対象になるのか？ ～基幹インフラ15分野258事業者
本制度が直接の規制対象とするのは、「特定社会基盤事業者」として指定された基幹インフラ事業者です。これは経済安全保障推進法に基づき、国民生活および経済活動の基盤となる「特定社会基盤役務」の安定的な提供を確保するため、国が指定しているものです。2026年7月1日時点で、15分野258事業者が対象となっています。
注目すべきは、この258社だけで話が完結しないという点です。基幹インフラ事業者が用いるシステムに関連する事業者や、電気通信事業者なども間接的に影響を受けると想定されます。さらに、医療分野を追加する改正法が2026年6月17日に公布されており（施行日は公布から1年6か月以内で政令で定める日）、対象範囲は今後拡大される見込みです。
自社が258社に含まれていなくても「無関係」とは限らない
基幹インフラ事業者と取引・システム連携がある場合、届出やインシデント報告の一環として、自社のセキュリティ対策状況の説明や、被害発生時の迅速な情報連携を求められる可能性があります。自社がサプライチェーンのどの位置にあるかを、いま一度確認しておくことが重要です。
（関連記事）
防衛省のサイバーセキュリティ調達基準の元となったNIST SP 800-171とは？～日本企業が取り組むべき対策を解説～
対応① 資産届出制度
基幹インフラ事業者が使用する電子計算機（プログラムを含む）のうち、サイバーセキュリティが害された場合に特定重要設備の機能停止・低下のおそれがあるものとして政令で定めるもの、すなわち「特定重要電子計算機」を政府へ届け出る制度です。導入時・変更時にも報告が必要となります。
● 製品名・型式：ハードウェア／ソフトウェアの製品名・型式などの特定情報
● 委託先情報：導入・運用・保守を委託する事業者の情報
● その他：その他主務省令で定める事項（詳細は政省令で順次明確化）
初回届出の期限は、2026年7月に公表された制度解説案において、施行時に導入済みの機器は2027年3月31日まで、施行後に新規導入する機器は原則導入日から4か月以内と示されています。委託先を含む資産情報を正確に把握できているかが、対応の前提となります。
対応② インシデント報告
サイバー攻撃の被害を受けた際に、国家サイバー統括室（NCO）が公開している統一様式で速やかに報告する義務です。2025年10月には「ランサムウェア事案共通様式」と「DDoS攻撃事案共通様式」がすでに公開されています。報告では「報告者の概要」「業務影響」「影響を受けたシステム」「攻撃技術情報」「今後の対応」を記載します。
これまで被害事業者は、所管官庁・個人情報保護委員会・警察へ、それぞれ個別の様式で報告・相談を行う必要がありました。今後はこれが共通様式へ統一され、報告負担の軽減が期待されます。報告義務は、公布日（2025年5月23日）から1年6か月を超えない範囲内で法令が定める日から開始され、報告義務違反には罰則が設けられています。
対応③ 官民協議会への参加
2026年秋を目途に設置される、守秘義務付きの情報共有の場です。現行のサイバーセキュリティ協議会を廃止し、強化・新設されます。参加対象は基幹インフラ事業者15分野258事業者、政府（NCO・所管省庁）、関係省庁（経済産業省・総務省・警察など）、および技術・法務の有識者・研究機関です。原則として協議会の求めに応じて資料を提出する義務があり、守秘義務違反には罰則が科されます。
| 対象 | 違反内容 | 罰則 |
| 官民協議会で得た 秘密の守秘義務 |
行政職員および協議会構成員等による、 秘密の不正な利用・漏えい行為 |
2年以下の拘禁刑 または100万円以下の罰金 |
| インシデント 報告義務 |
インシデント報告等を行わず、 是正命令を受けてもなお対応しない場合 |
200万円以下**の罰金 |
| インシデント報告等に関連し、 資料提出等を求められても対応しない場合 |
30万円以下**の罰金 |
表：本制度における主な罰則（内閣官房国家サイバー統括室の公開情報を元にトレンドマイクロにて作成）
罰則が科されるのは、報告そのものを怠った場合や是正命令に従わない場合であり、被害を受けたこと自体が罰せられるわけではありません。重要なのは、有事に「速やかに・正確に」報告できる体制を平時から整えておくことです。
企業が準備すべきこと
施行日が2026年10月1日と確定した今、企業のセキュリティ責任者が着手すべき準備は明確です。自社が直接の対象事業者であるか否かにかかわらず、次の観点で整理を進めることをお勧めします。
① 自社の立ち位置の確認
自社が258事業者に該当するか、あるいは該当事業者のサプライチェーン上にあるかを確認します。取引先から対策状況の説明や情報連携を求められる可能性を想定しておきます。
② 情報資産と委託先の棚卸し
資産届出に備え、使用する電子計算機・ソフトウェアと、その導入・運用・保守の委託先を正確に棚卸しします。委託先情報まで含めて可視化できているかがポイントです。
③ インシデント報告体制の整備
統一様式（ランサムウェア／DDoS）を前提に、有事に「速やかに・正確に」報告できる社内フローと責任分担を整備します。統一様式の項目に沿って、収集すべき情報を平時から定義しておきます。
④ 守秘義務を踏まえた情報管理
官民協議会での情報共有には守秘義務が伴います。共有情報の取扱いルールや、社内での情報管理体制を確認しておきます。
これらの多くは、NIST サイバーセキュリティフレームワーク（CSF）や各種業界ガイドラインに沿って対策を進めてきた組織であれば、その延長線上で対応できる内容です。新制度を「新たな負担」ととらえるのではなく、自組織のセキュリティ体制を点検・強化する好機として活用することが、結果的にビジネスの継続性と信頼の獲得につながります。
（関連記事）
総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」とは？～改訂ポイントを分かりやすく解説～
金融庁サイバーセキュリティガイドラインの要点は？～175項目はどのような項目か？
自工会（JAMA）・部工会（JAPIA）のサイバーセキュリティガイドラインの要点は？
まとめ
サイバー対処能力強化法・整備法は、2025年5月に成立し、2026年10月1日の施行が確定しました。これは、攻撃を受けてから対処する「受動的防御」から、兆候段階で先んじて対処する「能動的防御」へと、日本のサイバー安全保障を大きく転換させる節目です。制度は官民連携・通信情報利用・アクセス無害化・体制整備の4本柱で構成され、直接の対象は基幹インフラ約258事業者ですが、その影響はサプライチェーンを通じて広く民間企業に及びます。
残された準備期間は多くありません。通信の秘密との両立、セキュリティ人材の確保、国際協調といった運用上の論点は残るものの、企業に求められる実務対応の骨格はすでに見えています。自社の立ち位置を確認し、資産と委託先を棚卸しし、報告体制を整える——この機会を、自組織のサイバーレジリエンスを高める契機として前向きに活用していただければと思います。
（参考情報）
・内閣府「サイバー安全保障」
https://www.cao.go.jp/cybersecurity/index.html
・内閣官房「サイバー安全保障に関する取組」
https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html
・国家サイバー統括室「サイバー攻撃による被害発生時のインシデント報告様式の統一について」（2025/10/1）
https://www.cyber.go.jp/policy/group/cyber/yoshikiichigenka.html
・内閣官房「特定社会基盤事業者として指定された者」（2026/7/1）
https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_jigyousya.pdf
・要電子計算機に対する不正な行為による被害の防止に関する法律の施行期日を定める政令（政令第46号）
https://www.cao.go.jp/cybersecurity/pdf/sekoukijitsu.pdf
・e-Govパブリック・コメント「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説（案）」に関する意見の募集（2026/7/15）
https://public-comment.e-gov.go.jp/pcm/detail?CLASSNAME=PCMMSTDETAIL&Mode=0&id=095260710
執筆者
佐藤 健
トレンドマイクロ株式会社
セキュリティエバンジェリスト、シニア・スレット・リサーチャー
ソフトウェア開発を経て、2007年にトレンドマイクロに入社。不正プログラムの収集や解析、インシデントレスポンスや脅威リサーチによる顧客サポートを担当。現在はセキュリティエバンジェリストとして、サイバー空間の脅威について講義や講演を通じた啓発活動に取り組んでいる。
愛知県警察サイバー事案対策アドバイザー、近畿管区警察局サイバーセキュリティテクニカルアドバイザー
情報処理安全確保支援士、CISSP
