第1部 サイバー対処能力強化法の全体像

1. サイバー対処能力強化法とは

サイバー対処能力強化法は、重大なサイバー攻撃による被害を防止し、日本全体のサイバー対処能力を高めることを目的とした法律です。

正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号）で、2025年5月16日に成立し、同年5月23日に公布されました。あわせて、関連する法律を改正する整備法（令和7年法律第43号）も成立しています。一般には「能動的サイバー防御法」とも呼ばれます。

ここでいう「重要電子計算機」とは、社会の基盤を支えるシステムに用いられるコンピューターを広く指す概念です。従来の情報セキュリティ関連の法制度が、個人情報の保護や不正アクセスの禁止といった個別のテーマを扱ってきたのに対し、本法は国全体でサイバー攻撃に対処する能力そのものを底上げすることを狙いとしている点に特徴があります。背景には、政府機関や企業を狙った情報窃取だけでなく、電力・通信・交通といった重要インフラを停止させ、社会機能そのものを麻痺させかねない高度なサイバー攻撃への懸念があります。

2. なぜサイバー対処能力強化法が制定されたのか

近年のサイバー攻撃は、単なる情報漏えいにとどまらず、社会インフラや企業活動そのものを停止させるリスクへと発展しています。ランサムウェアによる基幹システムの停止、供給網を経由した侵入、重要インフラへの執拗な攻撃など、その手口は年々巧妙化・組織化しています。

特に、国家の関与が疑われる高度なサイバー攻撃への対応では、個々の企業が自社のネットワークを守るだけでは限界があります。攻撃の全体像を把握し、被害の兆候を早期にとらえるには、政府と民間企業が情報を共有しながら、攻撃を面的に把握・対処する仕組みが必要とされてきました。

こうした背景から、政府はサイバー安全保障分野の対応能力を強化し、欧米主要国と同等以上の水準を目指す方針を示しています。すでにこうした国々では、政府が主体的に脅威情報を収集・分析し、攻撃元に働きかける法制度が整備されており、日本でも国際標準に見合う枠組みを整えることが課題となっていました。実際、国内でも重要インフラや大企業を標的としたランサムウェア被害、業務停止に至るシステム障害などが相次いで報じられ、一企業の問題にとどまらず社会全体のリスクとして受け止められるようになっています。サイバー対処能力強化法は、こうした課題に応えるための制度的な基盤にあたります。

3. 段階的な施行スケジュール

サイバー対処能力強化法は、一度にすべてが施行されるのではなく、段階的に運用が開始される点に注意が必要です。届出・報告や協議会など、企業に関わりの深い制度は公布から1年6か月以内に施行することが定められています。

本則の施行日は、政府が2026年3月に閣議決定・公布した「施行期日を定める政令」により、2026年10月1日と正式に確定しています。届出・報告や協議会など、企業実務に直結する制度がこの日から動き出します。同日には整備法も施行され、これにより後述する能動的サイバー防御の運用が可能となります。

一方で、通信情報の取得・取扱いに関わる規定（第3〜7章）については、より慎重な運用が求められることから、施行日がまだ政令で定められていません。公布から2年6か月以内（2027年11月22日まで）に施行されることになっており、制度は数年をかけて段階的に本格化していきます。

なお、実務面では準備期間も設けられています。施行時点で現に導入されている特定重要電子計算機の初回届出期限は、施行から6か月後の2027年4月1日とされています。対象となる企業にとっては、この期日までに自社システムの棚卸しと届出体制の整備を終えることが、直近の具体的な課題となります。

4. 法律の主なポイント

サイバー対処能力強化法では、大きく以下の取り組みが進められます。

• 政府と民間企業の情報共有・連携の強化
• 特別社会基盤事業者等による重要なシステムの届出
• サイバー攻撃によるインシデント発生時の報告
• 通信情報を活用したサイバー攻撃の分析
• 攻撃元となるシステムへのアクセス・無害化
• サイバーセキュリティ対策を担う政府組織・体制の強化

これらは大きく、「官民連携の強化」と「能動的サイバー防御」という2つの方向性に整理できます。前者は、企業から政府への報告・届出、そして政府から企業への脅威情報の提供という双方向の情報共有を制度として定着させるものです。後者は、政府が通信情報を分析して攻撃の兆候を早期にとらえ、必要に応じて攻撃元に働きかける、より積極的な防御の仕組みを指します。

重要なのは、サイバー対処能力強化法が、企業に新しいセキュリティ製品の導入を一律に義務付ける法律ではないという点です。あくまで、国・重要インフラ事業者・通信事業者などが連携し、サイバー攻撃を把握・防止するための「仕組み」を整備することが、この法律の核心にあります。

5. 「能動的サイバー防御」とは

サイバー対処能力強化法に関連してよく使われる言葉が「能動的サイバー防御（アクティブ・サイバー・ディフェンス）」です。

従来のセキュリティ対策は、ファイアウォールやアンチウイルスで自社ネットワークへの侵入を防いだり、侵入後の不審な挙動を検知したりと、自社の境界の内側で守ることが中心でした。これは受け身の防御であり、攻撃者が主導権を握りやすいという弱点があります。

一方、能動的サイバー防御では、政府が通信情報などを分析してサイバー攻撃の兆候や攻撃元を把握し、被害が広がる前に先んじて対処することを目指します。必要な場合には、警察や防衛省・自衛隊などが連携して、攻撃に使用されているサーバーなどのシステムへアクセスし、その機能を無害化する措置を講じます。本則と同時に施行される整備法により、警察官職務執行法や自衛隊法などが改正され、2026年10月1日以降、こうした措置を実施するための法的根拠が整います。自衛隊法には、内閣総理大臣の命により自衛隊が「通信防護措置」を実施する規定も設けられます。

ただし、これはあくまで政府側が実施する枠組みです。一般企業が自ら攻撃元にアクセスして無害化を行う、といった意味ではありません。企業に期待されるのは、自社で検知したインシデントの情報を適切に共有し、政府から提供される脅威情報を自社の防御に活かすという、官民連携の一端を担うことです。

6. 誰が直接の対象になるのか

届出・報告の直接的な義務は、「特別社会基盤事業者」を中心とした仕組みです。これは、経済安全保障推進法で指定された特定社会基盤事業者のうち、機能が停止すると社会に深刻な影響を及ぼす重要なシステム（特定重要電子計算機）を使用する事業者を指します。直接の対象となる特定社会基盤事業者は、15分野で約260者^※規模とされています。

対象となるのは、国民生活や経済活動の根幹を担う次の15分野です。

電気／ガス／石油／水道／鉄道／貨物自動車運送／外航貨物／港湾運送／航空／空港／電気通信／放送／郵便／金融／クレジットカード

これらの事業者には、主に次の対応が求められます。

• 届出：特定重要電子計算機を導入した際に、その製品名・製造者名等を事業所管大臣に届け出る（導入・変更から4か月以内）。届出を受けた事業所管大臣は、その内容を内閣総理大臣に通知します。
• 報告：特定侵害事象（マルウェアの実行、不正アクセス、業務妨害など）やその原因となり得る事象を認知した際に、事業所管大臣と内閣総理大臣へ報告する。認知後、速報を速やかに、詳報を30日以内に提出します。

ここで対象となる「特定重要電子計算機」は、発電設備や勘定系システムそのものだけを指すわけではありません。制御・基幹システムに加えて、インターネットとの接続口となる機器（ファイアウォールやVPN装置など）、認証を担うサーバー、重要データを保存する機器など、多層防御の観点から広い範囲の機器が対象としてとらえられています。つまり、攻撃者が最初に狙う「入口」まで含めて把握・管理することが求められているといえます。

これらの届出・報告義務には罰則も定められており、是正命令に従わない場合などには過料・罰金の対象となり得ます。また、能動的サイバー防御の基盤として、大手の電気通信事業者には脅威情報の把握に関する協力が求められます。一方で、専ら特定の事業者のために設計された機器や、親会社・子会社間で共同利用する場合や、広く一般に普及している汎用品として指定されたものは届出対象から除かれています。

運用面では、より実務に即した仕組みも想定されています。たとえば届出については、4か月以内の期限内で定期的な棚卸しにより対応することが考えられます。クラウドサービスを利用している場合は、ハードウェアではなくサービス名・提供者名を届け出ることになります。報告についても、SaaSを利用しているケースでは、クラウド事業者から通知があった時点を「認知」とみなすなど、実態に合わせた考え方が示されています。届出・報告の窓口は、政府が整備する官民連携基盤（情報共有システム）に一元化していく方針で、施行に合わせて先行運用が始まり、順次機能が拡充されていく予定です。

いずれにせよ、対象となる企業では、自社が利用する重要なシステムの構成と、そこで発生するサイバー攻撃の状況を適切に把握できる管理体制が、これまで以上に重要になります。

※「者」は法人・団体を含む「事業者」の数え方で、大半は株式会社ですが、自治体の公営企業や特殊法人なども含みます。この数（経済安全保障推進法で指定された特定社会基盤事業者）は令和8年7月1日時点で258者です。サイバー対処能力強化法の直接の義務対象は、このうち特定重要電子計算機を使用する者（特別社会基盤事業者）となります。

第2部 企業が実務として備えること

7. 直接の対象でない企業にも影響は及ぶ

届出・報告などの制度は特別社会基盤事業者を中心とした仕組みであり、すべての中小企業や一般企業に同じ義務が一律に課されるわけではありません。「自社はインフラ事業者ではないから関係ない」と考えたくなるかもしれません。しかし、影響は義務の有無だけでは測れません。次の図のように、直接の義務対象を中心に、影響は同心円状に広がっていきます。

図：対象と影響範囲マップ

政府は重要インフラだけでなく、それらにつながるサプライチェーンを含めたセキュリティ水準の向上を進める方針を明確に示しています。実際、官民の情報共有の枠組みである「情報共有及び対策に関する協議会」では、基幹インフラのサプライチェーンなど社会的影響の大きい事業者を準会員的に位置づける「協議会フレンズ（仮称）」という枠組みが構想されています。これは、直接の義務対象ではない事業者に対しても、国からプッシュ型で注意喚起やガイドラインを提供し、広くセキュリティ対策を促そうとするものです。

加えて、基幹インフラ事業者にシステム開発・保守やサービスを提供する企業では、取引先からセキュリティ対策状況の確認や調査協力を求められる場面が増えると見込まれます。攻撃者は、堅牢な本体を直接狙うのではなく、対策の手薄な取引先を踏み台にして侵入する手口を多用するためです。そのため、対策が不十分な企業は、取引の継続そのものが難しくなるリスクも指摘されています。

自社が直接の義務対象かどうかにかかわらず、サプライチェーンの一員として求められるセキュリティ水準を意識し、日頃から自社のIT環境を把握しておくことが望まれます。

8. まず着手すべきは「自社IT環境の把握」

サイバー攻撃への対応を考えるうえで、最初の一歩となるのが「自社で何が使われているかを正確に把握する」ことです。守るべき対象が見えていなければ、適切な対策も、いざというときの対応もできません。どのようなPC・スマートフォン・サーバー・アカウントが社内で利用されているかを棚卸しし、常に最新の状態で把握できるようにしておくことが基本となります。

たとえばセキュリティインシデントが発生した場合、次のような情報を即座に把握できなければ、影響範囲の確認や初動対応に大きく時間がかかります。

• 影響を受けたPCはどれか
• そのPCを誰が利用しているか
• OSは最新の状態になっているか（既知の脆弱性が放置されていないか）
• どの業務アプリがインストールされているか
• 紛失・盗難された端末はないか

こうした情報が整理されていないと、攻撃を受けた際に「どこまで被害が及んだのか」を切り分けるだけで数日を要し、その間に被害が拡大しかねません。逆に、端末と利用者、OSやアプリの状態が一元的に把握できていれば、影響範囲の特定と封じ込めを迅速に進められます。

これはサイバー対処能力強化法への直接的な対応に限った話ではありません。日常的なサイバーセキュリティ対策として、自社のIT資産を継続的に把握できる管理体制を整えておくことが、あらゆる備えの土台になります。届出・報告が求められる事業者にとっても、自社システムの棚卸しは、そのまま届出の準備作業に直結します。

9. 実務チェックリスト（最短で今日できる）

「何から着手すればよいか」を具体化するために、今日からでも始められる項目を3つの観点で整理しました。まずは現状を書き出すことから始めれば十分です。

① IT資産の棚卸し

• 端末（PC／スマートフォン／タブレット）の台数と機種を洗い出す
• 各端末のOSとバージョン、主要な業務アプリを記録する
• 端末ごとの管理者・利用者・設置場所（所在）を明確にする

② 「インシデント時に即答すべき質問」の整備

• 影響を受けた端末をどう特定するか（識別の手段があるか）
• その端末の利用者は誰か、すぐに連絡が取れるか
• 端末をネットワークから隔離できるか、その手順は決まっているか
• ログや証跡はどこに、どの範囲で残っているか

③ 端末管理の運用設計

• 新規配布・返却・退職時の端末の受け渡しと初期化のルール
• OSやアプリのパッチ適用の基準（誰が、いつ、どこまで）
• セキュリティポリシーから逸脱した端末を見つけた際の是正フロー

これらを紙やExcelで一度書き出すことには意味があります。ただし、台数が増え、状態が日々変わる環境で、この一覧を常に最新に保ち続けるのは、手作業では現実的ではありません。ここに、後述する仕組みによる管理の必要性があります。

【付録のご案内】 上記チェックリストを、担当・期限を書き込める記入式にして本書末尾の付録に収録しています。あわせて、端末ごとのOS・利用者・所在などを1行ずつ記録できる「IT資産 棚卸しシート」も付けていますので、棚卸しの第一歩にご活用ください。

10. MDM・IT資産管理が果たす役割

こうしたIT環境の把握を、人手や表計算ソフトだけで継続するのは容易ではありません。ここで基盤となるのが、MDM（モバイルデバイス管理）やIT資産管理の仕組みです。

MDMやIT資産管理製品を導入することで、サイバー対処能力強化法そのものへの対応が完了するわけではありません。届出や報告といった法対応は、あくまで対象事業者が自ら行うべき手続きです。一方で、その前提となる「端末やシステムの状態を正確に把握し、適切なセキュリティ状態を維持する」という部分では、MDM・IT資産管理が大きな役割を果たします。

MDM・IT資産管理では、次のような対策が可能です。

こうした情報を日常的に把握しておくことで、平時にはOSの更新漏れや不審なアプリの利用といったリスクの芽を早期に発見でき、有事にはインシデント発生時の影響範囲の確認や初動対応を格段に行いやすくなります。属人的な管理から仕組みによる管理へ移行することが、継続的なセキュリティ水準の維持につながります。

11. OPTiM Bizで、セキュリティ対策の基盤となる端末を管理する

OPTiM Bizでは、企業で利用するWindows PCやスマートフォン、タブレットなどをまとめて管理できます。端末情報やOS情報の確認、セキュリティポリシーの設定、アプリ管理、紛失時のリモートロック・ワイプなどにより、社用端末のセキュリティ管理を効率化できます。

特にPCやスマートフォンの台数が増えると、Excelなどによる台帳管理や従業員任せの設定では、端末の状態を継続的に把握することが難しくなります。台帳の更新が追いつかず、いつの間にか実態とずれてしまうことも珍しくありません。MDM・IT資産管理を活用すれば、端末の情報を自動的に収集し、常に最新の状態で一元的に把握できます。

サイバー対処能力強化法はMDM製品の導入を義務付けるものではありません。しかし、サイバー攻撃への対応力を高めるための基本的な取り組みとして、「どの端末を、誰が、どのような状態で利用しているのか」を把握・管理することには、MDM・IT資産管理を活用できる余地が大いにあります。届出・報告が求められる事業者はもちろん、そのサプライチェーンに連なる企業にとっても、自社のIT資産を可視化しておくことは、これからのセキュリティ対策の出発点となります。

【付録のご案内】 自社の端末管理がどこまで仕組み化できているかは、付録の「実務チェックリスト」と「IT資産 棚卸しシート」で確認できます。棚卸しシートには端末ごとのMDM登録状況を記録する欄もあり、管理が行き届いていない端末の洗い出しに使えます。

12. まとめ

サイバー対処能力強化法は、重大なサイバー攻撃による被害を防止するため、政府と民間企業の連携、通信情報の活用、アクセス・無害化などの仕組みを整備する法律です。届出・報告に関する主要な規定は2026年10月1日に施行され、特別社会基盤事業者には重要なシステムの届出やインシデント報告といった新たな対応が求められます。制度は段階的に本格化していくため、自社に関係する規定がどの段階にあるのかを確認しておくことが大切です。

一方、法律の直接的な対象ではない企業についても、重要インフラにつながるサプライチェーン全体でセキュリティ水準を高めていく動きには注意が必要です。「協議会フレンズ（仮称）」のような枠組みや、取引先からの対策状況の確認を通じて、間接的な影響は着実に広がっていくと考えられます。

サイバー攻撃への対応では、侵入防止などの対策だけでなく、自社で利用されているPCやスマートフォンを把握し、適切なセキュリティ状態を維持することが基本となります。OPTiM BizなどのMDM・IT資産管理を活用し、端末情報の把握・セキュリティ設定・アプリ管理・紛失対策などを継続的に行うことは、企業のサイバーセキュリティ対策の基盤を整える一つの方法です。まずは自社のIT環境を可視化することから、着実に備えを進めていきましょう。

※ 本稿の制度内容・日付は、本文末の参考文献（政府・省庁の公表資料＝一次情報）に基づきます。個別事案における適用の可否や具体的な判断は、所管省庁の公表情報および専門家の見解を参照してください。

参考文献
本資料は、以下の政府・省庁の公表資料等に基づいて作成しています（いずれも最終アクセス日：2026年9月10日）。

・e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号） https://laws.e-gov.go.jp/law/507AC0000000042

・内閣府「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行期日を定める政令」（政令第46号） https://www.cao.go.jp/cybersecurity/pdf/sekoukijitsu.pdf

・内閣府「サイバー安全保障（サイバー対処能力強化法）」 https://www.cao.go.jp/cybersecurity/index.html

・内閣府政策統括官（サイバー安全保障担当）「サイバー対処能力強化法（官民連携）の施行に向けた考え方の案」（令和7年12月） https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

・国家サイバー統括室「サイバーセキュリティ戦略」（令和7年12月23日閣議決定） https://www.cyber.go.jp/pdf/policy/kihon-s/cs_strategy2025.pdf

・内閣府「基幹インフラ役務の安定的な提供の確保に関する制度」 https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html

・内閣府「経済安全保障推進法における特定社会基盤役務の安定的な提供の確保に関する制度の解説（説明会資料）」 https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_setsumeikai.pdf

・内閣府「特定社会基盤事業者として指定された者（令和8年7月1日現在）」 https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_jigyousya.pdf

▶ OPTiM Biz 資料ダウンロードはこちら

▶ OPTiM Biz お問い合わせはこちら