2026年10月1日、能動的サイバー防御に関する法律（サイバー対処能力強化法・整備法）の主要な規定が施行されました。ニュースや取引先からの問い合わせで「能動的サイバー防御」という言葉を目にして、自社に何が求められるのか気になっている方も多いのではないでしょうか。
この制度でまず押さえるべきは、義務を負うのが電力・金融・鉄道などの基幹インフラを担う一部の事業者に限られる点です。一方で、対象ではない一般企業も、取引先やサプライチェーンの一員として、あるいは攻撃の踏み台にされないために備えておくべきことがあります。
本記事では、自社が制度の対象かどうかの見分け方を起点に、対象企業に課される3つの義務と期限・罰則、対象でない企業にも及ぶ影響、そして今から進めておきたい備えまでを整理します。法対応を支える具体的な仕組みもあわせて紹介しますので、自社の対応を判断する材料としてご活用ください。
目次
一括ダウンロードする
能動的サイバー防御とは？受動的な防御との違い
能動的サイバー防御とは、重大なサイバー攻撃のおそれがある段階で、その被害を未然に防いだり拡大を抑えたりするために国が講じる取り組みの総称です。もとは2022年（令和4年）12月に閣議決定された国家安全保障戦略で導入が示された政策上の概念で、2025年に成立した法律によって具体的な仕組みが整えられました。
従来のファイアウォールやウイルス対策のように攻撃を受けてから守る「受動的」な対策に対し、攻撃の兆候を早い段階で捉えて先回りする点が特徴です。
武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するために能動的サイバー防御を導入する。
出典：国家安全保障戦略（令和4年12月16日閣議決定）｜内閣官房 国家サイバー統括室・内閣府「サイバー対処能力強化法及び同整備法について」所収
ここで注意したいのは、能動的サイバー防御そのものは国が主体となって進める枠組みであり、すべての企業に同じ義務が課されるわけではないという点です。では、どの企業が法律上の義務を負うのでしょうか。次章で自社が対象かどうかの見分け方を確認します。
自社は対象になるのか？特定社会基盤事業者かどうかの判定
まず確認したいのは、自社がこの制度で義務を負う立場なのかどうかです。結論から言うと、届出やインシデント報告などの義務を直接負うのは、経済安全保障推進法にもとづいて国から指定された「特定社会基盤事業者」です。それ以外の一般企業に、法律上の直接的な義務はありません。
この特定社会基盤事業者は、能動的サイバー防御の関連法では「特別社会基盤事業者」、一般には「基幹インフラ事業者」とも呼ばれますが、ほぼ同じ事業者を指します。本記事では、国から指定された事業者をまとめて指す場合は特定社会基盤事業者と呼びます。
特定社会基盤事業者とは（15分野258者）
特定社会基盤事業者とは、電気・ガス・金融・鉄道・電気通信など、国民生活や経済活動の基盤となる役務を提供し、その機能が停止すると広範な影響が及ぶ事業者です。経済安全保障推進法（経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律／令和4年法律第43号）にもとづき国が指定します。政府資料によると、2026年7月1日時点で15分野・計258者が指定されています。
基幹インフラ制度の対象事業（特定社会基盤事業）（計２５８者）
出典：サイバー対処能力強化法及び同整備法について｜内閣官房 国家サイバー統括室・内閣府（内閣府「特定社会基盤事業者として指定した者（令和8年7月1日時点）」より作成）
①電気（４８者）②ガス（２５者）③石油（１８者）④水道（２３者）⑤鉄道（５者）⑥貨物自動車運送（５者）⑦外航海運（３者）⑧港湾（３２者）⑨航空（２者）⑩空港（６者）⑪電気通信（１０者）⑫放送（６者）⑬郵便（１者）⑭金融（６５者）⑮クレジットカード（９者）
指定は各分野の事業規模などの基準にもとづいて行われ、指定された事業者には国から通知があります。自社が指定を受けているかどうかは、所管の省庁からの通知の有無で確認できます。この258者という数は2026年7月1日時点のもので、今後の指定によって変動します。
自社がどの分野に該当するかの見方
上記15分野のいずれかに該当する事業を営んでいても、すべての企業が指定されるわけではありません。各分野の中で、事業の規模や代替性などの基準に照らして国が個別に指定します。
たとえば金融分野では65者、港湾分野では32者、電気分野では48者が指定されており、同じ業種でも規模などによって対象と対象外に分かれます。自社が該当分野で事業を営んでおり指定の通知を受けていない場合、現時点では直接の義務の対象ではないと考えられます。
258者に含まれなくても「無関係」ではない
自社が指定を受けていない場合でも、能動的サイバー防御と無関係とは言えません。指定事業者の取引先・委託先として情報提供を求められたり、製品やサービスの供給者として対応を期待されたり、自社のシステムが攻撃の踏み台として悪用されたりする可能性があるためです。これらの影響については「対象でない企業にも及ぶ3つの影響と備える理由」で詳しく解説します。
出典・参考資料（2件）
対象企業に求められる3つの義務・期限と違反時の罰則
特定社会基盤事業者に指定された企業は、能動的サイバー防御の関連法で具体的な対応を求められます（指定された事業者は、この関連法では「特別社会基盤事業者」と呼ばれます）。求められる対応は大きく3つで、このうち特定重要電子計算機の届出とインシデント報告は法律上の義務、官民協議会への参加は同意した事業者が加わる任意の枠組みです。義務には期限が決められており、違反には罰則もあります。
届出・報告の期限を含む制度全体のスケジュールは、後述の「いつ何をするか（実務タイムライン）」で時期ごとに整理しています。
① 特定重要電子計算機の届出（新設は4か月以内・既設は2027年3月31日まで）
1つ目は、重要なシステムに使う機器（特定重要電子計算機）の情報を国に届け出る義務です。特定重要電子計算機とは、基幹インフラ事業の維持に重要なシステムの中核となる機器で、その具体的な範囲は政令で定められています。
サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律／令和7年法律第42号）第4条にもとづき、対象の機器を新たに導入した場合は導入した日から4か月以内に届け出ます。
施行日の2026年10月1日時点ですでに導入している機器については、施行から6か月以内（2027年3月31日まで）に届け出る必要があります。
届出は所定の様式で事業所管大臣に行い、同大臣から内閣総理大臣へ通知される仕組みです。
出典・参考資料（1件）
- 出典：特別社会基盤事業者による特定重要電子計算機の届出及び特定侵害事象等の報告に関する解説（令和8年10月）｜内閣官房 国家サイバー統括室（リンク）
② インシデント報告（速報は3〜5日以内・詳報は30日以内）
2つ目は、サイバー攻撃による被害（特定侵害事象）が発生した際の報告義務です。同法第5条にもとづき、報告は被害の発生を速やかに知らせる「速報」と、攻撃や被害の全容を整理した「詳報」の2回に分けて行います。
サイバーインシデントの報告義務は、事象の発生の報告を速やかに行う「速報」と、サイバー攻撃や被害の全容を整理した「詳報」の２回の報告を求めている。ランサムウェア事案やその他サイバー攻撃事案は、認知した日から３～５日以内に報告を行う。（中略）「詳報」の報告は、認知した日から 30 日以内の報告を要する。
出典：特別社会基盤事業者による特定重要電子計算機の届出及び特定侵害事象等の報告に関する解説｜内閣官房 国家サイバー統括室
ランサムウェア事案やその他のサイバー攻撃事案では、被害を認知した日から3〜5日以内に速報を行い、認知した日から30日以内に詳報を提出します。DDoS攻撃の事案については、認知後できるだけ速やかに報告します。報告は所管大臣および内閣総理大臣が定める様式で行います。
③ 官民協議会への参加
3つ目は、官民が連携して被害防止にあたる協議会への参加です。同法第45条にもとづき、内閣総理大臣が被害防止に資する情報を共有するための協議会を設置します。構成員はあらかじめ同意を得た者に限られるため参加は任意ですが、協議会で共有される情報には守秘義務が伴います。
出典・参考資料（1件）
- 出典：サイバー対処能力強化法及び同整備法について（令和8年10月）｜内閣官房 国家サイバー統括室・内閣府（リンク）
違反した場合の罰則
これらの義務に違反した場合の罰則は、サイバー対処能力強化法の第12章に定められています。違反の内容によって罰則が分かれており、政府資料では次のように整理されています。
・行政職員及び協議会構成員等による秘密の不正な利用・漏えいの行為 ２年以下の拘禁刑又は100万円以下の罰金（第82条）
出典：サイバー対処能力強化法及び同整備法について（罰則の整備・強化法第12章）｜内閣官房 国家サイバー統括室・内閣府
・基幹インフラ事業者がインシデント報告等を行わず、是正命令を受けてもなお対応しない場合 200万円以下の罰金（第83条）
・基幹インフラ事業者がインシデント報告等に関連し、資料提出等を求められても対応しない場合 30万円以下の罰金（第84条）
守秘義務違反は2年以下の拘禁刑または100万円以下の罰金（第82条）です。インシデント報告の義務違反については、報告しなかったことだけでただちに罰金が科されるのではなく、是正命令を受けてもなお対応しない場合に200万円以下の罰金（第83条）となります。資料提出の求めに応じない場合は30万円以下の罰金（第84条）です。
出典・参考資料（2件）
対象でない企業にも及ぶ3つの影響と備える理由
特定社会基盤事業者に指定されていない一般企業にも、直接の義務はなくても能動的サイバー防御の影響が及ぶ可能性があります。次の3つの経路があり、「対象外だから無関係」とは言い切れません。
① 取引先・委託先として情報提供を求められる
指定事業者は、インシデント報告や自社システムの把握のために、システムの運用を委託している先や取引先に協力を求めることがあります。指定事業者と取引がある企業は、攻撃を受けた際の連絡や、システム構成に関する情報提供を求められる場面が想定されます。
② 製品・サービスの供給者として対応を求められる
指定事業者にシステムや機器、ソフトウェアを提供している企業は、供給する製品に脆弱性が見つかった際の対応や、セキュリティに関する説明を求められることがあります。サプライチェーン全体のセキュリティが重視される流れの中で、供給者側にも一定の対応力が期待されます。
こうしたサプライチェーン経由の攻撃が具体的にどのような手口で行われ、取引先まで含めてどこまで対策すべきかは、以下の記事で被害事例とともに整理しています。
③ 自社の機器が攻撃の踏み台に使われる
攻撃者は、守りの弱い企業のサーバーやパソコンをいったん乗っ取り、そこを経由して本来の標的を攻撃する「踏み台」という手口を使います。自社が直接の標的でなくても、セキュリティ対策が不十分だと攻撃の中継地点として悪用され、結果として重要インフラへの攻撃に加担してしまうおそれがあります。
これらの影響に備えるうえで有効なのが、取引先との契約やSLA（サービス品質の取り決め）の中で、インシデント発生時の連絡のタイミングや情報提供の範囲をあらかじめ定めておくことです。求められてから慌てて対応するのではなく、平時のうちに自社の立ち位置を把握し、必要な連絡体制や記録の仕組みを整えておくことが、取引の継続と信頼の維持につながります。
出典・参考資料（1件）
- 出典：サイバー対処能力強化法及び同整備法について（令和8年10月）｜内閣官房 国家サイバー統括室・内閣府（リンク）
根拠となる関連法（サイバー対処能力強化法・整備法）と施行スケジュール
これまで見てきた義務や影響は、2つの法律にもとづいています。自社の対応を検討する背景として、関連法の構成と、企業がいつ何をすればよいかの実務タイムラインを確認しておきましょう。
強化法と整備法の2本で構成される
能動的サイバー防御は、2本の法律で支えられています。1つはサイバー対処能力強化法（正式名称「重要電子計算機に対する不正な行為による被害の防止に関する法律」／令和7年法律第42号）で、届出・インシデント報告・官民協議会などの仕組みを定めています。
もう1つは整備法（令和7年法律第43号）で、警察官職務執行法や自衛隊法などの改正を通じて、攻撃元のサーバーへの侵入・無害化措置といった国の対処の枠組みを整えるものです。いずれも2025年5月16日に成立し、同年5月23日に公布されました。
3本柱の中身（企業の義務ではなく国の仕組み）
能動的サイバー防御は、大きく3つの取り組みで構成されます。1つ目は官民連携の強化で、ここに企業の届出・インシデント報告・官民協議会が含まれます。2つ目は通信情報の利用で、国がサイバー攻撃の分析のために一定の通信に関する情報を利用する仕組みです。3つ目はアクセス・無害化措置で、攻撃元のサーバーなどに国が侵入して攻撃を無力化する対処です。
このうち通信情報の利用とアクセス・無害化措置は、国が主体となって行う仕組みであり、企業に課される義務ではありません。これらの措置は、独立した第三者機関であるサイバー通信情報監理委員会のチェックのもとで運用されます。あわせて、サイバーセキュリティ政策を一元的に担う組織として、従来のNISC（内閣サイバーセキュリティセンター）を発展的に改組した国家サイバー統括室（NCO）が設置されました。
いつ何をするか（実務タイムライン）
施行は段階的に進みます。企業がいつ何をすればよいかを時期ごとに整理すると、次のとおりです。
| 時期 | 2025年5月16日 | 2026年10月1日 | 2027年3月31日まで | 機器の新規導入時 | インシデント発生時 | 2027年11月まで |
|---|---|---|---|---|---|---|
| 対象 | 国の制度 | 国の制度 | 特別社会基盤事業者 | 特別社会基盤事業者 | 特別社会基盤事業者 | 国の制度 |
| やること・起きること | 強化法・整備法が成立（同年5月23日に公布） | 官民連携の強化（強化法）とアクセス・無害化措置（整備法）が施行 | 施行時点で導入済みの特定重要電子計算機を届出（既設分） | 導入した日から4か月以内に届出（新設分） | 速報（ランサム等は認知から3〜5日以内）と詳報（認知から30日以内）を報告 | 通信情報の利用（強化法）が施行 |
※2026年11月時点の政府公表情報にもとづく。通信情報の利用は公布から2年6か月を超えない範囲で政令で定める日に施行。
出典・参考資料（2件）
企業が今から進めるべき4つの備え
対象・対象外を問わず、企業が今から進めておきたい備えは4つに整理できます。いずれも能動的サイバー防御への直接の対応にとどまらず、サイバー攻撃全般への備えとして役立ちます。
① 自社の立ち位置を確認する
まず、自社が特定社会基盤事業者として指定されているか、指定事業者の取引先・委託先・供給者に当たるかを確認しておきましょう。立ち位置によって求められる対応が変わるため、最初に整理しておくことが出発点になります。
② 情報資産と委託先を棚卸しする
自社が保有する情報資産や、重要なシステムがどこにあるか、どの業務を外部に委託しているかを棚卸ししておきましょう。守るべき対象と、攻撃の入り口になりうる委託先・取引先を把握しておくことで、優先して対策すべき箇所が見えてきます。
③ 報告に使える記録と社内体制を整える
インシデントが発生した際に、いつ・どの端末やネットワークで・何が起きたかを後から説明できるよう、通信や操作の記録を残す仕組みを整えておくことが有効です。社内のネットワークを流れる通信を記録しておくことや、端末上の不審な動きを検知・記録しておくことは、報告の裏づけとなる証跡の確保につながります。あわせて、誰が一次対応を担い、どこに連絡するかという社内の体制も決めておきます。
④ 被害を受けても業務を戻せる復旧体制をつくる
攻撃を完全に防ぎきることは難しいため、被害を受けた後に業務を速やかに戻せる体制も重要です。ランサムウェアで暗号化されたデータを元に戻せるようにしておくことや、侵害の痕跡を調べて被害範囲を特定できるようにしておくことが、事業の継続と再発防止に役立ちます。
これらの備えについて、何から着手すべきかを優先順位や費用の目安から考えたい場合は、以下の記事で中小企業向けに進め方を整理しています。あわせて参考にしてください。
一括ダウンロードする
法対応の備えを支えるソリューション
前章で挙げた備えのうち「記録」「検知・対応」「事後の診断」を具体的に支えるのが、ここで紹介するソリューションです。インシデント報告の裏づけとなる通信の記録、端末での攻撃の検知と対応、被害の有無を調べる事後診断という課題別に、代表的なサービスを取り上げます。
守る対象ごとにどんなタイプのソリューションがあるかを一覧で比較し、自社に合うものを広く探したい場合は、以下のまとめ記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
| サービス名 | Network Blackbox | Eye"247" Safety Zone | CoWorker 端末侵害診断サービス |
|---|---|---|---|
| 担当する備え | 通信の記録（インシデント報告・事後調査の証跡） | 端末の検知・対応（被害からの復旧） | 事後の侵害診断（すでに侵害・漏えいが起きていないかの調査） |
| 主な機能 | 通信をフルパケットで収集・保存 検知後に宛先・時系列・転送ファイルを遡及調査 MITRE ATT&CKベースの脅威ハンティング | EPPとEDRを単一製品に搭載 不審挙動の検知・ログ収集・調査 ランサムウェア監視とファイル自動バックアップ／リストア | 端末ログをAI「Blue Agent」＋専門家が事後解析 マルウェア・情報漏えい・内部不正の痕跡を調査 リスク優先度付きレポートと報告会 |
| 提供形態 | アプライアンス型（ミラーリング方式で導入） | 各PCにインストールするソフトウェア＋ブラウザ型の管理コンソール | 実行ファイルでログ収集し同社が解析するスポット／定期診断（1回あたり最大100台） |
| 向いている企業・場面 | エージェントを導入しにくい機器も含め、ネットワーク側に通信の記録を残したい企業 | 専任のセキュリティ担当者を置きにくい中堅・中小企業で、端末の検知・復旧体制を整えたい場合 | 脆弱性公表や退職者対応をきっかけに、侵害・情報持ち出しの有無を手早く確かめたい企業 |
| 料金 | 要問い合わせ | 要問い合わせ | 50万円/台（税別） 実績掲載を条件とするトライアル価格20万円/台。複数台は見積り |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackbox は、ネットワークを流れる通信をフルパケットで収集・保存し、脅威の可視化・分析・対応を行うNDR（Network Detection and Response）製品です。収集・検知・ハンティング・フォレンジック・対応の5つの機能を1つの製品に備え、ミラーリング方式で導入するためネットワークへの影響を抑えられます。
最大の特徴は、通信の原本を保存しておくことで、攻撃が疑われた際にパケット単位で過去にさかのぼって再分析できる点です。「いつ・誰が・どの通信で何をしたか」を後から追跡できるため、インシデント報告の裏づけとなる証跡の確保に向いています。エージェントを導入しにくい機器も含め、ネットワーク側から記録を残したい企業に適しています。
2. Eye”247″ Safety Zone（株式会社フーバーブレイン）
株式会社フーバーブレインが提供する Eye”247″ Safety Zone は、ウイルスなどを防ぐEPP（Endpoint Protection Platform）と、端末上の不審な挙動を検知・対応するEDR（Endpoint Detection and Response）を組み合わせたエンドポイントセキュリティソフトです。
Bitdefenderと共同開発したエンジンを採用し、アプリケーションの動きを常時監視する振る舞い検知で、未知の脅威にも対応します。
ランサムウェアの動作を監視してファイルを自動でバックアップし、被害時には直近の状態へ戻せる機能を備えている点も、復旧体制づくりに役立ちます。検知状況はブラウザベースの管理画面で一元的に確認でき、専任のセキュリティ担当者を置きにくい中堅・中小企業でも運用しやすい構成です。端末側で攻撃を検知・記録し、被害からの復旧まで備えたい企業に向いています。
3. CoWorker 端末侵害診断サービス（CoWorker株式会社）
CoWorker 端末侵害診断サービスは、対象のパソコンから専用ツールでログを集め、自社開発のAI「Blue Agent」とセキュリティ専門家が事後に解析する端末フォレンジック診断です。「すでに侵害や情報漏えいが起きていないか」を調べ、リスクの優先度を付けたレポートと報告会を提供します。Windows・Macに対応し、1回の依頼で最大100台まで一括で診断できます。
マルウェアの痕跡や認証情報の漏えいリスク、個人クラウドへのデータ同期、退職直前の大量ダウンロードなどを調査対象とし、速報は1週間以内、最終レポートは1か月以内という納期を公式に示しています。訴訟に備えた電子証拠の保全にも対応するため、被害の有無を点検したいときや、委託先・退職者の端末を確認したいときに適しています。
実際にどのような場面で診断の相談が寄せられているのか、同社はインタビューで現場の傾向を次のように説明しています。
多いのは、退職された方のPCから情報の持ち出しがなかったかを確かめたいという、内部不正の調査のご相談です。最近では、Webサービスで広く使われているソフトウェアに深刻な脆弱性が公表されたことをきっかけに、「自社のサーバーや端末がすでに侵害されていないか、まずは手早く確かめたい」というご相談も増えています。
まとめ
能動的サイバー防御の関連法は、2026年10月1日に主要規定が施行されました。届出やインシデント報告などの義務を直接負うのは、国から指定された特定社会基盤事業者（2026年7月1日時点で15分野258者）です。対象企業は、既設機器の届出期限である2027年3月31日をはじめとする期限と、違反時の罰則を押さえて対応を進める必要があります。
一方で、指定を受けていない一般企業も、取引先・委託先・供給者として、あるいは攻撃の踏み台にされないために備えが求められます。自社の立ち位置を確認し、情報資産と委託先を棚卸しし、報告に使える記録と復旧の体制を整えることが、制度への対応と日常のセキュリティ強化の両方につながります。
こうした備えを具体的な仕組みで支えたい場合は、通信の記録・端末の検知と対応・事後の診断といった課題から、自社に合うサービスを検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 能動的サイバー防御とは何ですか？
A. 能動的サイバー防御とは、国や重要インフラに重大な被害を及ぼすおそれのあるサイバー攻撃を、被害が生じる前の段階で未然に防いだり、発生後の拡大を抑えたりするために国が講じる取り組みの総称です。2022年12月に閣議決定された国家安全保障戦略で導入が示された政策上の概念で、2025年に成立したサイバー対処能力強化法・整備法によって具体的な仕組みが整えられました。
攻撃を受けてから守る従来の「受動的」な対策と異なり、攻撃の兆候を早い段階で捉えて先回りする点が特徴です。
出典・参考資料（1件）
- 出典：サイバー対処能力強化法及び同整備法について（令和8年10月）｜内閣官房 国家サイバー統括室・内閣府（リンク）
Q. 自社が能動的サイバー防御の対象かどうか分からない場合、どこで確認できますか？
A. 自社が能動的サイバー防御の対象かどうかは、経済安全保障推進法にもとづく「特定社会基盤事業者」の指定を受けているかで決まり、指定された事業者には所管の省庁から通知があります。したがって、通知を受けていなければ、現時点では届出やインシデント報告などの直接の義務はないと考えられます。
電気・ガス・金融・鉄道・電気通信など15分野が対象分野ですが、同じ業種でも事業規模などの基準によって対象と対象外に分かれるため、判断に迷う場合は所管省庁や自社の法務部門に確認するのが確実です。
出典・参考資料（2件）
Q. 能動的サイバー防御の対象でない中小企業は、何も対応しなくてよいですか？
A. 対象でない中小企業に法律上の直接の義務はありませんが、何も対応しなくてよいわけではありません。 指定事業者の取引先・委託先として攻撃発生時の連絡や情報提供を求められたり、供給する製品・サービスの脆弱性対応を期待されたり、自社の機器が攻撃の踏み台として悪用されたりする可能性があるためです。
取引の継続や信頼の維持のためにも、通信や操作の記録を残す仕組みと、インシデント発生時の連絡体制を平時から整えておくことが推奨されます。
Q. 能動的サイバー防御の罰則は、対象でない一般企業にも科されますか？
A. 能動的サイバー防御の関連法の罰則は、指定を受けた基幹インフラ事業者（法律上は特別社会基盤事業者）や協議会の構成員などが対象で、指定を受けていない一般企業に科されることはありません。
サイバー対処能力強化法第12章では、守秘義務違反に2年以下の拘禁刑または100万円以下の罰金（第82条）、インシデント報告の義務違反で是正命令にも従わない場合に200万円以下の罰金（第83条）などを定めていますが、いずれも義務を負う事業者や協議会の関係者が対象です。
また、報告義務違反は、報告しなかっただけで直ちに罰金となるのではなく、是正命令を受けてもなお対応しない場合に科される点に注意が必要です。
出典・参考資料（2件）
Q. 能動的サイバー防御の「通信情報の利用」で、企業や個人のプライバシーは守られますか？
A. 能動的サイバー防御の通信情報の利用は国が攻撃の分析のために行う仕組みで、独立した第三者機関であるサイバー通信情報監理委員会のチェックのもとで運用されます。利用できる情報の範囲や手続きは法律で限定されており、企業や個人の通信が自由にのぞかれるものではありません。
またこの措置は国が主体となって行うもので、企業に通信情報の提供義務が課されるわけではありません。通信情報の利用に関する規定は、公布から2年6か月以内（2027年11月まで）の政令で定める日に段階的に施行される予定です。
出典・参考資料（1件）
- 出典：サイバー対処能力強化法及び同整備法について（令和8年10月）｜内閣官房 国家サイバー統括室・内閣府（リンク）
Q. 能動的サイバー防御を担うNCO（国家サイバー統括室）とはどんな組織ですか？
A. NCO（国家サイバー統括室）は、従来のNISC（内閣サイバーセキュリティセンター）を発展的に改組して設置された、国のサイバーセキュリティ政策を一元的に担う司令塔組織です。能動的サイバー防御の関連法では、官民連携の強化や通信情報の利用といった施策を政府全体で総合調整する役割を担います。対象企業にとっては、インシデント報告や官民協議会を通じて関わる政府側の窓口となる組織です。
出典・参考資料（1件）
- 出典：サイバー対処能力強化法及び同整備法について（令和8年10月）｜内閣官房 国家サイバー統括室・内閣府（リンク）
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、能動的サイバー防御への備えに役立つ社内セキュリティソリューションの最新資料を無料で一括請求できます。通信の記録・端末の検知と対応・侵害診断など、課題別に各サービスを比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
