能動的サイバー防御の法律が10月1日に施行。基幹インフラ258事業者にインシデント報告の義務

0110月1日から始まったこと

内閣官房国家サイバー統括室（NCO）と内閣府が2026年9月にまとめた資料では、10月1日以降の柱を2つ挙げています。

• 官民連携の強化：基幹インフラ事業者からの報告を受け、国が持つ脅威情報を事業者へ提供する
• アクセス・無害化措置：確認された攻撃サーバー等に対し、必要に応じて無害化する（整備法）

攻撃サーバー等を見つけるための通信情報の活用は、資料では「来年秋以降」とされています。警察庁の令和8年上半期の情勢報告も、10月1日施行予定のアクセス・無害化措置に向け、内閣官房・内閣府、警察、防衛省・自衛隊が体制を整えていると記しています。

02基幹インフラ事業者の義務

報告の様式は、2025年5月28日の関係省庁申合せで定めた様式（DDoS攻撃・ランサムウェア・その他）を使います。国は、届け出られた製品の情報と脆弱性情報を突き合わせ、該当する事業者にピンポイントで注意喚起するとしています。

03読者への影響

個人や一般の中小企業に、この法律で新しい義務が課されるわけではありません。ただ、基幹インフラ事業者に機器やシステムを納めている会社、保守を請け負っている会社は、事業者が報告や届出をするときに、製品名やバージョン、事故の経緯を聞かれることが考えられます。報告の期限が「3〜5日」と短いため、取引先から早い回答を求められる場面も出てきます。

04備えておくこと

1. 納めている機器・ソフトの一覧を作る。取引先ごとに、製品名・バージョン・保守の状況をすぐ出せるようにします。
2. ログを残す期間を決める。何が起きたかを数日で説明するには、ログが残っていることが前提です。
3. 事故のときの連絡の順番を決める。取引先、保険会社、調査会社への連絡を誰がするかを決めておきます。
4. 監視や調査を外部に頼むなら、平時に契約しておく。事故が起きてから探すと時間がかかります。

05今後の予定

資産の届出の期限は来年3月、通信情報の活用は来年秋以降です。NCOは、AIを使った対処能力の強化を令和9年度予算で要求中としています。