日本の能動的サイバー防御法：2026年版事業者向けブリーフィング

2023年12月の自民党による緊急決議をきっかけに始まった動きは、いまや本10年で最も重要な安全保障政策改革のひとつへと成熟しました。能動的サイバー防御法と関連するサイバーセキュリティ・ガバナンス・パッケージは、日本のサイバー政策を「自主的ガイドラインの寄せ集め」から「企業実務に深く食い込む執行可能な制度」へと変容させました。重要インフラ事業者、プラットフォーム企業、クラウド事業者、そして日本で意味のある事業規模を持つ多国籍企業にとって、サイバーセキュリティはもはやIT部門の仕事ではなく、パブリックアフェアーズとガバメントリレーションズの中核課題です。

2023年の出発点

2023年12月19日、自民党の経済安全保障推進本部、安全保障調査会、デジタル社会推進本部は、サイバーセキュリティ関連法制の早期整備を求める緊急決議を共同で取りまとめ、当時の岸田文雄総理に提出しました。港湾から病院に至る重要インフラへのサイバー攻撃の増加を踏まえ、2022年国家安全保障戦略のコミットメントの実装が遅れている点を批判した内容で、有識者パネルでの検討と次期通常国会への法案提出を求めるものでした。

国家安全保障戦略という下敷き

2022年の国家安全保障戦略は、すでに日本のサイバー対応能力の強化、中核調整組織の新設、関連法整備へのコミットを明確にしていました。1年後の自民党緊急決議は、事実上、実装の遅れを指摘する政治的リマインダーとなったわけです。政治的圧力と悪化する脅威環境——この組み合わせが、その後の改革の舞台を整えました。

何が変わったのか：能動的サイバー防御法とNCO

2024年を通じた有識者検討を経て、2025年には能動的サイバー防御法を中核とするサイバーセキュリティ改革パッケージが国会で可決されました。実装は段階的に進んでおり、2026年以降、運用面で大きな帰結をもたらしていきます。

国家サイバー統括室（NCO）

中核的調整機能は、強化された**官邸直轄の国家サイバー統括室（NCO）に移され、従来の内閣サイバーセキュリティセンター（NISC）**の機能を吸収する形で再編されました。NCOは政策の中核ハブとして、省庁横断の主要調整会議を主宰し、自衛隊、警察庁、業種所管当局、情報コミュニティと緊密に連動します。

能動的サイバー防御の権限

法枠組みは、厳格な要件のもとで、日本の重要インフラと政府システムを狙う深刻なサイバー脅威に対して、検知・分析・無害化を行うプロアクティブな措置を許容します。特定の通信の監視、所定のケースにおける攻撃者インフラへの先制的措置も含まれます。同法には、通信の秘密に関する憲法上の保護と安全保障のバランスを取るための、国会および独立機関による監督メカニズムが設計されています。

重要インフラ事業者の義務

電力、ガス、上下水道、通信、金融、航空、鉄道、港湾、医療、行政サービスなどの分野で指定された事業者には、インシデント報告、リスクマネジメント、NCOおよび業種所管当局との情報共有に関する明確な義務が課されます。ベンダー・リスクマネジメント、サプライチェーン・セキュリティ、取締役会レベルの監督に関する基準も強化されました。

経済安全保障との連動

今回のサイバー改革は、経済安全保障推進法、進化するセキュリティ・クリアランス制度、輸出管理改革と並んで位置づけられます。これらが組み合わさって、技術選択、サプライヤー選定、データ取扱い、投資判断にまで影響を及ぼす、ますます統合的な経済安保規制環境が形成されています。

商業的インパクト

重要インフラ事業者

指定事業者には、運用とガバナンス両面での水準引き上げが必要です。NCOの期待に整合したインシデント対応プレイブック、タイトなタイムフレームでの報告義務、サプライチェーンのデューデリジェンス、取締役会レベルの監督の文書化——いずれも求められます。検査の頻度は増え、重大事案が生じた場合のレピュテーション・コストも上昇すると想定すべきです。

クラウド事業者、MSP、テクノロジー・ベンダー

ハイパースケーラー、マネージド・サービス・プロバイダー、サイバー・ベンダー、重要インフラ向けテクノロジー・サプライヤーは、規制対象の境界の延長線上にいる存在として扱われるようになります。データ・ロケーション、アクセス制御、インシデント対応体制、そして日本法のもとで日本当局の調査に協力できる体制——これらへの監視の目は厳しくなります。

金融機関

銀行、保険会社、証券会社、決済事業者にとって、今回のサイバー改革は、**金融庁（FSA）**がすでに示してきた監督上の期待を強化するものです。サイバー・レジリエンス、サードパーティ・リスク、インシデント報告は、疑う余地なく取締役会レベルの課題です。

多国籍企業

日本事業を持つ多国籍企業は、子会社が重要インフラ指定の射程に入るかを評価し、グローバルなサイバー・ポリシーを新しい日本制度にマッピングし、クラウド契約、SOC運用、セキュリティ・ツーリングといったグループレベルの意思決定が日本の法的期待と整合するかを検証する必要があります。

これから何が起きるのか

2026年の中心テーマは実装です。下位規則、業種別ガイドライン、そして最初の本格的な執行・監督アクションの波が続くでしょう。NCOは同時に、国際的なサイバー連携——特に米国、英国、オーストラリアなどパートナー国との連携——の構築を積極的に進めており、これが日本のルールとグローバルなインシデント対応・インテリジェンス共有の相互作用を形作っていきます。

政治面では、能動的サイバー防御に関する国会での監督論議、独立機関のレビュー報告、新枠組みを試す重大事案の発生——こうしたモメンタムに注目してください。いずれも、公衆の信頼、政治的意思、そして間接的に企業への期待水準を左右します。

日本のパブリックアフェアーズにおける意義

サイバーセキュリティは、専門家の関心事から企業戦略と国家安全保障政策の中核要素へと「昇格」しました。NCO、FSAやMETIといった業種所管当局、国会、関連業界団体との協調的なパブリックアフェアーズ、ガバメントリレーションズ、公共政策エンゲージメントは、重要インフラ、プラットフォーム、機微データに触れる日本事業を持つ企業にとって、もはや必須です。

Gemini Group株式会社は、重要インフラ事業者、クラウド事業者、サイバー・ベンダー、多国籍企業に対し、日本のサイバーセキュリティ政策、能動的サイバー防御法の実装、NCOおよび業種所管当局とのエンゲージメントについて助言しています。日本のリスク・ポスチャへの影響について、お問い合わせよりご相談ください。