NISCはまだ存在しますか。

いいえ。NISC（内閣サイバーセキュリティセンター）は2025年7月1日に改組され、国家サイバー統括室（NCO）となりました。2025年5月16日に成立したサイバー対処能力強化法および関連法を受けたもので、発足から約20年での再編です。NCOは引き続き内閣官房に置かれ、NISCの機能を引き継いだうえで、より強い権限と、次官級の内閣サイバー官というポストを備えています。

NISCとは何でしたか。

NISCは、府省庁ではなく内閣官房に置かれた日本のサイバーセキュリティの司令塔でした。国家戦略の策定、政府横断のインシデント対応の調整、重要インフラ事業者向けの指針の発出、諸外国のカウンターパートとの窓口を担っていました。これらの機能は現在、国家サイバー統括室（NCO）が担っています。

NISCからNCOへの改組で何が変わりましたか。

実質的な変更は3点です。第一に権限で、NISCは調整はできても指示はできませんでしたが、サイバー対処能力強化法により後継組織はより強い権限を持ちます。第二に格で、次官級の内閣サイバー官が新設されました。日本の行政では、その機能がどの階層に位置するかが、出席できる会議と押し通せる主張を決めます。第三に任務で、NISCが備えと対応を軸としていたのに対し、NCOは能動的サイバー防御を前提とした体制です。

能動的サイバー防御とは何ですか。

能動的サイバー防御とは、被害が生じてから対応するのではなく、脅威を事前に検知し無害化する方向への政策転換を指します。通信情報の利用や、攻撃元インフラへの対処が含まれます。根拠法は2025年5月16日に成立しましたが、憲法が定める通信の秘密との緊張関係があるため、成立までには長い議論を要しました。この20年で最大のサイバーセキュリティ政策の変更であり、組織再編が同時に行われた理由でもあります。

NCOは民間企業を規制しますか。

許認可や制裁金という意味での直接的な規制は行いません。手段は戦略、基準、指針であり、企業に対する法的義務は、業所管官庁がこれらの期待値を適用する形か、経済安全保障推進法に基づく特定社会基盤事業者の指定を通じて及ぶのが一般的です。実務上の含意はNISC時代と変わりません。所管官庁がいずれ求めてくる内容を、中央の司令塔が先に形づくっているため、その形式的な権限が示唆する以上に早い段階から注視する価値があります。

NISCから国家サイバー統括室（NCO）へ：日本のサイバー司令塔と企業への影響

更新： NISCはその名称では存在しません。2025年7月1日、2025年5月16日に成立したサイバー対処能力強化法を受けて、国家サイバー統括室（NCO） へ改組されました。NCOは同じく内閣官房に置かれ、NISCの機能をより広い権限とともに引き継いでいます。本稿では、NISCが何であったかと、NCOで何が変わったのかの双方を扱います。

国家サイバー統括室（NCO）で何が変わったのか

2025年7月1日の改組は、名称変更ではありません。実質的な変更は3点あります。

権限。 NISCは調整はできても、指示はできませんでした。招集し、助言し、公表することはできても、府省庁の意見が割れたときにそれを決する手段を持たなかったのです。サイバー対処能力強化法は後継組織により強い権限を与えました。NISCの増員ではなく組織再編という形をとった理由がここにあります。

格。次官級の 内閣サイバー官 が新設されました。日本の行政においては、その機能が階層のどこに位置するかが、出席できる会議と、押し通せる主張を規定します。所掌事務の記述を書き換えるよりも、役職の格を上げるほうが、実際にできることを大きく変えます。

任務。 NISCは「備えと対応（incident readiness）」を軸に設計された組織でした。NCOが置かれているのは、能動的サイバー防御 に踏み込むことを決めた政策環境です。被害の発生前に脅威を検知し無害化するという任務は、異なる法的権限を必要とします。根拠法と新組織が同時に用意されたのは、そのためです。

変わらなかったのは位置づけです。NCOは引き続き内閣官房に置かれ、府省庁の縦割りの上に立ちます。また、許認可や制裁金ではなく、戦略・基準・指針を手段とする点も同じです。

企業にとっての含意は、中央の司令塔が示す期待値が、より広く、より速く自社に及ぶ可能性が高まったということです。従来であれば業所管官庁を経て徐々に浸透していた指針が、より重みのある組織から直接発せられるようになります。

日本のサイバーセキュリティ態勢は、この20年で最大規模の構造改革を経ました。その中心にいたのが内閣サイバーセキュリティセンター（NISC）であり、改革はNISCそのものを置き換えて完了しました。重要インフラ、電気通信、金融、医療、防衛関連分野で事業を営む外資・多国籍企業にとって、「調整機関」から「より運用色の強い司令塔」へというこの転換は、コンプライアンス期待値、インシデント報告義務、政府渉外要件を塗り替えつつあります。日本のサイバーセキュリティを純粋に技術的な問題と扱っている企業は、リスクと政策機会の両方を過小評価しています。

NISCの使命

NISCは、内閣サイバーセキュリティセンター（英語名：National center of Incident readiness and Strategy for Cybersecurity、旧称：内閣情報セキュリティセンター／National Information Security Center）の略称です。2005年に設置され、2014年のサイバーセキュリティ基本法に基づき、内閣サイバーセキュリティ戦略本部の下で再編されました。NISCは内閣官房内に置かれ、最終的には内閣官房長官を通じて総理に連なります。

法定の役割は、国家サイバーセキュリティ戦略の策定・調整、政府横断での実行推進、重要情報インフラの保護、重大サイバーインシデントへの対応調整です。重要なのは、NISCの役割が政策と調整にあり、米国サイバー軍のような直接的な運用サイバー防御ではない点です。しかしこの区分は、今まさに再検討の対象になっています。

組織構造と指揮命令系統

サイバーセキュリティ戦略本部

NISCは、サイバーセキュリティ戦略本部（本部長は内閣官房長官、構成員にサイバーセキュリティ担当・デジタル担当などの大臣）の事務局を務めます。戦略方針はここから発出されます。

省庁間調整

NISCは、経産省（産業サイバー、IPA）、総務省（通信セキュリティ）、防衛省（防衛サイバー）、外務省（サイバー外交）、法務省・警察庁（法執行）、金融庁（金融セクター・サイバー）、そして重要情報インフラを所管するセクター規制当局間を調整します。これは東京でも最も多省庁にまたがる運用環境の一つで、NISC関連のエンゲージメントを単一省庁で完結させられない理由です。

組織再編の計画

政府は、NISCの後継組織を格上げし、来たる「能動的サイバー防御（ACD）」 法制下で運用権限を拡張する新・統合サイバー機関の設立計画を発表しています。ACD法制と機関再編は、外資系企業が注視すべきランドマークです。

主な政策とイニシアチブ

サイバーセキュリティ戦略

NISCは、日本のサイバー優先事項を定めるマスター政策文書であるサイバーセキュリティ戦略を主導しています。現行戦略は、自由・公正・安全なサイバー空間、官民連携、国際協力、重要インフラのレジリエンスを重点としています。

重要情報インフラ（CII）の保護

日本は、14の重要情報インフラ分野（情報通信、金融、航空、空港、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流、化学、クレジット、石油）を指定し、事業者にベースライン・サイバーセキュリティ基準の充足を期待しています。NISCはCII向け「安全基準等策定指針」 を発出し、セクター別規制当局とエンフォースメント面で連携しています。

能動的サイバー防御（ACD）

最も重要な法整備は、能動的サイバー防御（ACD） の枠組みです。これは政府に対し、独立の監督機関の監視下、明確な法的枠組みのなかで、一部通信の監視、攻撃インフラの特定、敵対的サイバー主体に対する能動的措置を講じる権限を認めるものです。これは日本の国家サイバー能力の実質的な拡張を意味し、官民情報共有、通信事業者・プラットフォーム事業者の義務を再設計することになります。

政府情報システムのサイバーセキュリティ

NISCは、「政府機関等の情報セキュリティ対策のための統一基準」 を定め、政府システムの監査を行います。政府の技術調達はこの基準の対象であり、ITベンダーに直結する論点です。

経済安全保障とサプライチェーン・サイバー

経済安全保障推進法の重要インフラ審査メカニズムは、NISCのサプライチェーン・サイバー業務と交差します。重要機器・ソフトウェアを提供する外資系ベンダーは、セキュリティ審査義務を覚悟すべきです。

他のステークホルダーとの関係

NISCは、経産省（IPAとJPCERT/CCを通じて）、総務省と通信セクター、金融庁と金融セクターISAC、そしてJ-CSIPやサイバーセキュリティ協議会などの業界体と緊密に連携しています。国際面では、CISA（米）、NCSC（英）、ANSSI（仏）、BSI（独）、ENISAなどと調整し、Quad、G7伊勢志摩サイバーグループなどの多国間フォーラムに参画しています。

情報処理推進機構（IPA） は、AIセーフティ・インスティテュート（AISI）も擁しており、脆弱性調整やIPAセキュリティセンターを含め、NISCの業務に技術的な実働キャパシティを提供しています。

企業への示唆

インシデント報告義務の拡大

セクター別法とCIIの進化する枠組みの下で、サイバーインシデントの届出義務は拡大しています。個人情報保護法、電気通信事業法、金融関連規制——いずれも定められた時間窓での通報を求めます。外資系企業は、規制当局別の通報義務をマップした日本専用のインシデント対応計画を持つ必要があります。

政府調達は精査重視

政府システムにベンダーとして参入する場合、NISCのセキュリティ基準、そしてますますサプライチェーン・セキュリティと経済安全保障紐づけの義務を満たすことが求められます。外資系企業は、ドキュメンテーション重視の調達と、指定リスクカテゴリーに該当する機器の排除リスクに備えるべきです。

ACDは通信・プラットフォームの運用環境を再設計する

ACD法制が施行されると、通信事業者、プラットフォーム事業者、セキュリティベンダーは、拡張された情報共有・対応エコシステムの一部となります。この分野の企業は、実施規則の策定段階から早期に関与すべきです。

CII事業者は期待値の引き上げに直面

CII指定セクターの事業者は、ベースライン・セキュリティ期待値、監査義務、インシデント後の業務改善命令の可能性の引き上げに直面しています。取締役会レベルのサイバーガバナンスは、事実上、規制上の期待となっています。

サイバーセキュリティはIT論点ではなく、パブリックアフェアーズ論点

NISC、経産省、総務省、金融庁——いずれも拘束力のある期待値を形づくります。政策形成プロセス、業界団体、審議会への関与こそが、ルールがどう書かれるかを左右します。

日本のパブリックアフェアーズにおける意義

日本のサイバー体制は、「原則」から「エンフォースメント」へ、「調整」から「能動的防御」へと移行しています。NISCおよび広義のサイバー政策ネットワークに早期に関与する企業は、実装可能なコンプライアンス義務の設計と、政府主導の情報共有へのアクセスを獲得します。様子見の企業は、最終ルールをそのまま受け取るしかありません。

Gemini Groupは、多国籍企業に対し、日本のサイバーセキュリティ政策、NISC・省庁エンゲージメント、ACD法制モニタリング、インシデント対応時のステークホルダー管理を支援しています。日本のサイバー・パブリックアフェアーズ戦略についてのご相談は、お問い合わせまで。