【2026年10月施行予定】能動的サイバー防御法｜企業に求められる対応とは

2026年10月施行予定のサイバー対処能力強化法（通称：能動的サイバー防御法）は、国家レベルのサイバーセキュリティ体制を抜本的に強化する法律です。従来の「受動的防御」（攻撃を受けてから対応）から、攻撃を未然に防ぐ「能動的防御」への転換を図ります。

本法は2025年の通常国会で成立し、公布から1年6ヶ月以内の施行が予定されています。

基幹インフラ事業者（電力、通信、金融、交通、医療等）に対し、以下の義務が課されます。

• サイバーインシデントの報告義務: 重大なサイバー攻撃を受けた場合、政府への速やかな報告が必要
• 情報共有: 攻撃の手口・脆弱性情報を官民で共有する仕組みの構築
• 対象事業者: 電気通信事業者、電力会社、銀行、鉄道事業者、医療機関等

サイバー攻撃の兆候を検知するため、政府が通信のメタデータ（IPアドレス、通信先等）を分析する権限が認められます。

• 通信の「内容」は対象外（憲法21条の通信の秘密を保護）
• メタデータの分析に限定
• サイバー通信情報監理委員会（独立機関）が監視・審査

国が攻撃元のサーバーに対し、アクセス・無害化措置（マルウェアの除去等）を行う権限が認められます。

• 実施主体: 警察・自衛隊
• 事前に独立機関の審査が必要
• 国内外のサーバーが対象
• 緊急時には事後審査も可能

基幹インフラ事業者以外の企業にも、以下の対応が推奨されます。

• サプライチェーン経由の攻撃に備えたセキュリティ体制の強化
• インシデント対応計画の策定・定期的な訓練
• 取引先が基幹インフラ事業者の場合、セキュリティ要件への対応

一般個人への直接的な義務は課されませんが、通信メタデータの政府利用についてはプライバシーへの影響が議論されています。独立機関による監視と、通信内容は対象外とする制限により、通信の秘密とのバランスが図られています。