サイバー対処能力強化法・重要インフラ統一基準・SCS評価制度｜2026年秋に動く3制度

10月1日に動くもの① ― サイバー対処能力強化法の本体施行

2025年5月に成立した同法のうち、企業に義務がかかる規定が2026年10月1日に施行されます。義務を負うのは、法律上「特別社会基盤事業者」と呼ばれる事業者です。経済安全保障推進法に基づき特定社会基盤事業者として指定された事業者のうち、重要電子計算機を使用するものがこれに当たります。以下では通りのよい「基幹インフラ事業者」と呼びます。

指定を受けているのは、電気、ガス、鉄道、電気通信、金融など15分野の258者です（2026年7月1日時点）。指定は随時行われ、2026年6月の法改正では医療分野が追加されました（施行日は未定）。

企業に新たに求められる主な対応は三つです。

①特定重要電子計算機の届出

インターネット接続点のファイアウォール、認証を担うディレクトリサーバ、重要データを保持するサーバなどが対象となります。新たに導入したときだけではなく、変更した場合も4か月以内に事業所管大臣へ届け出ます。すでに導入済みの設備については施行から6か月以内、すなわち2027年3月末が最初の期限です。

②インシデント報告

報告の対象は、マルウェアが実行可能な状態に置かれた、不正アクセスを受けたといった事象です。これに加えて「その原因となり得る事象」、つまり被害が確定する前の兆候段階も対象に含まれます。認知した時点で速やかに事業所管大臣と内閣総理大臣に報告し、その後30日以内に詳細を報告します。なお「速やかに」の具体的な目安は、今後のガイドラインで示される予定です。

報告を怠り、是正命令にも従わない場合は200万円以下の罰金が科されます。資料提出の拒否や虚偽の報告には、30万円以下の罰金が定められています。

③情報共有及び対策に関する協議会への参加

内閣総理大臣が設置する新しい枠組みで、基幹インフラ事業者だけでなく、機器の供給者やセキュリティベンダー等も、同意を得たうえで構成員に加わります。従来のサイバーセキュリティ基本法に基づく「サイバーセキュリティ協議会」は廃止され、これに置き換わります。発足は2026年秋頃の見込みです。共有される情報には守秘義務がかかり、違反には2年以下の拘禁刑または100万円以下の罰金が科されます。

10月1日は、単に法律が施行される日ではありません。対象となる企業には、その日から届出・報告・情報連携に実際に対応できる体制が求められます。

この法律で10月に動かないもの

この法律の代名詞のように語られる「能動的サイバー防御」は、政府による通信情報の利用と、攻撃サーバへのアクセス・無害化措置の二つからなります。このうち10月1日に施行されないのは、通信情報の利用だけです。公布から2年6か月を超えない範囲で政令が定める日からの施行とされており、時期は未確定です。

一方、アクセス・無害化措置は10月1日に施行されます。ただしこれは、同時に成立した整備法によって警察や自衛隊に与えられる権限であり、企業に新たな義務が生じるものではありません。

つまり、10月1日から企業側で動くのは、これまで見てきた届出・報告・情報連携です。能動的サイバー防御をめぐる議論と、自社が実際に手を動かすべき範囲は、分けて捉える必要があります。

10月1日に動くもの② ― 重要インフラ統一基準

同じ10月1日、「重要インフラのサイバーセキュリティ対策のための統一基準」が施行されます。2026年7月31日にサイバーセキュリティ戦略本部で決定されたものです。これにより従来の「安全基準等策定指針」は廃止され、その役割が統一基準に引き継がれます。もう一つの基盤文書である「重要インフラのサイバーセキュリティに係る行動計画」は、廃止されるのではなく改訂されて存続します。

意味合いの変化は小さくありません。これまでの枠組みが各事業者・各分野の取組を促進してきたのに対し、統一基準は分野横断で対策の水準を底上げすることを目指します。構成は三部からなり、第1部が総則、第2部が政府機関における施策の基準、第3部が「安全基準等において規定されるべき事項」です。

企業が見るべきなのは第3部です。ここには、組織統治・識別・防御・検知・対応及び復旧という五つの領域に加えて、「技術・脅威の動向等を踏まえた対策」が挙げられています。最後の一つは、整えた対策を技術や脅威の動向に合わせて見直し続けることを求めるもので、対策を一度整えて終わりにしない姿勢が明示されています。

法的な建て付けとして押さえておきたいのは、統一基準が直接の対象者としているのは政府機関だという点です。統一基準がそのまま企業への規制として適用されるわけではありません。統一基準を踏まえて各分野の所管省庁が安全基準等やガイドラインを整備・改定し、それを通じて事業者に対応が求められる、という二段構えの構造です。したがって企業が注視すべきなのは、統一基準そのものよりも、自社の分野の安全基準等が今後どう改定されるかです。

統一基準が定める重要インフラの対象分野は、情報通信、金融、航空、空港、鉄道、電力、ガス、行政サービス、医療、水道、物流、化学、クレジット、石油、港湾、郵便の16分野です。基幹インフラ事業者の指定を受けていなくても、これらの分野の事業者は、所管省庁の安全基準等を通じて対応を求められる立場になります。

少し遅れて続くもの ― SCS評価制度

経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、10月には始まりません。ただし、前述のサイバー対処能力強化法・重要インフラ統一基準と無関係なわけではなく、時間的には一続きの流れとして設計されています。

制度構築方針は2026年3月に公表済みです。評価の実装方法を示す評価ガイドは、2026年秋頃に公表される予定です。申請受付は2026年度末頃、2027年1〜3月に始まる見込みです（いずれも2026年5月時点の経済産業省の公表による）。制度構築方針の段階では「令和8年度下期の制度開始」とされていたので、その枠内で時期が具体化されたことになります。

評価の水準は★1から★5まであります（但し★1・★2はIPA／情報処理推進機構が運営する既存の自己宣言制度「SECURITY ACTION」から接続される形になっている）。★3は専門家の確認を伴う自己評価、★4は第三者評価が基本で、実地審査と脆弱性検査を伴います。★5は基準が検討中です。政府調達での要件化は「今後検討」とされ、まだ決まっていません。

それでも、準備を後回しにしないほうがよい理由があります。取引先から評価の取得を求められる場面が増えてから動き出したのでは、間に合わない可能性があるからです。制度の詳細が固まっていく今の段階で、自社がどの水準を目指すのかを見極めておきたいところです。

ここまでの三つの制度の動きを、時期順に並べると、図1のとおりです。

自社はどこに位置するのか？

制度が企業に届く経路は一つではありません。法律が直接かける義務のほかに、顧客との契約を通じて届くもの、分野ごとの基準や取引条件を通じて届くものがあります。整理すると図2のとおりです。

三つの制度を重ねると、企業はおおむね次の三つの位置に分かれます。自社がどの位置にいるかで、今やるべきことは変わります。

①直接の対象となる企業

基幹インフラ事業者として指定を受けている場合、法律上の義務が直接かかります。10月1日は、法律を読む段階の終わりであり、期限から逆算して実装する段階の始まりです。

とくに注意したいのは、報告が兆候段階から求められる点です。「被害が確定してから報告する」という運用のままでは、報告が遅れます。エスカレーション基準を見直しておく必要があります。

②取引関係を通じて影響を受ける企業

①に連なるベンダー・クラウド事業者・保守委託先などは、法律上の直接の対象ではありません。しかし実務上の影響は、むしろ大きくなります。顧客である基幹インフラ事業者から、届出のための構成情報の提供を求められます。インシデント報告のためのログと時系列の説明、契約への報告協力条項の追加も求められます。

顧客側には、認知から30日以内の詳細報告が求められます。照会を受けてから社内で契約書やログを探すのでは、顧客の報告に間に合いません。10月を迎える前に、既存契約の通知義務・ログの保全・再委託先の扱いを洗い出しておきたいところです。

③直接の対象ではない企業

①②のいずれにも当たらない企業に、直接の義務はありません。ただし「無関係」とは言い切れません。統一基準が示す組織統治・識別・防御・検知・対応及び復旧という枠組みは、分野を問わず取引先から求められる水準の参照点になっていきます。SCS評価制度も、政府調達での要件化は未定ですが、民間の取引条件として先に広がる可能性があります。

現実的な打ち手は、自社の対策がこの枠組みのどこで手薄になっているかを一度可視化しておくことです。制度に追われてから動くよりも、はるかに手戻りが少なくなります。

三つの位置ごとに、今後の対応を整理すると図3のとおりです。

いつ、何をするか

自社の位置が分かったら、次は時期です。10月1日を境に確認すべきことがどう移っていくかを、図3にまとめました。なお、届出の期限は2027年3月末、SCS評価制度の申請受付は2027年1〜3月頃で、いずれも10月より先になります。

まとめ ― 10月1日は締切ではなく起点

2026年10月1日は、制度が動き始める日であり、企業にとっての締切ではありません。その日を境に、届出も報告も情報連携も、実務として続いていきます。

三つの制度は所管も目的も異なりますが、企業側でやるべきことは重なります。自社の資産を把握し、対策の現在地を知り、インシデント発生時の対応と取引先との責任分界を明確にする。この共通の基盤を持っていれば、制度が変わっても、取引先から新たな要求が来ても、差分だけを見て動くことができます。

サイバーセキュリティを「制度への対応」で終わらせず、事業環境の変化に合わせて見直し続ける経営課題として捉えること。それが、これからの企業に求められる向き合い方ではないでしょうか。

CTCでは、長年にわたるセキュリティ運用の支援やコンサルティングの知見を生かしながら、企業ごとの事業特性やリスクに応じたセキュリティ対策の設計・実装を支援しています。自社のセキュリティ成熟度を高める―、そのための伴走支援を提供していきます。

※本記事の内容は2026年8月末時点の情報に基づいています。政省令・ガイドラインの策定状況により内容が変わる可能性がありますので、最新の公式発表もあわせてご確認ください。

参照資料・関連リンク

本制度について、中立的な立場で情報を提供している政府や団体の当該情報へのリンクを抜粋し掲載しました（リンクの確認は2026年8月末時点）。

■国家サイバー統括室：重要インフラのサイバーセキュリティ対策のための統一基準
（出典：https://www.cyber.go.jp/pdf/policy/infra/jyuhurakijun_2026.pdf ）
2026年7月31日にサイバーセキュリティ戦略本部で決定された統一基準の本文です。第3部に、安全基準等において規定されるべき事項が示されています。2026年10月1日施行。

■国家サイバー統括室：重要インフラのサイバーセキュリティに係る行動計画（改訂版）
（出典：https://www.cyber.go.jp/pdf/policy/infra/koudoukeikaku_2026.pdf ）
統一基準の施行に合わせて改訂された行動計画です。対象16分野や関係主体の責務を確認できます。

■国家サイバー統括室：重要インフラ対策関連
（出典：https://www.cyber.go.jp/policy/group/infra/policy.html ）
統一基準の位置付け、安全基準等策定指針の廃止など、関連資料を一覧で確認できます。

■国家サイバー統括室：サイバーセキュリティ2026（概要）
（出典：https://www.cyber.go.jp/pdf/policy/kihon-s/cs2026_abstract.pdf ）2026年7月31日に決定された、我が国のサイバーセキュリティ政策に関する年次報告および年次計画の概要です。

■内閣府：サイバー対処能力強化法の施行期日を定める政令
（出典：https://www.cao.go.jp/cybersecurity/pdf/sekoukijitsu.pdf ）
同法の施行日を2026年10月1日と定めた政令です。

■内閣府：サイバー対処能力強化法（官民連携）の施行に向けた考え方
（出典：https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf ）
届出・報告の期限や協議会の発足時期など、施行に向けた運用の考え方が示されています。

■内閣府：基幹インフラ役務の安定的な提供の確保に関する制度
（出典：https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html ）
経済安全保障推進法に基づく特定社会基盤事業者の対象分野と指定状況を確認できます。

■経済産業省：SCS評価制度
（出典：https://www.meti.go.jp/policy/netsecurity/scs.html ）
SCS評価制度の特設サイトです。評価ガイドの公表時期や申請受付の開始時期が随時更新されます。

■情報処理推進機構（IPA）：SCS評価制度の詳細情報
（出典：https://www.ipa.go.jp/security/scs/details.html ）
★3・★4の要求事項や評価の進め方など、実務的な情報がまとめられています。

■経済産業省・国家サイバー統括室：SCS評価制度に係る不適切な勧誘への注意喚起
（出典：https://www.meti.go.jp/policy/netsecurity/20260427_scs.html ）
SCS評価制度は、現時点では任意の制度であり、個社間の商取引を規制するものではないことを政府が明確にしています。「評価を取得しないと取引できない」「今すぐ取得しないと入札から除外される」といった誤解を避けるためにも、制度を検討する企業には一読を推奨します。