国内ITニュース

「発動第1号」は成立するのか。能動的サイバー防御の施行状況と、事業者に課された義務の範囲

2026年10月24日、GMOインターネットグループが「能動的サイバー防御の適用」を政府関係機関に要請したと公表しました。同社はこれを「発動第1号」事案と位置づけています。では、その制度はいま実際にどこまで動くのか。エンジニアにとっては、自社が報告義務の対象なのかどうかのほうが先に効きます。一次資料で確認できる範囲と、確認できない範囲を分けて整理します。

法律の基本情報

根拠法は2本あります。

• サイバー対処能力強化法／重要電子計算機に対する不正な行為による被害の防止に関する法律（令和7年法律第42号）
• 同整備法／同法の施行に伴う関係法律の整備等に関する法律（令和7年法律第43号）
• 成立／令和7年5月16日
• 公布／令和7年5月23日

施行は段階的です。強化法は一部を除き公布から1年6か月を超えない範囲、サイバー通信情報監理委員会の設置は1年を超えない範囲、通信情報の利用は一部を除き2年6か月を超えない範囲——という建て付けになっています。

2026年10月1日に何が施行されたか

国家サイバー統括室は令和8年10月1日付で、「官民連携の強化、アクセス・無害化措置」の一部施行を公表しました。このうち官民連携の強化に含まれるのは次の3つです。

• 協議会の設置／10月1日時点で基幹インフラ事業者を中心に約100組織が加入予定
• 資産の届出／特定重要電子計算機の届出義務
• インシデント報告／特定侵害事象等の報告義務

一方で、アクセス・無害化措置の施行時期については、政府資料の間で表記が割れています。10月1日付のプレスはタイトルに同措置を含めていますが、前日9月30日の関係省庁会議資料では、アクセス・無害化措置と通信情報の利用は「来年秋より施行」と図示されています。

本記事の執筆時点で、アクセス・無害化措置が実際に発動可能な状態にあるかどうかは、公開されている一次資料だけでは断定できませんでした。GMOの「発動第1号」という位置づけの評価は、この点に直結します。

報告義務を負うのは誰か

ここがエンジニアにとって最も実務的な論点です。義務の対象は特別社会基盤事業者——経済安全保障推進法の「特定社会基盤事業者」を参照して指定された事業者です。

• 規模／15分野・258事業者（2026年9月時点。令和7年7月31日時点では257者）
• 分野の例／電気48、金融64、港湾32、ガス25、水道23、石油18、電気通信10、クレジットカード9、空港6、放送6、鉄道5、貨物自動車運送5、外航海運3、航空2、郵便1
• 所管／内閣府・総務省・法務省・財務省・厚生労働省・農林水産省・経済産業省・国土交通省の8府省庁

つまり一般のIT企業や中小企業に、この法律による直接の報告義務はありません。「10月から報告が義務化された」という理解で自社の運用を変える必要があるのは、指定を受けた258者とその関係者です。

ただし、この258者は電気・金融・通信といった発注側に多く含まれる業種です。義務が発注元に生じれば、要件は委託先へ流れます。直接の対象でなくても、契約条項や報告期限の形で降りてくる可能性は高い。

義務の中身

① 特定重要電子計算機の届出（法第4条）

• 期限／導入日から4月以内に製品名・製造者名等を事業所管大臣へ届出
• 既存機器／施行時点で導入済みのものは施行から6月以内（令和9年3月31日）
• 変更時／変更日から4月以内
• 対象／アプライアンスはハードウェアを含む機器全体、それ以外はOS・ミドルウェア・アプリケーション。一般的な製品（Windows、Windows Server）は届出不要

② 特定侵害事象等の報告（法第5条）

• 対象／マルウェアの供用、不正アクセス、業務妨害等。インシデントの原因となり得る事象も含む
• 報告先／事業所管大臣および内閣総理大臣
• 根拠命令／2026年5月28日公布
• 期限／速報は「速やかに」、詳報は30日以内と報じられている

③ 罰則

• 報告を行わず是正命令にも従わない場合／200万円以下の罰金
• 資料提出等の求めに応じない場合／30万円以下の罰金
• 行政職員等による秘密の漏えい／2年以下の拘禁刑または100万円以下の罰金

詳報30日以内という期限は報道に基づくもので、本記事では命令の条文そのものを確認できていません。

GMOの要請が意味すること

GMOインターネットグループの公表（第4報・第7報）から、時系列で確認できる事実を並べます。

• 10月21日／本サービスを停止、第1報を公表。同日、脅迫メールを受信。要求額は約80億円（第7報の経緯欄）
• 10月22日／警察に相談
• 10月24日／見舞金等を決定（第4報）。能動的サイバー防御の適用を政府関係機関に要請（第5報）
• 10月25日〜26日／顧客端末の調査協力を依頼し、預かった端末の解析を開始
• 攻撃者の予告期限／10月27日12:00（顧客情報の公開とランサムウェア攻撃）

要請の中身は、国主導での攻撃基盤の追跡・遮断・無力化など実効的な措置の実施です。ただし要請先は「政府の関係機関」とのみ記載され、具体的な機関名は公表されていません。政府側が要請を受理したか、措置を発動したかについての公式発表も、本記事の執筆時点で確認できていません。

ここに制度上の論点があります。アクセス・無害化措置がまだ施行されていないのであれば、要請の受け皿そのものが制度として開いていないことになります。一方で、現行の枠組み（警察のサイバー犯罪捜査、国際連携）でできることもある。「発動第1号」という言葉が、法律上の発動を指すのか、政府関与の要請一般を指すのかは、現時点では確定できません。

同じ時期に出た、他の要請

法律の義務とは別に、2026年10月には各省庁から注意喚起が相次ぎました。義務ではないものの、実務への影響はこちらのほうが広い。

• 金融庁（10月9日）／「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」。宛先は「金融機関等」。サードパーティリスク管理やインシデント発生時の対応態勢を含めた点検、非対面の本人確認における書類画像・容貌画像の確認徹底、犯罪収益移転防止法施行規則の改正（施行は令和9年4月1日）を待たないICチップ情報読取への対応
• 経済産業省（10月9日）／「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」
• 国家サイバー統括室（10月9日）／「不正アクセスによる漏えい等の事案を踏まえた対応について」

3つとも同じ日に出ており、かついずれもFX事業者に限定したものではありません。個別の事案への対応というより、同種の構成を持つ事業者全体への呼びかけと読めます。

金融庁の文書で注目したいのは、項目の並び順です。1番目がサードパーティリスク管理、2番目が本人確認の画像、3番目がICチップ読取への前倒し対応。「預けた先」と「なりすまし」が同じ文書に並んでいることが、いまの攻撃面の重心を示しています。

金融庁から金融先物取引業協会を通じてFX事業者へ通知が出たと報じられていますが、本記事では一次資料で確認できませんでした。金融先物取引業協会のサイトでも、10月の新規通知の掲載は確認できていません。

制度の前提にある人材の数

制度が動くかどうかは、結局それを回す人がいるかに戻ります。政府資料が引用している数字を見ておきます。

• 日本のセキュリティ人材（2024年）／現状約50万人、不足約17万人（国家サイバー統括室の資料がISC2調査を引用）
• 同（2023年）／現状48.1万人、不足11万人
• 同（2022年）／現状38.8万人、不足5.6万人
• 情報処理安全確保支援士／登録者26,453名（2026年4月1日時点）、平均年齢44.3歳
• 支援士の所在地／関東が18,279名で69.1%を占める

不足数は2022年の5.6万人から2024年の17万人へ、2年で3倍に増えています。支援士の7割が関東に集中している点も、地方の基幹インフラ事業者が義務を負うときの現実的な制約になります。

これらは政府独自の推計ではなく、政府資料が民間調査（ISC2）を引用したものです。経済産業省が2016年に行った政府自身の推計では、情報セキュリティ人材の不足数は2020年に約19.3万人と予測されていました。

エンジニアの側で確認しておくこと

1. 自社または主要な取引先が258者に含まれるか。含まれるなら、資産届出の棚卸しは令和9年3月31日が期限
2. 届出対象の定義を読む。アプライアンスは機器全体、それ以外はOS・ミドルウェア・アプリ。構成管理の粒度がそのまま届出の粒度になる
3. インシデント報告のフローを、速報と詳報に分けて設計する。詳報に必要なログが30日後に残っているかは、保持期間の設計次第
4. 委託契約に報告義務の連鎖が入っているか。発注元が30日以内に詳報を出すなら、委託先の調査期限はそれより短い

出典

• 内閣官房 国家サイバー統括室／「サイバー対処能力強化法及び同整備法の一部施行について（官民連携の強化、アクセス・無害化措置）」（令和8年10月1日）、関係省庁会議資料（令和8年9月30日）、法令ページ
• 内閣官房／「サイバー安全保障に関する取組」説明資料／施行スケジュール、対象事業者257者・15分野、罰則
• 内閣府／「特定侵害事象等の報告等に関する制度の解説」（令和8年10月1日）／届出の期限と対象の定義
• 内閣府・国家サイバー統括室／「サイバー対処能力強化法等の施行について」（2026年9月）／15分野・258事業者
• GMOインターネットグループ／「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について」第4報（2026年10月24日）・第7報（2026年10月26日）／時系列、要求額約80億円、能動的サイバー防御の要請、補償と見舞金
• 内閣官房 国家サイバー統括室 人材政策班／事務局説明資料（令和7年10月14日）／日本のCS人材数の推移（ISC2調査の引用）
• IPA／「情報処理安全確保支援士登録者について（2026年4月1日時点）」／登録者26,453名、平均年齢44.3歳、地域別内訳
• 経済産業省／「IT人材の最新動向と将来推計に関する調査結果」（平成28年6月）／2020年に約19.3万人不足との推計

本記事は2026年10月27日時点で公開されている情報に基づいています。アクセス・無害化措置の施行状況は政府資料の間で表記が割れており、本記事では断定していません。詳報30日以内という期限、および金融庁からFX事業者への通知の有無は報道に基づくもので、一次資料では確認できていません。状況は日々更新されているため、実務判断の際は原典をご確認ください。