法規制・罰則・補償・補助金
報告の速さが罰則付きで問われる段階に。期限・金額・申請順序を1ページに。2026.10.26
脆弱性対応は技術課題ですが、同時に法令上の義務とお金の話でもあります。2026年は関連法の施行が集中しました。報告の速さが罰則付きで問われる時代に入っています。以下は一般情報の整理で、法的助言ではありません。
1. 能動的サイバー防御法（10月1日施行）確認済み
正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号）。2025年5月成立、2026年10月1日に官民連携・インシデント報告・アクセス／無害化措置が施行され、2027年秋に通信情報の利用が予定されています。
| 項目 | 内容 |
|---|---|
| 直接の義務対象 | 基幹インフラ事業者（経済安全保障推進法の15分野・258事業者 — 電力・ガス・石油・水道・鉄道・貨物自動車運送・外航海運・港湾運送・航空・空港・電気通信・放送・郵便・金融・クレジットカード） |
| インシデント報告 | 特定重要電子計算機のサイバーインシデント（マルウェア実行・不正アクセス等）や原因となりうる事象を認知したとき、事業所管大臣と内閣総理大臣へ報告（10/1から義務） |
| 資産届出 | 導入済み機器の製品名等を2027年3月までに届出。新規導入は4か月以内。国は届出資産と未公表の脆弱性情報を突合し、該当事業者へピンポイントで注意喚起 |
| 罰則 | 報告せず是正命令にも従わない場合 200万円以下の罰金／資料提出等に応じない場合 30万円以下／行政職員・協議会構成員による秘密の不正利用・漏えい 2年以下の拘禁刑または100万円以下 |
| ベンダーへの影響 | 電子計算機・プログラムの供給者に、利用者のセキュリティ確保のための設計・開発、情報の継続提供の努力義務 |
| 中小企業への波及 | 直接の対象外でも、基幹インフラ事業者の委託先・機器供給元として照会や報告協力を求められる可能性 |
GMO事案との関係：同社は「発動第1号」として政府に適用を要請しました。ただしアクセス・無害化措置は国が主体で、独立機関（サイバー通信情報監理委員会）の承認等を経て発動する制度であり、民間の要請で発動が決まるものではありません。10月25日時点で適用は未定です。
2. 個人情報保護法（現行＋令和8年改正）確認済み
| 報告 | 期限と内容 |
|---|---|
| 速報 | 対象事態を知った後、速やかに（概ね3〜5日以内）個人情報保護委員会へ。調査完了を待たない |
| 確報 | 知った日から30日以内（不正の目的のおそれがある漏えい＝不正アクセス等は60日以内） |
| 本人通知 | 対象事態では本人への通知も必要 |
| 違反行為 | 行為者 | 法人 |
|---|---|---|
| 委員会の命令違反 | 1年以下の拘禁刑または100万円以下の罰金 | 1億円以下の罰金 |
| データベース等不正提供等罪 | 1年以下または50万円以下 | 1億円以下 |
| 報告徴収への虚偽報告等 | 50万円以下 | 50万円以下 |
令和8年改正（2026年7月17日公布）で課徴金制度が創設されました。重大な違反で個人の権利利益が侵害された場合等に、違反行為で得た財産的利益に相当する額の納付を命じます（原則として大規模・重大な事案に限られ、対象者1,000人以下などは対象外）。自主報告した場合は50%減額。データベース等不正提供罪に加害目的の提供を加え、詐欺等による不正取得にも罰則を新設。施行は公布から2年以内（2028年春〜7月頃の見込み）。
3. SCS評価制度（2026年度末に申請開始へ）確認済み
経済産業省と内閣官房国家サイバー統括室が2026年3月27日に制度構築方針を公表。取引先のセキュリティ対策を共通基準（★3・★4、★5は今後検討）で可視化し、契約で委託元が必要な段階を提示します。格付け制度ではありません。★3は自己評価（専門家確認を経たもの）、★4は第三者評価。対象はIT基盤（クラウド含む）でOTは直接対象外。2027年1〜3月頃の申請受付開始を目指し、評価ガイドは2026年秋頃公表予定。
罰則のある法規制ではありませんが、取引条件として★取得を求められれば実質的な受注要件になります。経産省と公正取引委員会は、取引先への対策要請が独禁法・取適法上「問題とならない」想定事例を公表済みです。
4. 海外規制（日本企業にも及ぶ）確認済み
| 規制 | 義務・期限 | 制裁金など |
|---|---|---|
| EU CRA | EU市場で提供されるデジタル要素を持つ製品の製造者に、2026年9月11日から報告義務。悪用中の脆弱性・重大インシデントを24時間以内に早期警告、72時間以内に通知、最終報告は是正措置後14日／1か月以内。主要義務の適用は2027年12月11日から | 最大1,500万ユーロまたは全世界売上高の2.5%の高い方 |
| EU NIS2 | 18の重要分野にリスク管理とインシデント報告を義務化。国内法化期限は2024年10月17日。欧州委員会は未完了のアイルランド・スペイン・フランス・オランダをEU司法裁判所へ付託 | 不可欠な事業体で最大1,000万ユーロ以上または売上高2%以上 |
| 米 CIRCIA | 重要インフラに72時間以内の報告、ランサムウェアの身代金支払いは24時間以内。最終規則は2026年10月1日にホワイトハウス（OIRA）審査へ送付され、10月25日時点で未公布＝報告義務は未発効 | 報告拒否には情報提出要求・召喚状等 |
| 米 BOD 26-04 | CISA KEV掲載のうち全権掌握につながるものの迅速な修正を連邦機関に義務付け | 連邦機関のみ。政府調達の取引先には事実上の基準 |
5. 違約金・補償・保険AIfrontierの見解
- 契約上の責任：委託契約・SLAに基づく違約金、損害賠償。個人情報漏えいでは本人からの慰謝料請求・集団訴訟も想定。
- 自主補償の実例（GMO）：一律5,000円＋代替サービス6か月無償＋実現損失補償。約款の免責があっても、信頼回復のため自主補償に踏み切る例が多い。
- 脅迫への対応：身代金・口止め料の支払いは情報削除や不正利用防止の保証になりません（GMO・当局の共通見解）。海外では支払い報告義務（CIRCIA 24時間）や制裁対象者への支払い禁止もあります。
- サイバー保険：調査費・通知費・賠償金・事業中断をカバーしうるが、既知脆弱性の放置やMFA未導入で支払い対象外となる約款が増えています。更新時に条件を確認。
6. 補助金・助成金（2026年度）確認済み
| 制度 | 内容 | 金額・補助率 |
|---|---|---|
| デジタル化・AI導入補助金2026 （セキュリティ対策推進枠） | IPA「サイバーセキュリティお助け隊サービスリスト」掲載サービスの利用料（最大2年分）。中小企業・小規模事業者が対象 | 5万〜150万円／中小1/2以内、小規模2/3以内 |
| 東京都 サイバーセキュリティ対策促進助成金（令和8年度） | 都内中小企業等。IPA「SECURITY ACTION」二つ星の宣言が申請要件。UTM・FW/VPN・EDR/EPP・アクセス管理・ログ管理・暗号化・サーバーOS更新・標的型メール訓練等 | 限度額500万円（下限10万円）／1/2以内。第3回は2027年1月8日〜15日受付予定。GビズIDプライム（発行に2〜3週間）が必要 |
| お助け隊サービス（新類型）実証事業 | SCS評価制度★3・★4の取得を、現状把握から対策導入・申請まで一貫支援（2026年9月〜、無料） | 実証参加は無料 |
| 専門家支援 | IPA「中小企業向けサイバーセキュリティ対策支援 専門家リスト」（情報処理安全確保支援士）。SCS★3の「専門家確認」に対応予定 | — |
AIfrontierの見解 中小企業の活用順序は、①SECURITY ACTION二つ星を宣言（東京都助成の要件）→ ②お助け隊サービス導入（補助金で利用料最大2年分）→ ③設備投資は東京都助成 → ④2026年度末からSCS★3取得。この順で費用負担を抑えながら底上げできます。
出典
- 内閣官房国家サイバー統括室「サイバー対処能力強化法及び同整備法について」 https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei.pdf
- 国家サイバー統括室「サイバー対処能力強化法等の施行について」（2026-09-30） https://www.cyber.go.jp/pdf/press/siryou_20260930.pdf
- 個人情報保護委員会「個人情報保護法等の一部を改正する法律について」（2026-07） https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
- 経済産業省「SCS評価制度の構築方針を公表しました」（2026-03-27） https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html
- European Commission「Safer and more secure digital products」（CRA、2026-09-11） https://commission.europa.eu/news-and-media/news/safer-and-more-secure-digital-products-2026-09-11_en
- European Commission（NIS2、Ireland/Spain/France/Netherlands付託） https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1499
- Paubox「The CIRCIA final rule is at the White House」（2026-10） https://www.paubox.com/blog/circia-final-rule-white-house-deadlines-set-scope-open
- 中小機構「デジタル化・AI導入補助金2026 セキュリティ対策推進枠」 https://it-shien.smrj.go.jp/applicant/subsidy/security/
- 東京都中小企業振興公社「サイバーセキュリティ対策促進助成金」 https://www.tokyo-kosha.or.jp/support/josei/setsubijosei/cyber.html
- IPA「サイバーセキュリティお助け隊サービス（新類型）実証事業」 https://www.ipa.go.jp/security/sme/otasuke-scs.html