# サイバー対処能力強化法・能動的サイバー防御・SCS評価制度｜中小企業に関係する制度の動き(2025〜2026年)

> 2026年10月1日に大部分が施行されたサイバー対処能力強化法(能動的サイバー防御)、経産省のSCS評価制度、IPA10大脅威2026、個人情報保護法の改正を、中小企業に何が関係するかに絞って整理しました。報告期限は法令の原文で確認しています。相次ぐ漏えいを受けた2026年10月の自民党の緊急提言と、政府の関係閣僚会議の動きも載せています(2026-10-30時点)。

発行: 株式会社ウェステリア(https://westeria.jp) / カテゴリ: データ流出・不正アクセス事案 / 出典: https://westeria.jp/security-incidents/guide/policy-and-regulation/

2025年から2026年にかけて、サイバー攻撃に関わる制度が続けて動きました。能動的サイバー防御の関連法の成立と施行、経済産業省のサプライチェーンのセキュリティ対策評価制度(SCS評価制度)、個人情報保護法の改正です。大企業や基幹インフラ向けの話に見えますが、取引先や委託先として関係してくるものもあります。この記事では、2026-10-06時点の公式資料をもとに、それぞれ何が決まり、中小企業にどう関係するかを整理します。相次ぐ漏えいを受けた2026年10月の動き(自民党の緊急提言と、政府の関係閣僚会議)は、2026-10-30時点の公式資料で書いています。

仕様確認・更新日: 2026-10-30

## 結論

- サイバー対処能力強化法は2026年10月1日に大部分が施行されました。基幹インフラの事業者に、重要な電子計算機の届出と、インシデントの報告(速報と、認知した日から30日以内の詳報)が義務づけられます。直接の対象は基幹インフラの事業者です
- 経産省のSCS評価制度は、取引先に求める対策の水準を★の段階で示す制度で、★3・★4は2026年度末ごろの開始を目指しています。取引先から対策の水準を問われる場面が増えると考えられます
- 個人情報保護法の改正法は2026年7月に成立し、本人通知の緩和などが決まりました。施行は公布から2年以内で、細かな内容は今後の規則で定まります

## 年表: 2025〜2026年に決まったこと

| 日付 | できごと | 要点 |
| --- | --- | --- |
| 2025-04-14 | 経産省がSCS評価制度の中間取りまとめを公表 | ★3・★4の段階を示した |
| 2025-05-16 | 能動的サイバー防御の関連法が成立(5月23日公布) | 官民の情報共有、通信情報の利用、攻撃者のサーバへのアクセス・無害化が柱 |
| 2025-07-01 | 国家サイバー統括室(NCO)が発足 | NISCを改組した、能動的サイバー防御の司令塔 |
| 2025-12-23 | 法律に基づく基本方針を閣議決定 | 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針 |
| 2026-01-29 | IPA「情報セキュリティ10大脅威 2026」 | 組織向けの1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃 |
| 2026-03-27 | 経産省がSCS評価制度の構築方針を確定 | ★3・★4は2026年度末ごろの開始を目指す |
| 2026-05-14 | 自民党の国家サイバーセキュリティ戦略本部が提言を公表 | 平時・有事の区別のないサイバー空間での対処能力の向上と、社会全体のレジリエンスの強化 |
| 2026-05-28 | インシデント報告の手続きを定める命令を公布 | 速報と、認知した日から30日以内の報告 |
| 2026-07-10 | 個人情報保護法の改正法が成立(7月17日公布) | 本人通知の緩和、課徴金の導入など。施行は公布から2年以内 |
| 2026-10-01 | サイバー対処能力強化法の大部分が施行 | 基幹インフラ事業者の届出・報告義務が始まった |
| 2026-10-20 | 自民党の同本部が「サイバーセキュリティ対策の抜本的強化に関する提言」をまとめる | 官邸主導の「サイバー対処本部(仮称)」の立ち上げ、人材の育成・確保など |
| 2026-10-22 | 党の政調審議会が提言を了承 | 政調会長の記者会見による |
| 2026-10-23 | 同本部が提言を首相に申し入れる | 党と首相官邸のWebサイトで公表 |
| 2026-10-26 | 政府が第1回「サイバーセキュリティに関する関係閣僚会議」を開く | 首相は、翌週中を目途に政府の「緊急対策パッケージ」をまとめると述べた |

出典: [政府広報オンライン「能動的サイバー防御」](https://www.gov-online.go.jp/article/202507/tv-6049.html)
出典: [INTERNET Watch「国家サイバー統括室が発足」](https://internet.watch.impress.co.jp/docs/news/2027348.html)
出典: [内閣府「サイバー安全保障」(サイバー対処能力強化法の法令・解説)](https://www.cao.go.jp/cybersecurity/)
出典: [IPA「情報セキュリティ10大脅威 2026」](https://www.ipa.go.jp/security/10threats/10threats2026.html)
出典: [経済産業省 報道発表(2026-03-27 制度構築方針)](https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html)
出典: [e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令」](https://laws.e-gov.go.jp/law/508M60000F5A004)
出典: [個人情報保護委員会「令和8年 改正個人情報保護法」](https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/)
出典: [@IT「サイバー対処能力強化法の施行」(2026-10-03)](https://atmarkit.itmedia.co.jp/ait/articles/2610/03/news001.html)
出典: [自由民主党政務調査会 国家サイバーセキュリティ戦略本部「国家安全保障戦略等改定や日本成長戦略策定に向けた提言」(2026-05-14)](https://www.jimin.jp/policy/policy-related/national-security/national-cyber-security-strategy-proposal.html)
出典: [自由民主党「現在は『サイバー有事前夜』 サイバーセキュリティ対策へ提言取りまとめ」(2026-10-21掲載)](https://www.jimin.jp/news/information/214417.html)
出典: [自由民主党 政務調査会長 記者会見(2026-10-22。同日朝の政調審議会で提言を了承)](https://www.jimin.jp/news/press/214438.html)
出典: [自由民主党「国家サイバーセキュリティ戦略本部が提言を申し入れ」(2026-10-23)](https://www.jimin.jp/news/policy/214454.html)
出典: [首相官邸「サイバーセキュリティに関する関係閣僚会議」(2026-10-26)](https://www.kantei.go.jp/jp/105/actions/202610/26kaigi_cyber.html)

## 能動的サイバー防御とサイバー対処能力強化法

能動的サイバー防御は、重大なサイバー攻撃を未然に防ぐために、政府が平時から情報を集め、必要なら攻撃者のサーバなどに対処する考え方です。2025年5月16日に成立した関連法は、サイバー対処能力強化法(正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」)と、関係法律の整備法の2本です。

柱は3つです。基幹インフラ事業者からのインシデント報告などによる官民の情報共有の強化、通信情報の利用、攻撃者のサーバなどへのアクセス・無害化です。司令塔として、2025年7月1日に国家サイバー統括室(NCO)が発足しました。

@ITの報道によると、2026年10月1日に法律の大部分が施行され、アクセス・無害化措置の枠組みも動き出しました。

出典: [政府広報オンライン「能動的サイバー防御」](https://www.gov-online.go.jp/article/202507/tv-6049.html)
出典: [INTERNET Watch「国家サイバー統括室が発足」](https://internet.watch.impress.co.jp/docs/news/2027348.html)
出典: [@IT「サイバー対処能力強化法の施行」(2026-10-03)](https://atmarkit.itmedia.co.jp/ait/articles/2610/03/news001.html)

## 2026年10月1日から何が変わったか(報告の期限)

義務を負うのは、基幹インフラの事業者(法律上は「特別社会基盤事業者」)です。基幹インフラの事業者として指定された事業者が、重要な電子計算機(特定重要電子計算機)を届け出て、インシデントが起きたら報告します。

報告の期限は、2026年5月28日に公布された「特定侵害事象等の報告等に関する命令」第4条第2項が定めています。事象の発生を認知した後速やかに報告書を出し、認知した日から30日以内に改めて報告書を出します。報告先は、事業を所管する大臣と内閣総理大臣です。

内閣府などが2026年10月1日に出した制度の解説では、速報の目安を次のように示しています。

| 報告 | 攻撃の種類 | 期限 |
| --- | --- | --- |
| 速報 | DDoS攻撃 | 認知後、可能なかぎり速やかに |
| 速報 | ランサムウェア・その他のサイバー攻撃 | 認知した日から3〜5日以内 |
| 詳報 | すべて | 認知した日から30日以内 |

個人データの漏えいを伴う場合は、個人情報保護法による報告も別に必要です。その期限は「個人情報の漏えい報告の義務と期限」で説明しています。

出典: [e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令」](https://laws.e-gov.go.jp/law/508M60000F5A004)
出典: [内閣府ほか「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説」(2026-10-01)](https://www.cao.go.jp/cybersecurity/pdf/cyber_kaisetsu_202610.pdf)
出典: [内閣府「サイバー安全保障」(サイバー対処能力強化法の法令・解説)](https://www.cao.go.jp/cybersecurity/)

## 中小企業には、どう関係するか

サイバー対処能力強化法の届出・報告の義務を直接負うのは、指定された基幹インフラの事業者です。多くの中小企業は直接の対象ではありません。

ただし、制度の解説は、インシデントを最初に知るのが、クラウド事業者や、運用・監視を担う委託先などの社外の組織になる場合があると書いています。そのため事業者に、委託先からどんな場面でどんな通知が来るかを、契約などで確かめることが望ましいとしています。基幹インフラ事業者の委託先は、事故時の通知の取り決めを求められる場面が出てくると考えられます。

個人情報保護委員会の改正法の資料では、サイバー対処能力強化法の報告義務の施行に合わせて、ランサムウェアなどの報告を共通の様式で受け付ける窓口を、NCOの下で一元化する方向が示されています。具体的な運用は、所管省庁の案内を確認してください。

出典: [内閣府ほか「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説」(2026-10-01)](https://www.cao.go.jp/cybersecurity/pdf/cyber_kaisetsu_202610.pdf)
出典: [個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」(2026年7月)](https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf)

## SCS評価制度(サプライチェーンのセキュリティ対策評価制度)

経済産業省が進めている、サプライチェーン全体のセキュリティ対策の水準を★の段階で示す制度です。発注する側が取引先に求める対策の水準をそろえ、取引先は自社の対策を示しやすくする狙いがあります。

2025年4月14日の中間取りまとめでは、★3(一般的な攻撃への対策)と★4(供給停止などでサプライチェーンに大きく影響する企業向けの対策)の段階が示されました。2025年12月26日に制度構築方針の案が公表され、2026年3月27日に方針が確定しています。★3・★4は2026年度末ごろの制度開始を目指すとされています。経済産業省は2026年10月9日の注意喚起の中で、2027年3月の制度開始に向けて準備を進めているとしています。

取引先から「どの★に当たるか」を問われる場面が増えると考えられます。開始時期や要求事項は、経済産業省の制度ページで最新の情報を確認してください。

出典: [経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」](https://www.meti.go.jp/policy/netsecurity/scs.html)
出典: [経済産業省 報道発表(2026-03-27 制度構築方針)](https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html)
出典: [MONOist「SCS評価制度の中間取りまとめ」(2025-04-28)](https://monoist.itmedia.co.jp/mn/articles/2504/28/news062.html)
出典: [経済産業省 商務情報政策局「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」(2026-10-09)](https://www.meti.go.jp/policy/netsecurity/pdf/20261009_chuuikanki.pdf)

## IPA「情報セキュリティ10大脅威 2026」

IPAが2026年1月29日に公表した、組織向けの10大脅威は次のとおりです。3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。

- 1位 ランサム攻撃による被害
- 2位 サプライチェーンや委託先を狙った攻撃
- 3位 AIの利用をめぐるサイバーリスク
- 4位 システムの脆弱性を悪用した攻撃
- 5位 機密情報を狙った標的型攻撃
- 6位 地政学的リスクに起因するサイバー攻撃(情報戦を含む)
- 7位 内部不正による情報漏えい等
- 8位 リモートワーク等の環境や仕組みを狙った攻撃
- 9位 DDoS攻撃(分散型サービス妨害攻撃)
- 10位 ビジネスメール詐欺

各脅威の解説と対策は、IPAのページで確認できます。

出典: [IPA「情報セキュリティ10大脅威 2026」](https://www.ipa.go.jp/security/10threats/10threats2026.html)

## 自民党の緊急提言と政府の関係閣僚会議(2026年10月)

自民党の国家サイバーセキュリティ戦略本部(本部長・平将明衆院議員)は2026年10月9日、民間企業からの個人情報の漏えいが相次いでいることについて、政府から説明を受けました。党のWebサイトの記事(10月14日掲載)によると、国家サイバー統括室は、一連の事案の関連性やAIの悪用は現時点で明らかではないとしたうえで、速やかに対応すべき点を3つ挙げました。

- ウェブシステムの脆弱性のリスクを適切に判断し、アップデートなどを速やかに行う
- 委託先企業などの対策の状況を把握し、情報を共有する範囲を適正にする
- 重要な情報資産の管理対象をはっきりさせ、不審なアクセスなどを監視・分析する

同じ記事によると、平本部長は「サイバーセキュリティは新しいフェーズに入り、現在は非常事態、有事という状況」と述べました。そのうえで「政府だけではなく国民も意識を持ってこの有事に立ち向かうことが重要」としています。

同本部は2026年10月20日、「サイバーセキュリティ対策の抜本的強化に関する提言 〜サイバー有事前夜／AIのサイバー飽和攻撃に備えよ！〜」をまとめました。党の政調審議会が10月22日に了承し、10月23日に高市首相に申し入れています。提言の本文は、党のWebサイトでPDFとして公開されています。

提言は、企業へのサイバー攻撃で個人情報の流出が相次ぎ、国民のプライバシーと財産を著しく脅かしているとしています。そのうえで現状を、経済安全保障と国家安全保障を「根底から揺るがす『サイバー有事前夜』とも言うべき重大な危機」と位置づけました。重要インフラの事業者以外でも、個人情報などを大量に持つ企業に広く不正アクセスが行われている、とも書いています。

政府全体への提言の柱は、首相官邸の主導で「サイバー対処本部(仮称)」を立ち上げることです。事務局は国家サイバー統括室(NCO)です。司令塔として、重大な被害が出たときは本部会議を開き、全省庁を挙げて対策を進めるよう求めています。あわせて次の3つを挙げています。

- サイバー対処能力強化法に基づく取組の強化(自衛隊・警察の能力の構築、官民協議会の活用、通信情報の利用、同盟国・同志国との連携)
- 経営層の意識改革と開示の充実(サイバーセキュリティを経営の最重要課題とし、平時からの体制づくりを促す)
- 人材の育成・確保(民間の高度な人材の市場価値に見合う待遇のため、公務員の新たな人事・給与制度をつくる)

関係省庁ごとの提言もあります。たとえば、耐量子計算機暗号(量子コンピュータでも解読されにくい暗号)への移行の加速、警察による攻撃者の特定や、不正に取得された暗号資産の追跡です。漏えいの被害者に安全に連絡する方法の確立や、中小企業向けの「サイバーセキュリティお助け隊サービス」の拡充も含まれます。結びでは、「AIのサイバー飽和攻撃」を前に、政府が直ちに予算措置と法令の検討に取り掛かるよう求めています。

政府は2026年10月26日、首相官邸で第1回の「サイバーセキュリティに関する関係閣僚会議」を開きました。官房長官は同日の会見で、相次ぐ情報漏えいと二次被害を受け、今後の対策を検討するために開くと説明しています。首相は会議で、IPAや警察の相談対応の充実、お助け隊サービスの体制や支援策の拡充の検討などを関係閣僚に指示しました。そのうえで、翌週中を目途に政府の「緊急対策パッケージ」をまとめると述べています。

2026-10-30時点で、政府が「サイバー対処本部」を設置したとの発表は確認できていません。関係閣僚会議と提言の対処本部との関係についての政府の説明も、確認できていません。緊急対策パッケージは、10月30日時点ではまだ公表されていません。

同じ本部は2026年5月14日にも、「国家安全保障戦略等改定や日本成長戦略策定に向けた提言」を公表しています。平時と有事の区別のないサイバー空間での対処能力の向上と、中小企業などを含む社会全体のレジリエンス(被害から立ち直る力)の強化を求める内容です。

出典: [自由民主党「サイバーセキュリティ有事に対峙 不正アクセス再発防止へ議論」(2026-10-14掲載。10-09の党国家サイバーセキュリティ戦略本部)](https://www.jimin.jp/news/information/214364.html)
出典: [自由民主党政務調査会 国家サイバーセキュリティ戦略本部「サイバーセキュリティ対策の抜本的強化に関する提言 〜サイバー有事前夜／AIのサイバー飽和攻撃に備えよ！〜」(2026-10-20、PDF)](https://storage.jimin.jp/pdf/news/policy/214454_1.pdf)
出典: [自由民主党「現在は『サイバー有事前夜』 サイバーセキュリティ対策へ提言取りまとめ」(2026-10-21掲載)](https://www.jimin.jp/news/information/214417.html)
出典: [自由民主党 政務調査会長 記者会見(2026-10-22。同日朝の政調審議会で提言を了承)](https://www.jimin.jp/news/press/214438.html)
出典: [自由民主党「国家サイバーセキュリティ戦略本部が提言を申し入れ」(2026-10-23)](https://www.jimin.jp/news/policy/214454.html)
出典: [首相官邸「自由民主党・国家サイバーセキュリティ戦略本部による提言申入れ」(2026-10-23)](https://www.kantei.go.jp/jp/105/actions/202610/23teigen.html)
出典: [首相官邸「サイバーセキュリティに関する関係閣僚会議」(2026-10-26)](https://www.kantei.go.jp/jp/105/actions/202610/26kaigi_cyber.html)
出典: [内閣官房長官記者会見(2026-10-26午前)「サイバーセキュリティに関する関係閣僚会議の開催について」](https://www.kantei.go.jp/jp/tyoukanpress/202610/26_a.html)
出典: [自由民主党政務調査会 国家サイバーセキュリティ戦略本部「国家安全保障戦略等改定や日本成長戦略策定に向けた提言」(2026-05-14)](https://www.jimin.jp/policy/policy-related/national-security/national-cyber-security-strategy-proposal.html)

## 個人情報保護法の改正(2026年)

個人情報保護法などの改正法は、2026年4月7日に国会に提出され、7月10日に成立、7月17日に公布されました。施行は原則として公布の日から2年を超えない範囲内です。

漏えい等に関係するのは、本人の権利利益の保護に欠けるおそれが少ない場合の本人通知の緩和です。委員会の資料では、それ単体ではほぼ意味を持たない社内のIDだけが漏れた場合などが想定されています。ほかに、委託先の義務の見直し、課徴金制度の導入、不正取得への罰則なども盛り込まれました。

2026年8月から10月にかけて、政令・規則の整備に向けた資料が委員会から公表されている段階です。現行の報告・通知のルールは「個人情報の漏えい報告の義務と期限」で説明しています。

出典: [個人情報保護委員会「令和8年 改正個人情報保護法」](https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/)
出典: [個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」(2026年7月)](https://www.ppc.go.jp/files/pdf/260717_kaiseihounitsuite.pdf)

## よくある質問

### サイバー対処能力強化法は、うちの会社にも関係しますか

届出と報告の義務を直接負うのは、指定された基幹インフラの事業者(特別社会基盤事業者)です。多くの中小企業は直接の対象ではありません。ただし、基幹インフラ事業者の委託先として、事故時の通知の取り決めを求められることは考えられます。

### サイバー対処能力強化法の報告期限は何日ですか

報告等に関する命令第4条第2項で、認知した後速やかに報告し、認知した日から30日以内に改めて報告すると定められています。内閣府などの解説では、速報の目安はランサムウェアなどが3〜5日以内、DDoS攻撃が可能なかぎり速やかです(2026-10-01時点の解説)。

### SCS評価制度はいつ始まりますか

経済産業省は、★3・★4について2026年度末ごろの制度開始を目指すとしています(2026-03-27の方針確定時点)。最新の予定は経済産業省の制度ページで確認してください。

### 能動的サイバー防御で、企業の通信が見られるのですか

法律は通信情報の利用を柱の1つにしていますが、対象や手続きは法律と政府の基本方針で定められています。当特集では詳細を扱っていないため、政府広報オンラインや内閣府の資料で確認してください。

### 自民党の「サイバー対処本部」の提言とは何ですか

自民党の国家サイバーセキュリティ戦略本部が2026年10月20日にまとめ、党の了承(10月22日)を経て10月23日に高市首相に申し入れた「サイバーセキュリティ対策の抜本的強化に関する提言」の柱です。首相官邸の主導で「サイバー対処本部(仮称)」を立ち上げ、国家サイバー統括室を事務局に、全省庁を挙げた対策を進めるよう求めています。政府は10月26日に関係閣僚会議を開きましたが、対処本部の設置の発表は2026-10-30時点で確認できていません。

## 関連ページ

- https://westeria.jp/security-incidents/guide/breach-reporting-obligation/
- https://westeria.jp/security-incidents/guide/why-incidents-keep-happening/
- https://westeria.jp/security-incidents/guide/incident-response/

---

株式会社ウェステリアは、AIネイティブな開発スタイルでソフトウェア開発と業務自動化を行う会社です。初回1時間の無料ヒアリングを受け付けています: https://westeria.jp/#contact