重要電子計算機防護法とは―特別社会基盤事業者の届出・報告義務，警察のアクセス・無害化措置及び自衛隊法８１条の３（AI作成）

第１　本記事の対象と結論

１　令和８年１０月１日に施行された部分

重要電子計算機に対する不正な行為による被害の防止に関する法律（令和７年法律第４２号。以下「防護法」という。）は，令和７年５月２３日に公布され，令和８年１０月１日に主要な部分が施行された。
同じ日に，同法の施行に伴って改正された警察官職務執行法６条の２と自衛隊法８１条の３も施行され，警察と自衛隊がサイバー攻撃に対処するための新しい権限が動き出した。
本記事は，防護法と関係法令の条文に基づいて，企業の側に生じる届出・報告の義務と，国の対処の仕組みを説明する。
基準日は令和８年１０月１７日であり，条文はe-Gov法令検索で同日現在の本文を確認した。
政府の説明資料では，防護法は「サイバー対処能力強化法」と呼ばれ，同時に成立した重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律（令和７年法律第４３号。以下「整備法」という。）と一体で説明されている。
内閣官房国家サイバー統括室等の説明資料（令和８年９月）によれば，届出・報告等の対象となる基幹インフラ事業者は１５分野・２５８事業者である。

２　結論

防護法の義務を直接負う民間事業者は，経済安全保障推進法の基幹インフラ制度で指定された特定社会基盤事業者のうち，特定重要電子計算機を使う「特別社会基盤事業者」である。
特別社会基盤事業者は，特定重要電子計算機の製品名・製造者名等を所管大臣に届け出て，サイバー攻撃による被害やその兆候を認知したときは所管大臣と内閣総理大臣に報告しなければならない。
施行の時点で既に導入している特定重要電子計算機の届出期限は，施行日から６か月以内である。
他方，国が通信情報を取得する仕組み（当事者協定・外外通信目的送信措置等）は，令和８年１０月１７日現在まだ施行されていない。
警察のサイバー危害防止措置執行官と自衛隊の通信防護措置は，攻撃元のサーバ等に電気通信回線を介して働きかける措置であり，原則としてサイバー通信情報監理委員会の承認を要する。

第２　法律の構造と施行日

１　段階的な施行

防護法の附則１条は，規定ごとに施行日を分けている。
本則は公布の日から１年６か月を超えない範囲内で政令で定める日に施行するとされ，施行期日を定める政令（令和８年政令第４６号）は，その日を令和８年１０月１日と定めた。
整備法による警察官職務執行法と自衛隊法の改正も，防護法の本則と同じ日に施行された。

２　通信の秘密の尊重

防護法２条の２は，この法律の適用に当たっては，目的を達成するために必要な最小限度において厳格に権限を行使するものとし，通信の秘密その他日本国憲法の保障する国民の権利と自由を不当に制限してはならないと定める。
通信情報の取得を含む仕組みであることから，法律自体に権限行使の限度が書き込まれている。

第３　対象となる電子計算機と事業者

１　重要電子計算機の３つの類型

防護法の「重要電子計算機」は，次の３つの類型に分かれる（防護法２条２項）。
①国の行政機関，地方公共団体，独立行政法人等が使用する電子計算機のうち政令で定めるもの（１号）
②経済安全保障推進法５０条１項の特定社会基盤事業者が使用する電子計算機のうち，特定重要設備の機能が停止し，又は低下するおそれがあるものとして政令で定めるもの（２号）
③特定秘密，重要経済安保情報等の重要情報を保有する事業者が使用する電子計算機のうち政令で定めるもの（３号）
施行令１条２項は，１号の法人として日本銀行，日本年金機構，地方公共団体情報システム機構等１６法人（育成就労制度の施行前は１５法人）を挙げている。

２　特別社会基盤事業者と特定重要電子計算機

「特別社会基盤事業者」は，特定社会基盤事業者のうち，上記②の重要電子計算機（「特定重要電子計算機」）を使用するものをいう（防護法２条３項）。
特定社会基盤事業者は，経済安全保障推進法５０条１項により，電気，ガス，石油，水道，鉄道，貨物自動車運送，外航海運，港湾運送，航空，空港，電気通信，放送，郵便，金融，クレジットカードの各事業から主務大臣が指定する事業者である。
特定重要電子計算機の範囲は，施行令１条３項が３つに分けている。
①特定重要設備である電子計算機又はその一部を構成する電子計算機
②特定重要設備と電気通信回線で直接又は間接に接続され，特定重要設備の機能に影響を与える電磁的記録を送信する機能を持つものとして主務省令で定めるもの
③特定重要設備で処理するデータを作成する電子計算機のうち，そのデータが一定の期間ごとに入力されなくなると特定重要設備の機能が停止し，又は低下するものとして主務省令で定めるもの
主務省令（特別社会基盤事業者による特定侵害事象等の報告等に関する命令。以下「報告命令」という。）１条は，②として，ルーティング機器，ファイアウォール等，ネットワーク構成図や識別符号を保存する電子計算機，アクセス制御機能を持つ電子計算機等を列挙している。
そのため，制御システムの本体だけでなく，その周りのネットワーク機器や認証の仕組みも届出・報告の対象になり得る。

第４　特別社会基盤事業者の届出・報告義務

１　特定重要電子計算機の届出

特別社会基盤事業者は，特定重要電子計算機を導入したときは，製品名・製造者名その他の事項を，その事業を所管する大臣（特別社会基盤事業所管大臣）に届け出なければならない（防護法４条１項）。
届出は，導入した日から４か月以内に，様式第一の届出書で行う（報告命令２条１項）。
届け出る事項は，①特別社会基盤事業者の概要，②特定重要設備の区分，③特定重要電子計算機の区分，④製品名，⑤製造者名である（同条５項）。
クラウド・コンピューティング・サービスを使う場合は，製品名に代えてサービスの名称を，製造者名に代えて提供事業者名を書く扱いである（同条４項）。
一の特別社会基盤事業者（親法人等が同じ複数の事業者を含む。）の事業の用に供されるもの，又は広く一般に使用されているものとして特別社会基盤事業所管大臣と内閣総理大臣が指定するものは，届出を要しない（同条１項ただし書）。
施行の際に既に特定重要電子計算機を導入している特別社会基盤事業者は，施行日から６か月以内に届け出る（防護法附則４条）。
政府の解説資料は，この期限を令和９年３月３１日としている。
広く一般に使用されている製品としては，告示によりマイクロソフト・コーポレーションのWindows及びWindows Serverが指定されている。
経済安全保障推進法５２条の導入等計画書を既に提出しており，名称・供給者が一致する場合は，その計画書等の提出をもって届出書に代えることができる（報告命令２条４項）。
届出事項の変更は，変更の日から４か月以内に届け出る（防護法４条３項，報告命令３条１項）。
ただし，特別社会基盤事業者の名称の変更は届出を要しない軽微な変更とされている（同条４項）。

２　特定侵害事象等の報告

特別社会基盤事業者は，特定重要電子計算機に係る「特定侵害事象」又はその原因となり得る事象として主務省令で定めるものの発生を認知したときは，特別社会基盤事業所管大臣と内閣総理大臣に報告しなければならない（防護法５条）。
「特定不正行為」は，①不正指令電磁的記録の供用（刑法１６８条の２第２項）に当たる行為，②不正アクセス行為，③電子計算機を用いて行われる業務に係る刑法第２編第３５章の罪に当たる行為で，その電子計算機のサイバーセキュリティを害して行われるものをいう（防護法２条４項）。
「特定侵害事象」は，特定不正行為により重要電子計算機のサイバーセキュリティが害されることをいう（同条５項）。
報告命令４条１項は，原因となり得る事象として，特定重要設備等である電子計算機について，不正な指令を与える電磁的記録を受信させる行為，他人の識別符号の入力，アクセス制御を免れる情報の入力，識別符号の不正な取得及びこれらの痕跡が記録されることを挙げている。
経済安全保障推進法による指定を受けた日から６か月以内に発生した事象等，報告を要しない場合も定められている（報告命令４条２項各号）。
報告は，認知した後速やかに，その時点で分かっている事項を記載した報告書を提出し，さらに認知した日から３０日以内に，所定の事項を記載した報告書を提出して行う（報告命令４条２項）。
報告事項は，報告の区分，事業者の概要，特定侵害事象等の概要，発生した特定重要電子計算機，技術的な事項，対応に関する事項及びその他の特記事項である（同条３項）。
被害が確定する前の兆候の段階から，第一報と３０日以内の報告の２段階で期限が進む点に注意を要する。
政府の解説資料は，第一報（速報）について，DDoS攻撃は認知後に可能な限り速やかに，ランサムウェア事案その他のサイバー攻撃事案は認知した日から３～５日以内に報告するとしている。
同資料は，「認知」とは，監視のアラートが出ただけで直ちに当たるものではなく，特定侵害事象等に該当すると合理的に判断できる状態を指すとしている。
委託先が管理する特定重要電子計算機が侵害された場合も報告の対象であり，特別社会基盤事業者は委託先から通知を受けて該当性を判定するとされている。

３　命令，報告徴収及び罰則

特別社会基盤事業所管大臣は，届出・報告の義務に違反している特別社会基盤事業者に対し，期限を定めて届出・報告又はその是正を命ずることができる（防護法６条）。
命令に違反した者は２００万円以下の罰金に処され（防護法８３条），所管大臣の報告徴収（防護法９条）に応じず又は虚偽の報告をした者は３０万円以下の罰金に処される（防護法８４条）。
いずれも，法人の代表者や従業者が業務に関して違反したときは，法人も罰金刑を科される（防護法８６条）。
報告の受付等の権限は，施行令３条により，総合通信局長，経済産業局長，地方整備局長・地方運輸局長等及び財務局長に委任されている。

第５　国の情報提供と協議会

１　総合整理分析情報の提供

内閣総理大臣は，届出・報告の情報や協議会を通じて得た情報等を整理・分析し（防護法３７条），その結果を国の行政機関に提供する（防護法３８条）。
特別社会基盤事業所管大臣は，秘密を含まない周知等用の情報を特別社会基盤事業者に提供することができ，提供を受けた事業者は，その情報を活用して被害を防止するために必要な措置を講ずるよう努めなければならない（防護法４０条）。
内閣総理大臣は，周知等用の情報を重要電子計算機を使用する者その他の者に提供し，又は公表等の方法で周知することもできる（防護法４１条）。
施行令２条は，整理・分析の事務の委託先として国立研究開発法人情報通信研究機構を，周知の事務の委託先として一般社団法人ＪＰＣＥＲＴコーディネーションセンターを定めている。

２　電子計算機・プログラムの供給者への要請

内閣総理大臣又は所管大臣は，重要電子計算機として使われる電子計算機やプログラムの脆弱性を認知したときは，その供給者に情報を提供し，対応方法を公表等により周知することができる（防護法４２条１項）。
特定重要電子計算機に使われる製品の脆弱性については，所管大臣が供給者に被害防止のための措置を講ずるよう要請することができる（同条２項）。
供給者は，報告・資料の提出を求められたときは，応じるよう努めなければならない（同条４項・５項）。
これらの規定は，国外の供給者が国内の者に電子計算機等を供給した場合にも適用される（同条６項）。
ここでいう供給には，電子計算機等を他人の情報処理の用に供する役務の提供，つまりクラウドサービス等も含まれる（同条１項）。

３　協議会

内閣総理大臣は，関係行政機関の長で構成する情報共有及び対策のための協議会を組織し，重要電子計算機を使用する者や供給者を，その同意を得て構成員に加えることができる（防護法４５条１項・２項）。
構成員は，協議会から資料の提出等の協力を求められたときは，正当な理由がある場合を除き，応じなければならない（同条５項）。
提出する資料の取扱いについて意見を付すことができ，他の構成員はその意見に配慮しなければならない（同条６項）。
協議会の事務に従事する者の秘密保持義務には罰則がある（同条７項，防護法８２条）。
内閣官房国家サイバー統括室等の説明資料は，令和８年１０月１日から，基幹インフラ事業者を中心に約１００組織が協議会の構成員として加入する予定であるとし，構成員とは別に「協議会フレンズ」という枠組みで，加工した情報を広く共有するとしている。

第６　警察のアクセス・無害化措置と自衛隊法８１条の３

１　警察のサイバー危害防止措置執行官

警察庁長官は，必要な知識・能力を持つ警察官をサイバー危害防止措置執行官として指名する（警察官職務執行法６条の２第１項）。
同執行官は，サイバー攻撃等に用いられる通信や電磁的記録を認めた場合で，放置すれば人の生命，身体又は財産に重大な危害が発生するおそれがあるため緊急の必要があるときは，攻撃に関係するサーバ等の管理者に措置を命じ，又は自ら電気通信回線を介して電磁的記録の消去その他の措置をとることができる（同条２項）。
相手のサーバ等が国内にあると認める相当な理由がない場合は，警察庁の執行官に限り，警察庁長官を通じて外務大臣と協議した上で行う（同条３項）。
この措置には，原則として事前にサイバー通信情報監理委員会の承認が必要であり，重要電子計算機に重大な障害を生じさせる通信が現に送信されている場合等の特段の事由があるときに限り，事後の通知で足りる（同条４項・９項）。
措置をとったときは，原則として遅滞なくサーバ等の管理者に通知する（同条８項）。

２　自衛隊法８１条の３の通信防護措置

内閣総理大臣は，重要電子計算機に対する特定不正行為であって，本邦外にある者による特に高度に組織的かつ計画的な行為と認められるものが行われた場合に，次の３つの要件をすべて満たすときは，部隊等に通信防護措置を命ずることができる（自衛隊法８１条の３第１項）。
①重要電子計算機に特定重大支障（容易に回復できない支障により国家及び国民の安全を著しく損なう事態）が生ずるおそれが大きいこと
②その発生を防止するために自衛隊が有する特別の技術又は情報が必要不可欠であること
③国家公安委員会の要請又は同意があること
防護の対象となる重要電子計算機は，防護法の重要電子計算機と同じであるが，重要情報を保有する事業者の電子計算機（防護法２条２項３号）については，防衛関連の契約事業者が特別防衛秘密や防衛大臣から提供を受けた特定秘密等を取り扱うために使うものに限られる（自衛隊法８１条の３第２項）。
部隊等は，警察庁又は都道府県警察と共同して措置を実施し，内閣総理大臣は，あらかじめ防衛大臣と国家公安委員会に協議させた上で，対処する行為，防護の対象，措置の内容，期間及び警察との連携の要領を指定する（同条３項・４項）。
措置の必要がなくなったときは，期間内でも速やかに終了を命じなければならない（同条５項）。
措置の際の権限は，警察官職務執行法６条の２第２項から第１１項までが準用され，サイバー通信情報監理委員会の承認の規定もこれに含まれる（自衛隊法９１条の３）。
アクセス・無害化措置の運用に関する指針（令和７年１２月２６日国家安全保障会議決定）は，国外に設置されている攻撃側のサーバ等に対する措置の実施を想定し，通信防護措置の命令と終了の命令は，国家安全保障会議の審議を経て閣議の決定を求めるものとしている。

３　サイバー通信情報監理委員会

サイバー通信情報監理委員会は，内閣府設置法４９条３項に基づく委員会として置かれ（防護法４６条），委員長と委員４人で組織される（防護法５０条１項）。
委員長と委員は，法律又はサイバーセキュリティ・情報通信技術に関する専門的知識等を有する者のうちから，両議院の同意を得て内閣総理大臣が任命する（同条３項）。
委員会は，毎年，所掌事務の処理状況を国会に報告し，その概要を公表しなければならない（防護法６１条１項）。
その報告には，警察官と自衛官によるアクセス・無害化措置の承認の求め・通知・承認の件数等が含まれる（同条２項６号～９号）。

４　物理的な警護との違い

自衛隊法８１条の２の警護出動の対象は自衛隊の施設と在日米軍の施設・区域に限られ，民間のデータセンター等の建物は含まれない。
これに対し，８１条の３の通信防護措置は，電気通信回線を介した措置として，特定社会基盤事業者の特定重要電子計算機等にも及び得る。
建物を物理的に守る制度と，電子計算機への攻撃を回線を通じて止める制度は，対象も要件も別に定められている。

第７　まだ施行されていない部分

防護法の第３章から第７章までは，国が通信情報を取得・選別・分析する仕組みを定める。
特別社会基盤事業者と内閣総理大臣が協定を結んで通信情報の提供を受ける「当事者協定」（第３章），国外の通信同士の情報を取得する「外外通信目的送信措置」（第４章）及び国外と国内の間の通信に関する「特定外内通信目的送信措置」「特定内外通信目的送信措置」（第６章）がこれに当たる。
これらは附則１条４号により公布の日から２年６か月を超えない範囲内で政令で定める日に施行するとされ，令和８年１０月１７日現在，その施行日を定める政令は確認できない。
内閣官房国家サイバー統括室等の説明資料（令和８年９月）は，通信情報の利用を「来年秋より施行」としている。
日本弁護士連合会は，法案の審議中に，当事者協定による通信情報の利用について高度の必要性・補充性・相当性を要件とすること等を求める意見書を出した（令和７年４月１７日）。
参議院内閣委員会の附帯決議（令和７年５月１５日）は，当事者協定に基づく選別後通信情報の利用・提供を犯罪捜査目的ではなくサイバーセキュリティ対策に係る場合に限定することを求め，基本方針（令和７年１２月２３日閣議決定）の概要は，同法に基づく他目的利用には「犯罪捜査のための通信情報の利用は含まれ得ない」としている。
ただし，附則２条により，第４号施行日の前でも，内閣総理大臣と特別社会基盤事業者は協定の締結について相互に協議を求めることができる。
附則７条は，第４号施行日から３年を目途に，報告制度と通信情報の取得・取扱いの状況を検討すると定めている。

第８　弁護士・税理士が確認すること

１　顧問先が対象かどうか

まず，顧問先が経済安全保障推進法５０条１項の特定社会基盤事業者に指定されているかを確認する。
指定を受けていれば，次に，制御システム，ネットワーク機器，認証基盤，データ作成用の端末等のうち，施行令１条３項と報告命令１条に当たるものを洗い出す。
法律事務所や税理士事務所が自ら特別社会基盤事業者に当たることは通常考えにくいが，本記事では，顧問先の届出・報告の期限管理や契約の見直しに関与する場面を想定している。

２　期限と記録

既存の特定重要電子計算機の届出は令和８年１０月１日から６か月以内，その後の導入・変更は４か月以内である。
特定侵害事象等の報告は，認知後速やかな第一報と，認知した日から３０日以内の報告の２段階である。
認知した日時，認知の経緯，第一報の提出日時と内容を記録しておかないと，期限の起算点を後から説明できない。
個人情報の漏えい等や，電気通信事業者の重大な事故等，同じ事故について別の法律に基づく報告が必要になることもあるため，報告先と期限をそれぞれの法律で確認する。
政府の解説資料は，防護法５条の報告のほかに，各業法に基づく事故報告や，個人データの漏えい等に関する個人情報保護法２６条１項等の報告が必要になる場合があるとしている。
関係省庁の申合せ（令和８年９月１５日一部改正）により，これらの報告には共通様式を使うことができ，報告を受けた官公署は，報告者が希望しない旨を示した場合を除き，その内容を国家サイバー統括室に共有する。

３　ベンダー・委託先との契約

特定重要電子計算機の製品名・製造者名の届出や，侵害事象の技術的な事項の報告には，ベンダーや保守委託先からの情報が欠かせない。
保守契約・クラウド契約には，製品構成の変更の通知，侵害の兆候を認知したときの連絡期限，調査ログの保存と提供，国からの報告徴収や協議会の求めへの協力を定めておく。
国外のベンダーの製品も，防護法４２条による国からの要請・報告徴収の対象となり得る。
政府の解説資料は，特別社会基盤事業者が所有していなくても事業に使っている電子計算機は対象になり得るとし，グループ会社やベンダーが所有する機器，クラウドサービス及び国外にある機器を例に挙げている。
同資料は，委託先・クラウド事業者に情報の提供を求めるときは，独占禁止法，中小受託取引適正化法及びフリーランス法に違反しないよう留意するとしている。

第９　関連記事

クラウド事業者が被害を受けたときの利用者の個人情報保護法上の報告義務は，クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか―施行規則７条３号，滅失・毀損とバックアップ（AI作成）で説明している。
個人情報保護委員会が示した不正アクセスの類型は，個人情報保護委員会が示した不正アクセス９類型―API，クラウド，グループ会社，個人領域及びログ管理（AI作成）を参照されたい。
障害時の業務継続は，法律事務所のクラウド・決済障害に備えるBCP―期限，依頼者連絡，預り金及び復旧訓練（AI作成）で扱っている。
自衛隊の指揮統制へのAI導入と国際人道法は，自衛隊の指揮統制へのAI導入検討とサカナAI案―報道，国会答弁，概算要求及び国際人道法から確認できること（AI作成）で整理している。

第１０　出典

①重要電子計算機に対する不正な行為による被害の防止に関する法律（令和７年法律第４２号）（e-Gov法令検索）１条，２条，２条の２，３条，４条～１０条，３７条～４２条，４５条，４６条，７２条，７４条，８２条～８４条，８６条，附則１条，２条，４条及び７条
②同法施行令（令和８年政令第４７号）（e-Gov法令検索）１条～３条及び附則
③重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令（令和８年内閣府・総務省・法務省・財務省・厚生労働省・農林水産省・経済産業省・国土交通省令第４号）（e-Gov法令検索）１条～４条及び附則
④警察官職務執行法（e-Gov法令検索）６条の２
⑤自衛隊法（e-Gov法令検索）８１条の２，８１条の３及び９１条の３
⑥経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律（e-Gov法令検索）５０条１項
⑦内閣官房国家サイバー統括室・内閣府政策統括官（サイバー安全保障担当）「サイバー対処能力強化法等の施行について」（令和８年９月）２頁・４頁
⑧内閣官房国家サイバー統括室「サイバー対処能力強化法及び同整備法について」（令和７年９月）
⑨内閣府ほか「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説」（令和８年１０月１日）８頁，２３頁，５４頁，５７頁，５９頁，６１頁及び６２頁
⑩重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針（令和７年１２月２３日閣議決定）及びその概要
⑪アクセス・無害化措置の運用に関する指針（令和７年１２月２６日国家安全保障会議決定）
⑫サイバー攻撃による被害が発生した場合の報告手続等に関する申合せ（令和７年５月２８日関係省庁申合せ，令和８年９月１５日一部改正）
⑬重要電子計算機に対する不正な行為による被害の防止に関する法律の施行期日を定める政令（令和８年政令第４６号）
⑭参議院「重要電子計算機に対する不正な行為による被害の防止に関する法律」関連資料（提案理由・委員長報告・附帯決議）
⑮日本弁護士連合会「いわゆる能動的サイバー防御法案について慎重審議等を求める意見書」（令和７年４月１７日）
法令は令和８年１０月１７日に確認した現行の本文による。
</content>