先に要点
- 能動的サイバー防御は、重大なサイバー攻撃を「起きてから対処する」だけでなく、被害が出る前に防ぐための政府の取り組みです。根拠は2025年5月に成立したサイバー対処能力強化法と整備法です。
- 柱は3つ：官民連携の強化（基幹インフラ事業者の届出・インシデント報告、協議会）、通信情報の利用、アクセス・無害化措置（攻撃に使われているサーバーなどにアクセスし、不正なプログラムを止める）。
- 施行は段階的です。2026年10月1日に「官民連携の強化」と「アクセス・無害化措置」の規定が施行され、通信情報の利用は2027年11月までに順次施行されます。
- 新しい義務がかかるのは主に電気・ガス・金融・通信などの基幹インフラ事業者です。それ以外の会社にとっては、自分のシステムを守る責任はこれまでどおりで、政府の措置が代わりに守ってくれるものではありません。
「能動的サイバー防御」という言葉は、大きなサイバー攻撃のニュースのたびに話題になります。ただ、言葉の印象から「政府が攻撃者に反撃してくれる」「被害を受けた会社が頼めば発動してもらえる」と受け取られることもあり、実際の制度とは少しずれています。
この記事では、国家サイバー統括室の発表と、衆議院の調査局による法律の解説（2026年10月26日に確認）をもとに、制度の中身、施行の段階、企業に関係することを整理します。法律の解釈が必要な判断は、最新の公式の資料や専門家に確認してください。
能動的サイバー防御とは：被害の前に防ぐための仕組み
これまで日本の対策は、攻撃を受けたあとに調べて対処する形が中心でした。国家安全保障戦略（2022年12月）で、重大な攻撃を未然に防ぎ、被害の拡大を防ぐための「能動的サイバー防御」を導入する方針が示され、そのための法律が2025年に成立しました。
| 項目 | 内容 |
|---|---|
| 根拠の法律 | 重要電子計算機に対する不正な行為による被害の防止に関する法律（サイバー対処能力強化法、令和7年法律第42号）と、同法の施行に伴う整備法（令和7年法律第43号） |
| 成立・公布 | 2025年5月16日に成立、5月23日に公布 |
| 司令塔 | 内閣官房の国家サイバー統括室（2025年7月1日に、それまでの NISC を改組して発足） |
| 施行 | 段階的。2026年10月1日に一部、通信情報の利用は2027年11月までに順次 |
3つの柱
法律の中身は、大きく3つに分かれます。
柱 1
官民連携の強化
経済安全保障推進法で指定された基幹インフラ事業者は、一定の重要なコンピューター（特定重要電子計算機）を導入したときに届け出て、そのセキュリティが害されたことなどを知ったときは国に報告します。あわせて、政府と民間が情報を出し合う協議会が置かれます。
柱 2
通信情報の利用
攻撃に使われるサーバーなどを見つけるため、一定の条件で通信の情報を取得し、機械的に選別して分析します。通信の秘密に関わるため、独立した機関（サイバー通信情報監理委員会）による事前の審査や継続的な検査の仕組みが設けられています。
柱 3
アクセス・無害化措置
サイバー攻撃で重大な危害が生じるおそれがあるなど一定の要件を満たす場合に、攻撃に使われているサーバーなどにアクセスして、不正なプログラムの停止・削除などを行います。警察は警察官職務執行法の改正で権限が定められ、独立機関の事前の承認などの手続きがあります。自衛隊は自衛隊法の改正で、内閣総理大臣の命令による措置が定められています。
施行の段階：2026年10月1日に一部が始まった
国家サイバー統括室は、2026年10月1日に「官民連携の強化」と「アクセス・無害化措置」に関する規定が施行されたと発表しました。発表によると、前日の9月30日には、サイバー安全保障を担当する大臣のもとで関係省庁の会議を開き、準備の状況を確かめています。
| 時期 | 内容 |
|---|---|
| 2025年5月 | 法律が成立・公布 |
| 2025年7月1日 | 国家サイバー統括室が発足 |
| 2026年10月1日 | 官民連携の強化（協議会、基幹インフラ事業者の届出・インシデント報告）、アクセス・無害化措置の規定が施行 |
| 2027年11月まで | 通信情報の利用に関する規定が順次施行 |
企業に関係すること
新しく法律上の義務がかかるのは、主に基幹インフラ事業者です。電気・ガス・金融・電気通信など、経済安全保障推進法で指定された事業者がこれに当たり、重要なコンピューターの届出と、インシデントの報告が求められます。対象かどうかは、所管の省庁からの指定で決まります。
それ以外の会社には、この法律による新しい報告の義務はありません。一方で、次の点は押さえておきます。
誤解されやすい点
不正アクセスやランサムウェアの被害を受けたときは、これまでどおり、都道府県警察のサイバー犯罪の相談窓口や、IPA の相談窓口に連絡します。個人情報が漏れたおそれがあれば、個人情報保護委員会への報告が必要な場合もあります。日ごろの備えは ランサムウェアとは や KEVカタログで脆弱性対応の優先度を決める で整理しています。
能動的サイバー防御についてよくある質問
Q. 能動的サイバー防御は、もう始まっていますか？
A. 一部は始まっています。2026年10月1日に、官民連携の強化と、アクセス・無害化措置に関する規定が施行されました。通信情報の利用に関する規定は、2027年11月までに順次施行される予定です。
Q. うちの会社は何か手続きが必要ですか？
A. 届出やインシデント報告の義務がかかるのは、経済安全保障推進法で指定された基幹インフラ事業者です。指定されていなければ、この法律による新しい手続きはありません。
Q. 通信の中身を政府に見られるのですか？
A. 法律は、攻撃の兆候を見つける目的で一定の条件のもとで通信情報を取得し、機械的に選別して分析する仕組みを定めています。通信の秘密に関わるため、独立した機関の事前の審査や継続的な検査、国会への報告などの仕組みが設けられています。細かな運用は、施行に合わせて定められる政令や指針で確認してください。
Q. 攻撃を受けた会社が、政府に措置を求めることはできますか？
A. 措置を行うかどうかは、重大な危害が生じるおそれがあるかなどの法律の要件と、独立機関の承認や内閣総理大臣の命令といった手続きに沿って、政府側が判断するものです。被害を受けたときは、まず警察や IPA に相談し、自社でできる対処（ネットワークの切り離し、証拠の保全、復旧）を進めます。
まとめ
- 能動的サイバー防御は、重大なサイバー攻撃を未然に防ぎ、被害の拡大を防ぐための政府の取り組みで、2025年に成立したサイバー対処能力強化法と整備法が根拠です。
- 柱は、官民連携の強化・通信情報の利用・アクセス・無害化措置の3つ。2026年10月1日に一部が施行され、通信情報の利用は2027年11月までに順次施行されます。
- 新しい義務は主に基幹インフラ事業者にかかります。それ以外の会社も、自社のシステムを守る責任と、被害時の相談先はこれまでどおりです。
参考リンク
- 国家サイバー統括室: サイバー対処能力強化法及び同整備法の一部施行について（2026年10月1日）
- 衆議院調査局: サイバー対処能力強化法及び同整備法について ―能動的サイバー防御の導入―（論究 第22号）
- 内閣官房: 法律の説明資料
- 首相官邸: 国家サイバー統括室発足式（2025年7月1日）
- 国家サイバー統括室: サイバーセキュリティ戦略（2025年12月23日）