日本の能動的サイバー防御関連法は木曜日に本格運用に入り、重要インフラへの攻撃に使われる敵対サーバーへ、独立監視委の承認後に警察—一定の場合は自衛隊—がアクセスして無力化することを認めた。

10月1日に始まったもの

2025年5月に公布された重要電子計算機に対する不正行為による被害の防止に関する法律と、警察官職務執行法・自衛隊法を改正する伴法の規定が、2026年10月1日に一体で施行された。電力・鉄道・通信・金融など15分野・約258の指定事業者は、対象システムの届出と短縮された期限でのインシデント報告が義務付けられる。国家安全保障会議の手続きと委員会承認が揃えば、警察は攻撃インフラに介入できる。通信データ監視権限と関連する大量取得は、遅くとも2027年11月22日までに閣令で始期が定められる別枠で、木曜の開始はアクセス・無力化・事業者報告に焦点を当てた。

サイバー安全保障担当の古川俊治大臣は水曜の政府会合で、東京が「世界最高水準のレジリエンス」を目指すと述べ、木曜の開始を純粋な防御から計画的な先制的措置への移行と位置づけた。

初日の事業者義務

指定リストの事業者は、セクター規制当局経由で国家サイバー統括室へインシデントを報告する。2025年12月の基本方針下のガイダンスは、年末のコンプライアンス確認前に卓上訓練とベンダーチェーンのマッピングを求める。複数事業者にサービスを提供するベンダーは、ログとパッチ周期について並行の質問票に直面する。サプライチェーン侵害が国会論議の多くを占めた。

対象インシデントの未報告は、既存のサイバー安全基本法の罰則下で行政命令や公表につながる可能性があり、法務家が指摘する。事業者は警察に常設バックドアを設ける必要はなく、無力化は事案ごとに限られる。

監視と市民的自由の枠組み

監視委は運用権限より前の2026年4月1日に活動を開始し、警察が外国ホストのマルウェアをコピー・削除する際の証拠保全手順を公表した。2027年の通信データ枠にプライバシー擁護派の注目は集まるが、木曜の開始でも無力化要請の帰属基準が不十分なら越権の懸念を示す抗議文が出た。

公開された警察マニュアル（一部墨消し）では、無力化にはC2コールバックの遮断や悪性ペイロードの削除が含まれ、代替手段がある場合は正当な顧客データを奪わないとある。自衛隊の関与は、改正自衛隊法の能力・管轄の閾値を満たす場合に限り、一般治安警察より狭いレーンだ。

企業日本の次の一手

指定外企業にも波及する。銀行・製造業は、政府主導のテイクダウンが共有ホスティングを乱す可能性を踏まえインシデント契約とサイバー保険特約を更新している。日本本社を持つ多国籍企業は、セクター省庁が想定する報告カテゴリにグローバルSOCを合わせる。第三者インフラに政府対応者が触れた際の証拠扱いについて、10月の研修は満席だと提供者が報じた。

施行日は業界コメントを経た閣令46号で固定された。次の政策の焦点は、2027年11月の法定期限前に通信監視の開始を定める閣令—今日の無力化権限が初の運用四半期に入る一方、国会の再審議を招く段階だ。