セキュリティニュース

概要

情報処理推進機構（IPA）は 2026 年 10 月 1 日、「情報セキュリティ早期警戒パートナーシップガイドライン」の 2026 年版を公開しました。このガイドラインは、ソフトウェア製品やウェブサイトの脆弱性関連情報を IPA と JPCERT/CC が受け付けて調整する枠組みについて、発見者・製品開発者・ウェブサイト運営者などの関係者に推奨する行為をまとめたものです。

IPA の案内によると、主な改訂点は次の 3 つです。

• ガイドラインの署名機関に情報通信研究機構（NICT）を追加
• NICT が脆弱性の発見者となり、NICT 法に基づいて製品開発者に助言・情報提供を行う場合に、製品開発者の負担軽減のため NICT と JPCERT/CC が緊密に連携する旨を追記
• 「重要電子計算機に対する不正な行為による被害の防止に関する法律」（サイバー対処能力強化法）等の施行への対応として、IPA から内閣府への脆弱性関連情報の通知と、その後の内閣府の対応について説明する付録を追加

報道によると、IPA は 2026 年 9 月に改訂案を公開し、9 月 24 日まで意見を募集していました。

日本企業への影響と対応のポイント

• 関係するのは、ソフトウェア製品やネットワーク機器を開発・販売している企業と、自社でウェブサイトを運営している企業です。ガイドラインは推奨事項をまとめたもので、今回の改訂で企業に新たな義務が加わるものではありません
• 製品開発者は、IPA・JPCERT/CC や NICT から脆弱性の連絡を受けたときの社内の受付窓口と対応手順を、2026 年版の内容に照らして確認しておくことを推奨します。ウェブサイト運営者は、IPA から脆弱性の通知が届いた場合の連絡先が最新になっているかを確認しておくと対応がしやすくなります

出典

• 情報セキュリティ早期警戒パートナーシップガイドライン（2026-10-01・IPA）
• 情報セキュリティ早期警戒パートナーシップガイドライン 2026 年版（PDF）（2026-10-01・IPA）
• 補足: IPA、脆弱性情報の早期警戒ガイドライン改訂案を公開 内閣府への通知やNICTとの連携を追加（2026-09・JAPANSecuritySummit Update）

概要

国家サイバー統括室（NCO）は、サイバーセキュリティポータルサイトで「サイバーセキュリティ関係法令Q&Aハンドブック」の Ver.3.0（PDF・約 5.7MB）を 2026 年 10 月に公開しました。ハンドブックは、企業における平時のサイバーセキュリティ対策とインシデント発生時の対応に関する法令上の事項を Q&A 形式で解説するもので、企業の効率的・効果的な対策と法令遵守の促進を目的としています。

INTERNET Watch の報道（10 月 5 日）によると、Ver.3.0 ではサイバー対処能力強化法（能動的サイバー防御の導入）をはじめとする国内外の関係法令・ガイドラインの制定・改正に対応したほか、法令の趣旨目的や利用主体に着目して目次を体系化し、付録として「サイバーセキュリティ法体系マッピング」が追加されました。

日本企業への影響と対応のポイント

• 新たな義務が生じるものではなく、企業が自社に関係する法令（個人情報保護法、不正アクセス禁止法、各業法など）を確認するための参考資料です。担当者が法務の専門家でなくても、目次の体系化によって「自社の立場で何が関係するか」を探しやすくなっています
• インシデント発生時の報告先や通知義務を事前に整理しておきたい企業は、該当する章に目を通し、社内の対応手順書に法令上の期限や連絡先を反映することを推奨します

出典

• サイバーセキュリティ関係法令Q&Aハンドブック（2026 年 10 月公開・内閣官房 国家サイバー統括室）
• Ver.3.0 PDF 版（内閣官房 国家サイバー統括室）
• 補足: 「サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0」公開、能動的サイバー防御などに対応（2026-10-05・INTERNET Watch）

概要

国家サイバー統括室（NCO）の重要インフラ対策ページによると、2026 年 10 月 1 日に「重要インフラのサイバーセキュリティ対策のための統一基準」（重要インフラ統一基準）が施行されました。あわせて、同室が 2026 年 9 月 11 日に策定した「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」も 10 月 1 日に施行され、「重要インフラのサイバーセキュリティに係る行動計画」は統一基準等の作成に伴って 9 月 14 日に改訂されています。統一基準は、重要インフラ分野の事業者が各分野の安全基準等を整備・運用する際の共通の基準で、本文と概要版が同ページで公開されています。

各種の解説によると、2025 年 5 月に成立したサイバー対処能力強化法（能動的サイバー防御の導入）も、一部の規定を除き同じ 2026 年 10 月 1 日に施行されています。重要インフラ分野の制度が同時期に動いているため、関係する事業者は両方をあわせて確認する必要があります。

日本企業への影響と対応のポイント

• 直接の対象は、情報通信・金融・電力・医療など重要インフラ分野の事業者です。ただし統一基準や各分野の安全基準等は委託先やサプライチェーンの管理も扱うため、重要インフラ事業者にシステムの開発・運用・保守などを提供している企業には、規模を問わず契約や監査を通じて対策の要請が及ぶ可能性があります
• 重要インフラ事業者と取引がある場合は、統一基準の概要（出典）に目を通し、取引先から求められうる事項（インシデント発生時の連絡、アクセス管理、委託先管理など）を確認しておくことを推奨します。取引がない場合は、当面は動向の把握にとどめてよいと考えられます

出典

• 重要インフラ対策関連（政策）（2026-10-01 施行の案内・国家サイバー統括室）
• 重要インフラのサイバーセキュリティ対策のための統一基準の概要（PDF）（国家サイバー統括室）
• 重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン（PDF）（2026-09-11 策定・国家サイバー統括室）
• 補足: 【2026年10月等施行】サイバー対処能力強化法とは？（契約ウォッチ）

概要

欧州委員会の案内によると、サイバーレジリエンス法（Regulation (EU) 2024/2847・CRA）のうち製造者の報告義務は 2026 年 9 月 11 日から適用されています。製造者は、デジタル要素を持つ製品で実際に悪用されている脆弱性と、製品のセキュリティに影響する重大インシデントについて、認知から 24 時間以内に早期警告、72 時間以内に通知を行い、脆弱性については是正措置の提供から 14 日以内に、インシデントについては通知から 1 か月以内に最終報告を行います。届出は主たる拠点のある加盟国の CSIRT に対して行い、ENISA にも同時に共有されます。

ENISA は同日、届出の窓口となる「CRA 単一報告プラットフォーム（Single Reporting Platform・SRP）」の初期運用能力（initial operating capability）を稼働させたと発表しました。1 回の届出で関係するすべての当局に情報が届く仕組みで、FAQ・利用マニュアル・チュートリアル動画・ヘルプデスクが用意され、機能は今後数か月かけて拡充される予定です。オープンソースソフトウェアのスチュワードに対する報告義務と、設計・開発・脆弱性対応などの CRA の主要な義務は、2027 年 12 月 11 日から適用されます。

日本企業への影響と対応のポイント

• 関係する企業: EU 市場にソフトウェアやネットワーク接続機器など「デジタル要素を持つ製品」を出している製造者（日本企業が EU 向けに販売する場合を含む）。EU 製の製品を仕入れて国内で使うだけの企業には、直接の義務はありません
• 該当する場合は、脆弱性やインシデントを認知から 24 時間以内に届け出られる社内の連絡体制と、SRP の利用手順（アカウント・担当者）を確認することを推奨します。該当しない場合でも、EU 向け製品を扱う取引先から情報提供を求められる可能性があるため、問い合わせの窓口を決めておくと対応がしやすくなります

出典

• The CRA Single Reporting Platform is launched（2026-09-11・ENISA）
• Cyber Resilience Act – Reporting obligations（2026-09-11 更新・European Commission）
• Cyber Resilience Act（European Commission）