セキュリティニュース

概要

米国の規制審査の公開システム RegInfo.gov によると、国土安全保障省 サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の「Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Reporting Requirements」（RIN 1670-AA04）の最終規則が 2026 年 10 月 1 日に行政管理予算局（OMB）の情報・規制問題室（OIRA）に受理され、審査中（Pending Review）となっています。CIRCIA は重要インフラ分野の対象事業者に、対象となるサイバーインシデントを発生したと合理的に判断してから 72 時間以内に、ランサムウェア攻撃に伴う身代金の支払いを支払いから 24 時間以内に CISA へ報告することを求める法律で、CISA は 2024 年 4 月 4 日に規則案を公表していました。

CISA の CIRCIA ページは、報告は最終規則の発効までは任意であると説明しています。最終規則の内容（対象事業者の範囲など）と公布・発効の時期はまだ公表されておらず、報道では年内の公布が見込まれています。規則の策定目標は 2025 年 10 月から 2026 年 5 月、さらに 9 月へと延期されていました。

日本企業への影響と対応のポイント

• 関係するのは、米国でエネルギー・医療・通信・製造・金融など重要インフラ 16 分野の事業を行う企業で、日本企業の米国子会社・拠点を含みます。日本国内のみで事業を行う企業に直接の義務はありません
• 該当しうる場合は、現時点では最終規則の公布を待ちつつ、米国拠点のインシデント判定から 72 時間以内に報告できる連絡体制と、SEC の開示規則など既存の報告義務との関係を整理しておくことを推奨します。対象範囲は最終規則の公布後に確認するのがよいと考えられます

出典

• Pending EO 12866 Regulatory Review（RIN 1670-AA04 の審査状況）（2026-10-01 受理・RegInfo.gov）
• Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA)（CISA）
• CIRCIA Reporting Requirements（規制計画の掲載内容）（RegInfo.gov）
• 補足: CISA Sends CIRCIA Final Rule for White House Review（2026-10-05・The HIPAA Journal）

概要

国家サイバー統括室（NCO）の重要インフラ対策ページによると、2026 年 10 月 1 日に「重要インフラのサイバーセキュリティ対策のための統一基準」（重要インフラ統一基準）が施行されました。あわせて、同室が 2026 年 9 月 11 日に策定した「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」も 10 月 1 日に施行され、「重要インフラのサイバーセキュリティに係る行動計画」は統一基準等の作成に伴って 9 月 14 日に改訂されています。統一基準は、重要インフラ分野の事業者が各分野の安全基準等を整備・運用する際の共通の基準で、本文と概要版が同ページで公開されています。

各種の解説によると、2025 年 5 月に成立したサイバー対処能力強化法（能動的サイバー防御の導入）も、一部の規定を除き同じ 2026 年 10 月 1 日に施行されています。重要インフラ分野の制度が同時期に動いているため、関係する事業者は両方をあわせて確認する必要があります。

日本企業への影響と対応のポイント

• 直接の対象は、情報通信・金融・電力・医療など重要インフラ分野の事業者です。ただし統一基準や各分野の安全基準等は委託先やサプライチェーンの管理も扱うため、重要インフラ事業者にシステムの開発・運用・保守などを提供している企業には、規模を問わず契約や監査を通じて対策の要請が及ぶ可能性があります
• 重要インフラ事業者と取引がある場合は、統一基準の概要（出典）に目を通し、取引先から求められうる事項（インシデント発生時の連絡、アクセス管理、委託先管理など）を確認しておくことを推奨します。取引がない場合は、当面は動向の把握にとどめてよいと考えられます

出典

• 重要インフラ対策関連（政策）（2026-10-01 施行の案内・国家サイバー統括室）
• 重要インフラのサイバーセキュリティ対策のための統一基準の概要（PDF）（国家サイバー統括室）
• 重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン（PDF）（2026-09-11 策定・国家サイバー統括室）
• 補足: 【2026年10月等施行】サイバー対処能力強化法とは？（契約ウォッチ）

概要

国家サイバー統括室（NCO）は、サイバーセキュリティポータルサイトで「サイバーセキュリティ関係法令Q&Aハンドブック」の Ver.3.0（PDF・約 5.7MB）を 2026 年 10 月に公開しました。ハンドブックは、企業における平時のサイバーセキュリティ対策とインシデント発生時の対応に関する法令上の事項を Q&A 形式で解説するもので、企業の効率的・効果的な対策と法令遵守の促進を目的としています。

INTERNET Watch の報道（10 月 5 日）によると、Ver.3.0 ではサイバー対処能力強化法（能動的サイバー防御の導入）をはじめとする国内外の関係法令・ガイドラインの制定・改正に対応したほか、法令の趣旨目的や利用主体に着目して目次を体系化し、付録として「サイバーセキュリティ法体系マッピング」が追加されました。

日本企業への影響と対応のポイント

• 新たな義務が生じるものではなく、企業が自社に関係する法令（個人情報保護法、不正アクセス禁止法、各業法など）を確認するための参考資料です。担当者が法務の専門家でなくても、目次の体系化によって「自社の立場で何が関係するか」を探しやすくなっています
• インシデント発生時の報告先や通知義務を事前に整理しておきたい企業は、該当する章に目を通し、社内の対応手順書に法令上の期限や連絡先を反映することを推奨します

出典

• サイバーセキュリティ関係法令Q&Aハンドブック（2026 年 10 月公開・内閣官房 国家サイバー統括室）
• Ver.3.0 PDF 版（内閣官房 国家サイバー統括室）
• 補足: 「サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0」公開、能動的サイバー防御などに対応（2026-10-05・INTERNET Watch）

概要

情報処理推進機構（IPA）は 2026 年 10 月 1 日、「情報セキュリティ早期警戒パートナーシップガイドライン」の 2026 年版を公開しました。このガイドラインは、ソフトウェア製品やウェブサイトの脆弱性関連情報を IPA と JPCERT/CC が受け付けて調整する枠組みについて、発見者・製品開発者・ウェブサイト運営者などの関係者に推奨する行為をまとめたものです。

IPA の案内によると、主な改訂点は次の 3 つです。

• ガイドラインの署名機関に情報通信研究機構（NICT）を追加
• NICT が脆弱性の発見者となり、NICT 法に基づいて製品開発者に助言・情報提供を行う場合に、製品開発者の負担軽減のため NICT と JPCERT/CC が緊密に連携する旨を追記
• 「重要電子計算機に対する不正な行為による被害の防止に関する法律」（サイバー対処能力強化法）等の施行への対応として、IPA から内閣府への脆弱性関連情報の通知と、その後の内閣府の対応について説明する付録を追加

報道によると、IPA は 2026 年 9 月に改訂案を公開し、9 月 24 日まで意見を募集していました。

日本企業への影響と対応のポイント

• 関係するのは、ソフトウェア製品やネットワーク機器を開発・販売している企業と、自社でウェブサイトを運営している企業です。ガイドラインは推奨事項をまとめたもので、今回の改訂で企業に新たな義務が加わるものではありません
• 製品開発者は、IPA・JPCERT/CC や NICT から脆弱性の連絡を受けたときの社内の受付窓口と対応手順を、2026 年版の内容に照らして確認しておくことを推奨します。ウェブサイト運営者は、IPA から脆弱性の通知が届いた場合の連絡先が最新になっているかを確認しておくと対応がしやすくなります

出典

• 情報セキュリティ早期警戒パートナーシップガイドライン（2026-10-01・IPA）
• 情報セキュリティ早期警戒パートナーシップガイドライン 2026 年版（PDF）（2026-10-01・IPA）
• 補足: IPA、脆弱性情報の早期警戒ガイドライン改訂案を公開 内閣府への通知やNICTとの連携を追加（2026-09・JAPANSecuritySummit Update）