個人情報保護法（APPI）、サイバー対処能力強化法、経済安全保障推進法、経済産業省のガイドライン。対象も報告先も異なりますが、 共通して前提となるのは検知し、封じ込め、事実を記録し、報告する能力です。攻撃は記録するだけの出来事ではありません。 その向こうには、止めるべき相手がいます。本ページでは、2026年10月時点で確認できる公開情報をもとに、主な法令と制度の要点を整理します。
それぞれの枠組みについて、正式名称、対象、求められること、そして検知・封じ込め・記録の観点から見た運用上の意味をまとめます。
正式名称：個人情報の保護に関する法律（個人情報保護法、APPI）
対象：個人情報を取り扱う事業者
求められること：要配慮個人情報、財産的被害のおそれ、不正の目的（サイバー攻撃を含む）によるおそれ、1,000人を超える漏えい等の4つの場合（おそれを含む）に、個人情報保護委員会（PPC）への報告と本人への通知が必要です（2022年4月1日から義務化）。速報は速やかに（概ね3〜5日以内）、確報は30日以内、不正の目的によるおそれがある場合は60日以内です。2026年7月17日に改正法（令和8年法律第56号）が公布され、一定の違反に対する課徴金などが導入されます。施行は公布から2年以内で、施行日は未定です。
運用上の意味：期限の起点は、社内のいずれかの部署が事態を知った時点です。侵入の範囲と持ち出されたデータを早く特定できるほど、速報と確報は正確になります。詳しくは漏えい等報告の解説をご覧ください。
正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律（令和7年法律第42号）。2025年5月16日成立、5月23日公布
対象：政府が指定する特別社会基盤事業者。すべての企業が対象ではありません
求められること：2026年10月1日から、資産の届出、インシデント報告、官民の協議会、アクセス・無害化措置などが施行されています。特定侵害事象またはその原因となり得る事象について、第一報を速やかに、詳報を知った日から30日以内に、所管大臣と内閣総理大臣へ報告します。新たに導入する特定重要電子計算機は4か月以内、使用中のものは2027年3月31日までに届け出ます。通信情報の利用は2027年秋の開始が予定されています。
運用上の意味：原因となり得る事象も報告の対象となるため、侵害の前兆を見逃さない監視と、時系列の記録が前提になります。24時間365日の監視についてはMDRのページをご覧ください。
正式名称：国家サイバー統括室（National Cybersecurity Office）
対象：内閣官房の組織であり、企業に直接の義務を課すものではありません
求められること：2025年7月1日、内閣サイバーセキュリティセンター（NISC）を改組して内閣官房に設置されました。内閣サイバー官が率い、サイバーセキュリティ戦略本部の事務局を担います。サイバー対処能力強化法の政令等は、2026年5月28日にNCOから公表されました。
運用上の意味：2025年7月1日より前の注意喚起や文書は、NISCの名義で出ています。公的な情報を参照する際は、発出の時期と名義を確認してください。
正式名称：経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律（経済安全保障推進法）
対象：基幹インフラの15分野で指定された事業者（2023年11月17日時点で210者）。2026年6月17日に公表された改正で医療分野が加わり、段階的に施行されます
求められること：特定重要設備の導入や、その維持管理等の委託を行う際に、導入等計画書を事前に届け出ます。審査期間は原則30日です。
運用上の意味：設備の維持管理を受託する委託先にとっても関係する制度です。委託先の選定と管理について、根拠を説明できる状態にしておくことが重要です。
正式名称：サイバーセキュリティ経営ガイドライン Ver3.0（経済産業省、2023年3月）
対象：経営者。法律ではなくガイドラインです
求められること：経営者が認識すべき3原則と、経営者がCISO等に指示すべき重要10項目で構成されています。たとえば指示7「インシデント発生時の緊急対応体制の整備」、指示9「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」が含まれます。
運用上の意味：指示5「サイバーセキュリティリスクに効果的に対応する仕組みの構築」、指示7と指示8（緊急対応と事業継続・復旧）、指示10（情報の収集、共有及び開示）は、日々の運用で裏づけられる項目です。経営層向けの整理は経営層のためのサイバーセキュリティをご覧ください。
正式名称：サプライチェーン強化に向けたセキュリティ対策評価制度（経済産業省・NCO、運営はIPA）
対象：取引先や委託先として、セキュリティ対策の水準を示す必要がある企業
求められること：★3は26項目、専門家の確認を受けた自己評価で、有効期間は1年です。★4は43項目、第三者評価と技術的な検証を受け、有効期間は3年です。★5は検討中です。
運用上の意味：2026年度末頃（2027年3月まで）の開始が予定されています。取引先から対策の状況を示すよう求められる場面が増えると考えられます。外部に公開された資産の把握から準備を始めることができます。
本ページは、2026年10月時点で確認できる公開情報にもとづく一般的な情報の提供を目的としたものであり、法的助言ではありません。 個別の適用や報告の要否については、弁護士等の専門家にご確認ください。
法令に加えて、金融、医療、製造、防衛の各分野では、所管官庁が分野別のガイドラインや基準を定めています。
「金融分野におけるサイバーセキュリティに関するガイドライン」は2024年10月4日に公表・適用されました。ガバナンス、特定、防御、検知、対応・復旧、サードパーティリスク管理の6分野、約176項目です。証券分野では監督指針の改正が2025年10月15日に適用され、日本証券業協会は同日にガイドラインを改正し、ログイン、出金、出金先口座の変更時にフィッシング耐性のある多要素認証（パスキーなど）を必須としました。金融庁は、この必須化を原則として2026年6月末までに実施するよう求めていました。
「医療情報システムの安全管理に関するガイドライン」は第7.0版が2026年夏に公表されました。保守委託機関向けの編の新設、定期的なパスワード変更の義務の廃止、2027年4月1日までの二要素認証の経過措置などが含まれます。また、2026年に公表された経済安全保障推進法の改正により、医療分野が基幹インフラ制度の対象に加わります（施行は段階的です）。
「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」Ver1.0（2022年11月）と、別添「スマート化を進める上でのポイント」（2024年4月4日）があります。制御システムについては、国際標準のIEC 62443と併せて参照されます。
出典：経済産業省 · 別添。関連：OTセキュリティ、製造業
2022年に策定され、2023年度の契約から適用されています。水準はNIST SP 800-171と同等で、下請を含む防衛関連の企業すべてが対象です。
出典：防衛省 · 公表資料。関連：航空宇宙・防衛
インシデントの際に連絡先となる主な窓口です。報告が義務となるのは、該当する場合に限られます。
個人情報保護法が定める4つの場合（おそれを含む）の漏えい等報告の提出先です。
サイバー対処能力強化法にもとづく報告の提出先です。対象は特別社会基盤事業者のみで、2026年10月1日から施行されています。
「サイバー事案に関する通報等のオンライン受付窓口」は2024年3月29日に開設され、通報、相談、情報提供を受け付けています。警察庁
「企業組織向けサイバーセキュリティ相談窓口」は初動の相談に応じます（解析は行いません）。ほかに「ウイルス・不正アクセス届出受付」があります。IPA
このほか、JPCERT/CCなどの関係機関も連絡先となります。インシデント発生時の対応の流れはインシデントレスポンスのページをご覧ください。
速報や詳報に書けるのは、確認できた事実だけです。2017年からミラノで運用するSOCが、24時間365日体制で監視し、検知から封じ込めまでの対応を時系列で記録して、社内外への報告に必要な事実関係の整理を支援します。
法的な判断はお客様と法務の専門家が行います。Fortgaleは、判断に必要な技術的な事実を提供します。
4つの場合、速報と確報の期限、起点となる「知った時点」、本人への通知。報告に必要な事実を早く揃えるための考え方を解説します。
詳しく見る →24時間365日の監視で、検知まで15分未満、封じ込めまで30分未満。侵害の前兆の段階で見つけることを目指します。
詳しく見る →初動対応、封じ込め、根絶、復旧。報告に必要な技術的な事実を、時系列で整理します。
詳しく見る →いいえ。インシデント報告などの義務の対象は、政府が指定する特別社会基盤事業者です。2026年10月1日から、資産の届出、インシデント報告、官民の協議会、アクセス・無害化措置などが施行されています。対象外の企業でも、個人情報の漏えい等が起きた場合は、個人情報保護法にもとづく報告が必要になることがあります。
個人情報保護法が定める4つの場合（おそれを含む）には、個人情報保護委員会への報告が必要です。速報は速やかに（概ね3〜5日以内）、確報は30日以内、不正の目的によるおそれがある場合は60日以内です。期限の起点は、社内のいずれかの部署が事態を知った時点です。
いいえ。経済産業省が策定したガイドラインであり、法律ではありません。Ver3.0（2023年3月）は、経営者が認識すべき3原則と、経営者がCISO等に指示すべき重要10項目で構成されています。
IPAによると、2026年度末頃（2027年3月まで）の開始が予定されています。★3は26項目の自己評価（専門家の確認つき、有効期間1年）、★4は43項目の第三者評価（技術的な検証を含む、有効期間3年）で、★5は検討中です。
いいえ。報告が必要かどうかの判断は、お客様と法務の専門家が行います。Fortgaleは、検知から封じ込めまでの経過を時系列で記録し、判断に必要な技術的な事実を提供します。本ページの内容も一般的な情報であり、法的助言ではありません。
サービスの提供、レポート、緊急対応は英語で行います。お問い合わせは日本語でも受け付けますが、回答は英語となる場合があります。
初回のご相談では、お客様の組織に関係する可能性のある法令・制度と、それに応えるために必要な運用の能力を整理します。2017年からミラノで運用する欧州のSOCが、24時間365日体制で対応します。1営業日以内にご返信します。
自動返信やナーチャリングメールは送りません。1営業日以内（欧州の営業日・CET/CEST）に、アナリストから英語でご連絡します。
レポートの全文（エグゼクティブサマリー、運用向けIoC、技術的な対応手順書）は限定公開です。いくつかの情報をお送りいただくと、アナリストからアクセス方法と簡単な技術ブリーフィングについてご連絡します。
30分以内に折り返しご連絡し、1〜4時間を目安に封じ込めを行います。Fortgaleのお客様でなくてもご相談いただけます。緊急対応は英語で行います。
