サイバーセキュリティ基本法

変更の概要

今回の改正は、重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等として行われた。主な変更点は次のとおりである。

第七条に第二項が新設され、情報システム等の供給者は、利用者の安全性確保に配慮した設計・開発や、維持管理に必要な情報の継続的提供などを行うよう努めることとされた。

第二十六条の本部の所掌事務が再編され、重要社会基盤事業者等におけるサイバーセキュリティ確保の基準作成と、その状況調査が新たに明記された。また、不正な活動の監視・分析が国の行政機関等の評価事務として整理された。

第二十七条以下では、本部長が内閣官房長官から内閣総理大臣に改められた。本部員は本部長及び副本部長以外の全ての国務大臣とされ、サイバーセキュリティ推進専門家会議が新設された。本部の事務を掌理する者は内閣官房副長官補から内閣サイバー官に改められた。

実務上の留意点

供給者に対する義務は努力義務であり、直ちに罰則を伴う義務が生じるわけではないと考えられる。ただし、製品設計やサポート期間、脆弱性情報の提供方針を見直す契機になると考えられる。

重要社会基盤事業者については、今後策定される基準や調査への対応が求められる可能性がある。具体的な対象範囲や基準の内容は、政令や本部の定めに委ねられている部分が多く、今後の情報収集が必要である。

本部の運営面では、国家安全保障会議との連携に加え、専門家会議の意見聴取が戦略案や基準作成などの手続に組み込まれた。政府関係機関との調整窓口が変わる可能性があると考えられる。

対象となる主な組織

情報システム、電子計算機、プログラム、通信ネットワーク、電磁的記録媒体の供給者は、設計段階からの配慮や維持管理情報の提供が求められる対象となる。重要社会基盤事業者及びその団体は、基準作成や調査、資料提出の協力要請の対象となり得る。独立行政法人、指定法人、国の行政機関は、監査や調査、監視の実施主体として関係する。

条文差分（機械抽出）

--- 旧
+++ 新
@@ -13,4 +13,5 @@
 （重要社会基盤事業者の責務）第六条 重要社会基盤事業者は、基本理念にのっとり、そのサービスを安定的かつ適切に提供するため、サイバーセキュリティの重要性に関する関心と理解を深め、自主的かつ積極的にサイバーセキュリティの確保に努めるとともに、国又は地方公共団体が実施するサイバーセキュリティに関する施策に協力するよう努めるものとする。
 （サイバー関連事業者その他の事業者の責務）第七条 サイバー関連事業者（インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用又はサイバーセキュリティに関する事業を行う者をいう。以下同じ。）その他の事業者は、基本理念にのっとり、その事業活動に関し、自主的かつ積極的にサイバーセキュリティの確保に努めるとともに、国又は地方公共団体が実施するサイバーセキュリティに関する施策に協力するよう努めるものとする。
+２ 情報システム若しくはその一部を構成する電子計算機若しくはプログラム、情報通信ネットワーク又は電磁的記録媒体（以下この項において「情報システム等」という。）の供給者は、サイバーセキュリティに対する脅威により自らが供給した情報システム等に被害が生ずることを防ぐため、情報システム等の利用者がその安全性及び信頼性の確保のために講ずる措置に配慮した設計及び開発、適切な維持管理に必要な情報の継続的な提供その他の情報システム等の利用者がサイバーセキュリティの確保のために講ずる措置を支援する取組を行うよう努めるものとする。
 （教育研究機関の責務）第八条 大学その他の教育研究機関は、基本理念にのっとり、自主的かつ積極的にサイバーセキュリティの確保、サイバーセキュリティに係る人材の育成並びにサイバーセキュリティに関する研究及びその成果の普及に努めるとともに、国又は地方公共団体が実施するサイバーセキュリティに関する施策に協力するよう努めるものとする。
 （国民の努力）第九条 国民は、基本理念にのっとり、サイバーセキュリティの重要性に関する関心と理解を深め、サイバーセキュリティの確保に必要な注意を払うよう努めるものとする。
@@ -44,5 +45,5 @@
 ３ 協議会は、第一項の協議を行うため必要があると認めるときは、その構成員に対し、サイバーセキュリティに関する施策の推進に関し必要な資料の提出、意見の開陳、説明その他の協力を求めることができる。この場合において、当該構成員は、正当な理由がある場合を除き、その求めに応じなければならない。
 ４ 協議会の事務に従事する者又は従事していた者は、正当な理由がなく、当該事務に関して知り得た秘密を漏らし、又は盗用してはならない。
-５ 協議会の庶務は、内閣官房において処理し、命を受けて内閣官房副長官補が掌理する。
+５ 協議会の庶務は、内閣官房において処理し、内閣サイバー官が掌理する。
 ６ 前各項に定めるもののほか、協議会の組織及び運営に関し必要な事項は、協議会が定める。
 （犯罪の取締り及び被害の拡大の防止）第十八条 国は、サイバーセキュリティに関する犯罪の取締り及びその被害の拡大の防止のために必要な施策を講ずるものとする。
@@ -60,30 +61,32 @@
 一 サイバーセキュリティ戦略の案の作成及び実施の推進に関すること。
 二 国の行政機関、独立行政法人及び指定法人におけるサイバーセキュリティに関する対策の基準の作成及び当該基準に基づく施策の評価（監査を含む。）その他の当該基準に基づく施策の実施の推進に関すること。
-三 国の行政機関、独立行政法人又は指定法人で発生したサイバーセキュリティに関する重大な事象に対する施策の評価（原因究明のための調査を含む。）に関すること。
-四 サイバーセキュリティに関する事象が発生した場合における国内外の関係者との連絡調整に関すること。
-五 前各号に掲げるもののほか、サイバーセキュリティに関する施策で重要なものの企画に関する調査審議、府省横断的な計画、関係行政機関の経費の見積りの方針及び施策の実施に関する指針の作成並びに施策の評価その他の当該施策の実施の推進並びに総合調整に関すること。
+三 重要社会基盤事業者等におけるサイバーセキュリティの確保に関して国の行政機関が実施する施策の基準の作成（当該基準の作成のための重要社会基盤事業者等におけるサイバーセキュリティの確保の状況の調査を含む。）及び当該基準に基づく施策の評価その他の当該基準に基づく施策の実施の推進に関すること。
+四 国の行政機関、独立行政法人及び指定法人におけるサイバーセキュリティの確保の状況の評価（情報システムに対する不正な活動であって情報通信ネットワーク又は電磁的記録媒体を通じて行われるものの監視及び分析並びにサイバーセキュリティに関する重大な事象に対する施策の評価（原因究明のための調査を含む。）を含む。）に関すること。
+五 サイバーセキュリティに関する事象が発生した場合における国内外の関係者との連絡調整に関すること。
+六 前各号に掲げるもののほか、サイバーセキュリティに関する施策で重要なものの企画に関する調査審議、府省横断的な計画、関係行政機関の経費の見積りの方針及び施策の実施に関する指針の作成並びに施策の評価その他の当該施策の実施の推進並びに総合調整に関すること。
 ２ 本部は、サイバーセキュリティ戦略の案を作成しようとするときは、あらかじめ、国家安全保障会議の意見を聴かなければならない。
-３ 本部は、我が国の安全保障に係るサイバーセキュリティに関する重要事項について、国家安全保障会議との緊密な連携を図るものとする。
+３ 本部は、次に掲げる場合には、あらかじめ、サイバーセキュリティ推進専門家会議の意見を聴かなければならない。
+一 サイバーセキュリティ戦略の案を作成しようとするとき。
+二 第一項第二号又は第三号の基準を作成しようとするとき。
+三 第一項第二号又は第三号の評価について、その結果の取りまとめを行おうとするとき。
+４ 本部は、我が国の安全保障に係るサイバーセキュリティに関する重要事項について、国家安全保障会議との緊密な連携を図るものとする。
 （組織）第二十七条 本部は、サイバーセキュリティ戦略本部長、サイバーセキュリティ戦略副本部長及びサイバーセキュリティ戦略本部員をもって組織する。
-（サイバーセキュリティ戦略本部長）第二十八条 本部の長は、サイバーセキュリティ戦略本部長（以下「本部長」という。）とし、内閣官房長官をもって充てる。
+（サイバーセキュリティ戦略本部長）第二十八条 本部の長は、サイバーセキュリティ戦略本部長（以下「本部長」という。）とし、内閣総理大臣をもって充てる。
 ２ 本部長は、本部の事務を総括し、所部の職員を指揮監督する。
-３ 本部長は、第二十六条第一項第二号、第三号及び第五号に規定する評価又は第三十二条若しくは第三十三条の規定により提供された資料、情報等に基づき、必要があると認めるときは、関係行政機関の長に対し、勧告することができる。
+３ 本部長は、第二十六条第一項第二号から第四号まで及び第六号に規定する評価又は第三十二条若しくは第三十三条の規定により提供された資料、情報等に基づき、必要があると認めるときは、関係行政機関の長に対し、勧告することができる。
 ４ 本部長は、前項の規定により関係行政機関の長に対し勧告したときは、当該関係行政機関の長に対し、その勧告に基づいてとった措置について報告を求めることができる。
-５ 本部長は、第三項の規定により勧告した事項に関し特に必要があると認めるときは、内閣総理大臣に対し、当該事項について内閣法（昭和二十二年法律第五号）第六条の規定による措置がとられるよう意見を具申することができる。
 （サイバーセキュリティ戦略副本部長）第二十九条 本部に、サイバーセキュリティ戦略副本部長（以下「副本部長」という。）を置き、国務大臣をもって充てる。
 ２ 副本部長は、本部長の職務を助ける。
 （サイバーセキュリティ戦略本部員）第三十条 本部に、サイバーセキュリティ戦略本部員（次項において「本部員」という。）を置く。
-２ 本部員は、次に掲げる者（第一号から第六号までに掲げる者にあっては、副本部長に充てられたものを除く。）をもって充てる。
-一 国家公安委員会委員長
-二 デジタル大臣
-三 総務大臣
-四 外務大臣
-五 経済産業大臣
-六 防衛大臣
-七 前各号に掲げる者のほか、本部長及び副本部長以外の国務大臣のうちから、本部の所掌事務を遂行するために特に必要があると認める者として内閣総理大臣が指定する者
-八 サイバーセキュリティに関し優れた識見を有する者のうちから、内閣総理大臣が任命する者
+２ 本部員は、本部長及び副本部長以外の全ての国務大臣をもって充てる。
+（サイバーセキュリティ推進専門家会議）第三十条の二 本部に、サイバーセキュリティ推進専門家会議（以下この条において「専門家会議」という。）を置く。
+２ 専門家会議は、次に掲げる事務をつかさどる。
+一 第二十六条第三項の規定により本部長に意見を述べること。
+二 前号に掲げるもののほか、サイバーセキュリティに関する施策で重要なものについて調査審議し、必要があると認めるときは、本部長に意見を述べること。
+３ 専門家会議の委員は、サイバーセキュリティに関し優れた識見を有する者のうちから、内閣総理大臣が任命する。
 （事務の委託）第三十一条 本部は、次の各号に掲げる事務の区分に応じて、当該事務の一部を当該各号に定める者に委託することができる。
-一 第二十六条第一項第二号に掲げる事務（独立行政法人及び指定法人におけるサイバーセキュリティに関する対策の基準に基づく監査に係るものに限る。）又は同項第三号に掲げる事務（独立行政法人又は指定法人で発生したサイバーセキュリティに関する重大な事象の原因究明のための調査に係るものに限る。）独立行政法人情報処理推進機構その他サイバーセキュリティに関する対策について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人
-二 第二十六条第一項第四号に掲げる事務サイバーセキュリティに関する事象が発生した場合における国内外の関係者との連絡調整について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人
+一 第二十六条第一項第二号に掲げる事務（同号に規定する監査（独立行政法人及び指定法人に係るものに限る。）に係るものに限る。）、同項第三号に掲げる事務（同号に規定する調査に係るものに限る。）又は同項第四号に掲げる事務（同号に規定する調査（独立行政法人及び指定法人に係るものに限る。）に係るものに限る。）独立行政法人情報処理推進機構その他サイバーセキュリティに関する対策について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人
+二 第二十六条第一項第四号に掲げる事務（同号に規定する活動の監視及び分析に係るものに限る。）国立研究開発法人情報通信研究機構、独立行政法人情報処理推進機構その他当該活動の監視及び分析について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人
+三 第二十六条第一項第五号に掲げる事務サイバーセキュリティに関する事象が発生した場合における国内外の関係者との連絡調整について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人
 ２ 前項の規定により事務の委託を受けた法人の役員若しくは職員又はこれらの職にあった者は、正当な理由がなく、当該委託に係る事務に関して知り得た秘密を漏らし、又は盗用してはならない。
 ３ 第一項の規定により事務の委託を受けた法人の役員又は職員であって当該委託に係る事務に従事するものは、刑法（明治四十年法律第四十五号）その他の罰則の適用については、法令により公務に従事する職員とみなす。
@@ -91,9 +94,10 @@
 ２ 前項に定めるもののほか、関係行政機関の長は、本部長の求めに応じて、本部に対し、本部の所掌事務の遂行に必要なサイバーセキュリティに関する資料又は情報の提供及び説明その他必要な協力を行わなければならない。
 （資料の提出その他の協力）第三十三条 本部は、その所掌事務を遂行するため必要があると認めるときは、地方公共団体及び独立行政法人の長、国立大学法人（国立大学法人法（平成十五年法律第百十二号）第二条第一項に規定する国立大学法人をいう。）の学長又は理事長、大学共同利用機関法人（同条第三項に規定する大学共同利用機関法人をいう。）の機構長、日本司法支援センター（総合法律支援法（平成十六年法律第七十四号）第十三条に規定する日本司法支援センターをいう。）の理事長、特殊法人及び認可法人であって本部が指定するものの代表者並びにサイバーセキュリティに関する事象が発生した場合における国内外の関係者との連絡調整を行う関係機関の代表者に対して、サイバーセキュリティに対する脅威による被害の拡大を防止し、及び当該被害からの迅速な復旧を図るために国と連携して行う措置その他のサイバーセキュリティに関する対策に関し必要な資料の提出、意見の開陳、説明その他の協力を求めることができる。この場合において、当該求めを受けた者は、正当な理由がある場合を除き、その求めに応じなければならない。
-２ 本部は、その所掌事務を遂行するため特に必要があると認めるときは、前項に規定する者以外の者に対しても、同項の協力を依頼することができる。
+２ 本部は、その所掌事務を遂行するため必要があると認めるときは、重要社会基盤事業者及びその組織する団体の代表者に対して、前項の協力を求めることができる。この場合において、当該求めを受けた者は、その求めに応じるよう努めるものとする。
+３ 本部は、その所掌事務を遂行するため特に必要があると認めるときは、前二項に規定する者以外の者に対しても、第一項の協力を依頼することができる。
 （地方公共団体への協力）第三十四条 地方公共団体は、第五条に規定する施策の策定又は実施のために必要があると認めるときは、本部に対し、情報の提供その他の協力を求めることができる。
 ２ 本部は、前項の規定による協力を求められたときは、その求めに応じるよう努めるものとする。
-（事務）第三十五条 本部に関する事務は、内閣官房において処理し、命を受けて内閣官房副長官補が掌理する。
-（主任の大臣）第三十六条 本部に係る事項については、内閣法にいう主任の大臣は、内閣総理大臣とする。
+（事務）第三十五条 本部に関する事務は、内閣官房において処理し、内閣サイバー官が掌理する。
+（主任の大臣）第三十六条 本部に係る事項については、内閣法（昭和二十二年法律第五号）にいう主任の大臣は、内閣総理大臣とする。
 （政令への委任）第三十七条 この法律に定めるもののほか、本部に関し必要な事項は、政令で定める。
 第五章 罰則