LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

規制対応のセキュリティプログラムは、足していく方向にしか動かないと思われがちです。ところが米国の原子力分野では、統制の数を減らし、通報の窓口を減らす案が出ています。減らす側の理屈は、そのまま自社のプログラムを見直すときの物差しになります。

米国原子力規制委員会（NRC）は2026年6月26日、規則案「Modernizing Security Requirements」を連邦官報に掲載しました*1。91 FR 38928、規制識別番号3150-AL53、ドケットNRC-2025-1303で、意見の締切は2026年7月27日でした*1。大統領令14300「Ordering the Reform of the Nuclear Regulatory Commission」に基づく見直しです*1。

受託開発でセキュリティ要件を扱う立場に向けて、第73.54条のプログラム要件がどう書き換わるのか、通報の要件がなぜ廃止されるのか、区分情報の扱いにどんな道が開くのかを、現行の条文と対照しながら整理します。

「高い保証」を「合理的な保証」に言い換える

まず、規則案の枠組みを押さえておきます*1。

改正の対象となるのは第10編第26部（勤務適性）、第50部、第52部、第72部、第73部（物理防護）、第95部で、サイバーセキュリティに直接関わるのは第73部です*1。NRCは規範的な規則から、性能に基づき、リスク情報を活用した基準へ移行すると説明しました*1。

言葉づかいの変更が、最初の論点になります*1。現行の第73.54条(a)は、事業者に高い保証（high assurance）を与えることを求めています*2。規則案はこれを合理的な保証（reasonable assurance）に改めます*1。

根拠として引かれたのは、2016年の判断です*1。2016年10月5日付のSRM-SECY-16-0073で、委員会が「高い保証」という概念は「合理的な保証」と機能的に等価であり、セキュリティ規制は「ゼロリスク」の考え方で適用されるべきではないと判断したと述べています*1。同じ言い換えは第73.20条(a)や第73.55条(b)(1)などにも及びます*1。

用語の統一だと読み流せる変更ですが、実務では効き目が違います。「高い保証」は、達成水準を問われたときに上限が見えません。「合理的な保証」に寄せると、どこまでやれば足りるのかをリスクの大きさに照らして説明する形になります*1。同じ考え方で工程を切り分ける話はOT・制御システムのセキュリティでも土台になります。

もう一点、冒頭の一段落が丸ごと消えます*1。現行の第73.54条は2009年11月23日までに、サイバーセキュリティ計画を委員会の審査と承認のために提出することを求める段落から始まります*2。NRCは現在運転中の発電所はすべて計画を実施済みであるとして、この段落の削除を提案しました*1。役目を終えた経過措置を残さない整理です*1。

守る対象は同じまま、物理防護との一体化が外れる

保護の対象そのものは、現行と同じ形で残ります*1。

第73.54条(a)(1)が挙げる対象は4区分です*1。安全関連および安全上重要な機能、警備機能、構外通信を含む緊急時対応の機能、そして侵害されれば安全・警備・緊急時対応の機能に悪影響を及ぼす支援システムおよび機器という並びで、規則案でも変わりません*1。防ぐべき影響も完全性または機密性への悪影響、アクセスの拒否、動作への悪影響の3つのまま据え置かれます*1。守る範囲と壊され方の定義は動かさず、体制の側だけを組み替える構成です*1。

その体制側で、目立つ削除があります*1。現行の第73.54条(b)(3)はサイバーセキュリティプログラムを物理防護プログラムの一構成要素として組み込むことを求めています*2。規則案では、この項が[Reserved]（留保）に置き換わります*1。

一体化を外す理由は、新しい選択肢と結びついています*1。NRCは第50部と第52部の新規申請者について自らの設計とリスクの特性に最も適したサイバーセキュリティの規則を選べるようにするとし、第73.54条または第73.110条のいずれかに適合する道を用意しました*1。第73.110条は第53部のために作られたデジタル計算機および通信システムとネットワークの保護に関する技術中立の要件で、違いは主として第73.110条における結果に基づく手法の実装に由来すると説明されています*1。伴う指針はDG-5103（規制指針5.96の改訂1案）です*1。

点検は独立した目で行い、報告書を残す

実務に響くのは、点検の書き換えです*1。

現行の規定は一文です*2。第73.54条(g)は事業者は、周期の要件を含め第73.55条(m)の要件に従い、物理セキュリティプログラムの一構成要素としてサイバーセキュリティプログラムを点検しなければならないとだけ定めています*2。点検の中身は物理セキュリティ側の条文に委ねられています*2。

規則案は、ここに4つの項を置きました*1。第一に頻度で、プログラムの各要素を、発電所の運転の安全にとっての重要性または重大性に見合った頻度で点検し、脆弱性・改良点・是正措置を適時に特定して文書化するとされます*1。一律の周期ではなく、重要性で頻度を決める書き方です。

第二が独立性で、この項がいちばん具体的です*1。サイバーセキュリティの点検は、プログラムの管理に責任を負う要員、およびプログラムの実施に直接の責任を負う個人から独立した個人によって実施されなければならないと定められました*1。作った人が自分の作ったものを点検する形を、条文が禁じたことになります*1。

第三が自己評価で、プログラムの効果的な実施を確かなものとするため、自己評価を策定し実施するとされます*1。第四が記録で、点検の結果と勧告、プログラムの有効性に関する経営層の所見、および過去の点検の勧告を受けて取られた措置を報告書に文書化し、監査可能な形で維持して検査に供することが求められました*1。前回の勧告に対して何をしたのかが同じ報告書から辿れないと、この条件は満たせません*1。記録の置き方は監査ログの考え方と地続きです。

方針と手順、そして記録の扱いは現行のまま残ります*1。第73.54条(f)は方針、実施手順、サイトごとの分析その他の技術情報は、計画の一部として委員会の審査と承認のために提出する必要はないが、NRC職員による定期的な検査の対象となると定め、記録は許認可を委員会が終了させるまで保持し、差し替えた部分は3年以上維持するとされています*1*2。提出は不要でも、いつでも見せられる状態にしておく位置づけです*1。

通報の個別要件は、実績がないまま廃止される

第73.77条は、条文が大きく縮みます*1。

現行の通報は多段構えです*2。1時間以内に、安全関連もしくは安全上重要な機能・警備機能・構外通信を含む緊急時対応の機能へ悪影響を与えたサイバー攻撃を、緊急通報システム（ENS）経由で通報します*2。4時間以内には悪影響を与えかねなかった攻撃と、内部の物理的または電子的なアクセス権を持つ者が仕掛けたと疑われる攻撃が入り、8時間以内は攻撃に向けた情報収集や事前計画を示しうる行動の情報を受け取った場合です*2。さらに24時間以内に脆弱性や不具合をサイトの是正措置プログラムへ記録し、電話通報を行った事象は60日以内に書面の報告書をNRC様式366で提出する定めです*2。

規則案の第73.77条は、これらを置き換えます*1。第73.54条または第73.110条の適用を受ける事業者は、安全または警備の機能に悪影響を与えたサイバー攻撃について、悪影響を受けた機能（安全か警備か）に応じて、第50.72条もしくは第53.1630条、または第73.1200条の手続を用いてNRC本部運用センターへ通報するという一文が本体になります*1。

先に報告した事象の原因がサイバー攻撃であったと後に判明した場合の道筋も置かれ、追報の手続、重要な補足情報の手続、事業者事象報告書の提出という3つのいずれかで通報するとされました*1。

廃止の理由は、率直に書かれています*1。NRCは今日まで、これらの規定に基づく通報を行った事業者はいないと述べ、第73.77条の要件に従って事象を報告する代わりに、事業者は第50.72条および第50.73条（安全関連の事象）ならびに第73.1200条（警備関連の事象）に基づく既存の通報手続を用いてきたと説明しました*1。運用実態のほうが先にあり、条文が使われていなかった構図です*1。

指針の側も整理されます*1。規制指針5.83「Cybersecurity Event Notifications」を撤回し、規制指針5.62はサイバーセキュリティ事象の通報を含むよう更新されるとされ、NRC様式366からも第73.77条への参照が削除されます*1。窓口を分けない設計に寄せた形で、この考え方はインシデント対応と当番運用でも同じ論点になります。

統制の絞り込みと、区分情報をシンクライアントで扱う案

条文の外でも、量を減らす動きが示されました*1。

NRCは第73.54条に基づくサイバーセキュリティの既存の規制枠組みは性能に基づいていると述べています*1。事業者は規制指針5.71「Cybersecurity Programs for Nuclear Power Reactors」やNEI 08-09「Cyber Security Plan for Nuclear Power Reactors」といった承認済みの指針から、標準化された手法を選べます*1。

その規制指針5.71が絞り込まれます*1。NRCは運転経験から得られた教訓を反映するために規制指針5.71を更新することを提案しているとし、更新はたとえば、一般的なサイバー衛生よりも安全と警備に焦点を当てることで統制のおよそ19パーセントを削り、事業者が規制指針5.71に定めるもの以外に既に用いているサイバーセキュリティの優れた実務を評価に算入できるようにすることによって、規制上の負担を実質的に減らすものだと説明されました*1。

ここは読み方に注意が要ります。減るのは条文の要求ではなく、指針が列挙する統制の数です*1。守るべき対象と防ぐべき影響の定義は据え置かれるため、減らした分は、なぜその統制が不要と判断できるのかという説明で埋める必要が出ます*1。

もう一つ、扱いの窮屈さを解く案があります*1。区分情報（Safeguards Information、SGI）は、これまで独立した計算機での処理が実質の前提でした*1。NRCは独立した計算機でSGIを処理することは、とりわけ設計段階からセキュリティを組み込む原則を取り入れる新型炉のベンダーにとって、大きな負担を生んでいると述べ、規制が最後に改正されて以降サイバーセキュリティの分野は大きく成熟したとしました*1。

提案された第73.22条(g)(2)の中身は具体的です*1。管理された非機密情報にとって適切であると米国国立標準技術研究所（NIST）が定める統制（NIST SP 800-171）を、シンクライアントまたは仮想デスクトップの構成を用いて実装するネットワーク接続されたシステムを利用する選択肢を与えるとされ、目的は権限のない開示と、承認されていない計算機での送信や保存からSGIを保護することだと説明されました*1。同じ統制群を扱う実務はCMMCとNIST SP 800-171で扱う枠組みと重なります。

端末に残さない構成を条件に、隔離を緩める。この組み立ては、防衛や医療の受託でよく出てくる制約と同じ形をしています。独立した計算機での作業を強いられている工程があるなら、代替の構成を示して交渉できる余地がある、という先例として読めます*1。

自社のプログラムに置き換えて整えること

米国の原子力規制ですが、書き換えの手つきは自社のプログラムにも当てられます。

第一に、点検する人と作る人を分けることです。規則案はプログラムの管理に責任を負う要員、およびプログラムの実施に直接の責任を負う個人から独立した個人による点検を求めました*1。少人数の体制では兼務が起きがちですが、独立性は人数の問題ではなく割り当ての問題です。年に一度だけでも別の担当に見せる形にすれば、条件は満たせます。

第二に、点検の頻度を重要度で決めることです。条文は発電所の運転の安全にとっての重要性または重大性に見合った頻度と書いています*1。すべてを同じ周期で回すと、重い部分の周期が軽い部分に引きずられます。要素ごとに重要度を先に決めてから頻度を割り振ると、点検にかける時間の配分を説明できます。

第三に、前回の勧告への対応まで同じ報告書に残すことです。求められているのは点検の結果と勧告、経営層の所見、過去の点検の勧告を受けて取られた措置を含む報告書で、監査可能な形で維持することが条件です*1。指摘の一覧と対応の一覧が別々の場所にあると、この形にはなりません。

第四に、通報の窓口を機能で振り分けることです。規則案は悪影響を受けた機能（安全か警備か）に応じて既存の手続へ振り替えます*1。サイバー事象だから専用の経路、という分け方をやめ、業務影響の種類で既存の報告経路に載せる形です。通報が一件もなかったという事実は、使われない専用経路を作った結果として重いものです*1。

第五に、統制を減らすなら根拠を先に書くことです。指針の改訂は一般的なサイバー衛生よりも安全と警備に焦点を当てることで約19パーセントを削るとされました*1。減らす判断そのものは妥当でも、なぜその統制が守る対象に効かないのかを書き残していないと、担当が変わった時点で復元も説明もできなくなります。IT資産の棚卸しで対象を確定しておくと、この判断の土台が揃います。

誤解されやすいのは、規制が緩むのだから対応も軽くなるという読み方です。削られているのは指針の統制の数と通報の個別要件であって、守るべき対象の4区分も、防ぐべき影響の3類型も、記録の保持義務も動いていません*1*2。減った分だけ、自分で説明する部分が増えたと捉えるほうが実情に近いところです。なお発効は最終規則の連邦官報への掲載から30日後とする案で、内容は寄せられた意見を踏まえて変わりえます*1。

まとめ：原子力サイバー規則の改正案で押さえる3つの視点

米国原子力規制委員会（NRC）は2026年6月26日、規則案「Modernizing Security Requirements」を連邦官報に掲載しました。91 FR 38928、規制識別番号3150-AL53、ドケットNRC-2025-1303で、意見の締切は2026年7月27日、発効は最終規則の掲載から30日後とする案が示されています。押さえたい視点は三つあります。第一に、プログラム要件の書き換え。第73.54条は保証の水準を「高い保証」から「合理的な保証」へ改め、2009年11月23日という提出期限を定めた冒頭の段落を削除し、サイバーセキュリティプログラムを物理防護プログラムの一構成要素として組み込む定めを留保に置き換えます。守るべき対象の4区分と、防ぐべき影響の3類型は変わりません。第二に、点検の独立。点検はプログラムの重要性に見合った頻度で行い、管理に責任を負う要員および実施に直接の責任を負う個人から独立した個人が実施し、自己評価を伴い、結果と勧告と経営層の所見と過去の勧告への措置を報告書に文書化して監査可能な形で維持することが求められます。第三に、通報と統制の絞り込み。第73.77条の1時間・4時間・8時間の通報、24時間内の記録、60日以内の書面報告という個別要件は廃止され、悪影響を受けた機能に応じて第50.72条や第73.1200条などの既存手続へ振り替えられます。これまで同条に基づく通報を行った事業者はいないと明記されました。指針の側でも、規制指針5.71の改訂で統制の約19パーセントが削られ、規制指針5.83は撤回されます。区分情報については、NIST SP 800-171の統制をシンクライアントまたは仮想デスクトップの構成で実装すれば、ネットワーク接続されたシステムでも扱える選択肢が示されました。

よくある質問

出典

1. *1　参考：米国原子力規制委員会（NRC）「Modernizing Security Requirements」（連邦官報 2026年6月26日・規則案／91 FR 38928）（https://www.federalregister.gov/documents/2026/06/26/2026-12989/modernizing-security-requirements）。規制識別番号3150-AL53、ドケットNRC-2025-1303。意見の締切、発効の案、大統領令14300に基づく見直し、第73.54条の保証の水準の変更とSRM-SECY-16-0073の判断、冒頭段落と(b)(3)の削除、(g)の点検要件、第73.77条の通報要件の廃止と振り替え、通報の実績がない旨、規制指針5.83の撤回と5.71の統制約19パーセント削減、第73.22条(g)(2)のシンクライアント案、第73.110条の選択の一次情報として。確認日は2026年9月7日。（2026年9月確認）
2. *2　参考：米国電子連邦規則集（eCFR）第10編第73.54条および第73.77条（2026年9月1日時点）（https://www.ecfr.gov/current/title-10/chapter-I/part-73/section-73.54）。改正前の現行規定の一次情報として。第73.54条の冒頭段落、(a)の「高い保証」、(b)(3)の物理防護プログラムへの組み込み、(f)(g)(h)の各要件、および第73.77条の1時間・4時間・8時間の通報、24時間以内の記録、60日以内のNRC様式366による書面報告の内容を確認した。確認日は2026年9月7日。（2026年9月確認）

Tweet