LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

支払うか支払わないかを決める会議で、報告の話が出てこないことがあります。オーストラリアの制度は、その順番を逆にしました。支払という行為そのものが、72時間の時計を動かします。

サイバーセキュリティ法2024（Cyber Security Act 2024、2024年法律第98号）の第3部は、2025年5月29日に施行されました*1。細目を定めるサイバーセキュリティ（ランサムウェア支払報告）規則2025も同時に効力を持ちます*2。

実装と運用の立場から確かめたい点は4つあります。いつから72時間なのか、誰が報告するのか、何を書くのか、書いた情報はどこまで使われるのか。条文から順に見ていきます。

起点が「支払った時」である理由は、法律の目的に書かれている

まず、条文の書き方を確認します*1。

第27条第1項は報告事業体は、ランサムウェアの支払を行ってから、または当該支払が行われたことを知ってから（いずれか該当する方）72時間以内に、指定連邦機関に対し、本条の要件を満たす報告（ランサムウェア支払報告）を提出しなければならないと定めます*1。

起点に、侵害の検知は出てきません*1。要求を受け取った時点でもありません*1。動くのは、支払が行われた時か、他者が自社に代わって支払ったことを自社が知った時です*1。

この設計は、法律の目的の条文と対応しています*1。第3条(b)は、この法律の目的の一つをサイバーセキュリティの侵害から利益を得ようとする主体に対して支払われる金銭または便益（ランサムウェアの支払と呼ぶ）の提供に関する情報の提供を、当該支払に関する報告義務を主体に課すことによって促すこととしています*1。

つまり、この報告は侵害そのものを届け出る仕組みではありません*1。支払という取引の実態を可視化する仕組みです*1。だから時計は支払で動きます*1。侵害の届出は米国CIRCIAの報告義務のように別の制度が受け持つ、という役割分担になっています。

オーストラリアの中でも、両者は別の法律に分かれています*1。第26条第2項(b)は重要インフラ資産の責任事業体を対象に含めますが、その根拠は2018年重要インフラ安全保障法（SOCI法）第2B部の適用の有無です*1。侵害そのものの報告義務はSOCI法の側にあり、支払の報告義務はこちらにある、という構造です*1。

「報告事業体」は2つの経路で決まる

対象の判定は、第26条第2項に置かれています*1。

1つ目の経路は売上高です*1。オーストラリアで事業を行っており、前年度の年間売上高が当該年度の売上高しきい値を超えている主体で、かつ連邦機関または州機関ではなく、重要インフラ資産の責任事業体でもないものが該当します*1。しきい値は規則が定め、300万豪ドルとされました*2。年度の途中から事業を行っていた場合は、規則第6条第2項の計算式で按分します*2。

2つ目の経路は重要インフラです*1。SOCI法第2B部の適用がある重要インフラ資産の責任事業体は、売上高と無関係に該当します*1。

日本の事業者から見て確かめる値があるのは、オーストラリアで事業を行っているという書き方です*1。法人の設立地ではなく、事業を行っているかどうかで判定されます*1。現地法人や支店を通じて売上が立っている構成では、しきい値との突き合わせが必要になります*1。第5条は域外適用の規定を置いています*1。

もう一つ、見落とされやすいのが第26条第1項(e)です*1。適用の要件は報告事業体が支払を提供し、または他の主体が自社に代わって当該支払を提供したことを報告事業体が知っていることです*1。自社が振り込んでいなくても、対応を委託した事業者や交渉を担った第三者が支払った事実を知れば、報告義務は自社に生じます*1。委託契約に、支払の事実を遅滞なく通知させる条項が要る、という話につながります。

72時間で書く6区分と、規則が指定した細目

記載事項は、法律で6区分、規則でその中身が指定されています*1*2。

第27条第2項は(a)から(f)までを列挙します*1。報告事業体が支払を行った場合は自社の連絡先と事業の詳細、他の主体が支払を行った場合は当該主体の連絡先と事業の詳細、サイバーセキュリティの侵害（報告事業体への影響を含む）、恐喝する主体が行った要求、ランサムウェアの支払、侵害・要求・支払に関する恐喝する主体とのやり取りです*1。

ここで確かめておきたいのが、規則第7条第1項の注記です*2。情報は、報告事業体が知っているか、または合理的な調査もしくは照会により当該報告のための72時間の期間内に知りうる範囲においてのみ、提供することを要するとされています*2。同じ趣旨は第27条第2項の本文にも書かれています*1。

72時間で確定しない項目があることは、条文が織り込み済みです*1*2。むしろ運用側の課題は、知りうる範囲を後から説明できるかに移ります。どの調査をいつ行い、その時点で何が分からなかったのかを記録に残す設計が要ります。逆に第27条第3項は、任意で他の情報を加えることを認めています*1。

提出の形式は第27条第4項が定めます*1。長官が承認した様式（あれば）と規則が定める方法（あれば）によります*1。指定連邦機関は、規則で別に定めがなければ内務省と豪州通信電子局（ASD）です*1。インシデント対応の当番体制を敷いている組織では、この提出先と様式を手順書の側に持たせておくことになります。

出した情報は、どこまで使われるのか

報告をためらわせる要因は、たいてい情報の使われ方です*1。第3部第3節は、そこに条文を置いています*1。

第29条第1項は、指定連邦機関が報告の情報を記録・利用・開示できる目的を列挙します*1。報告事業体および代理する主体が侵害に対応し、緩和し、解決することを支援すること、本部および本部に適用される第6部の機能・権限の遂行、刑法典第137.1条・第137.2条（虚偽または誤解を招く情報および文書）に関する手続、刑法典第149.1条（連邦公務員の妨害）に関する手続、侵害への対応・緩和・解決に関する連邦機関の機能の遂行、同じく州機関の機能の遂行、第4部に基づく国家サイバーセキュリティ調整官の機能の遂行、大臣その他の連邦大臣への情報提供と助言、情報機関の機能の遂行の9つです*1。

制限のほうが実務では重要です*1。第29条第2項は指定連邦機関は、報告事業体による連邦法、州法または準州法の違反を調査し、もしくは執行する目的、またはその調査もしくは執行を助ける目的で、当該情報を記録し、利用し、または開示してはならないと定めます*1。例外は本部の違反と刑事犯罪に対する刑罰または制裁を課す法律の違反の2つだけです*1。

第30条は、第29条第1項または第30条によって情報を得た他の主体・連邦機関・州機関に、同様の二次利用の制限をかけます*1。第32条は、報告の情報が報告事業体に対する一定の手続において証拠として許容されないと定めます*1。第28条は、第27条の遵守として善意で行った作為・不作為について損害賠償の責任を負わないとし、その従業員や代理人にも及ぼします*1。

ただし、保護には外側があります*1。第29条第4項は、SOCI法第2B部の要件、1997年電気通信法の要件、規則が定める法律の要件を満たすために既に提供した情報と、既に適法に公開されている情報を、この禁止の対象外としました*1。同じ内容でも、どの窓口に出したものかで扱いが変わります*1。第29条第3項は、1988年プライバシー法が禁止・制限する範囲には第29条第1項の授権が及ばないことも明記しています*1。州機関への開示には、第11条により州・準州の大臣の同意が要ります*1。

民事罰の額と、2026年に動き出したレビュー制度

罰則は、第27条第5項に置かれています*1。主体は、第1項に違反した場合、民事罰の責任を負う。民事罰：60ペナルティユニットです*1。あわせて第27条第6項は、規制権限法第93条第2項は本条第1項の違反については適用しないとしています*1。

1ペナルティユニットの額は、1914年刑法第4AA条に基づいて指数化されます*3。刑法（ペナルティユニットの額）指令2026は、2026年7月1日から364豪ドルと定めました*3。60ユニットは21,840豪ドルに当たります*3。

金額そのものは大きくありません*1*3。この制度の重心は制裁ではなく、支払の実態を集める点にあります*1。とはいえ、違反が公になれば説明を求められる相手は規制当局に限りません。取引先や監査の場でも問われます。

2026年に入って動いたのが、第5部のサイバーインシデント・レビュー委員会です*1。第5部も2025年5月29日に施行され、運営の細目はサイバーセキュリティ（サイバーインシデント・レビュー委員会）規則2025が定めます*4。そして2026年4月28日、議長1名と委員6名の任命が官報に登録されました*5。

この委員会は、レビューを行い（第46条）、必要に応じて中止し（第47条）、議長が情報または文書の提供を求め（第48条）、一定の主体には文書の提出を要求できます（第49条）*1。第50条は、その提出命令に従わない場合の民事罰を置きます*1。第53条は、最終レビュー報告書から一定の情報を削除することを求めます*1。責任追及ではなく、原因と教訓を共有する仕組みとして設計されています*1。

なお、同じ法律の第2部は2025年11月29日に施行され、インターネットに接続しうる製品の製造者と供給者に、規則が定めるセキュリティ基準への適合を求めます*1。機器の側の話はIoT製品のセキュリティ適合で扱った枠組みと重なります。

実務で誤解されやすい3つの点

最後に、条文を読み違えやすい箇所を3つ挙げます*1。

1つ目は、支払わなければ報告義務は生じないという点です*1。第26条第1項(e)は、支払の提供を適用の要件にしています*1。ただし、これは第3部の話に限られます*1。SOCI法第2B部の侵害報告や、契約上の通知義務は別に走ります*1。ランサムウェア対策の設計では、支払の可否とは独立に通知の経路を持たせることになります。

2つ目は、誰が払ったかです*1。他者が自社に代わって支払った事実を知れば、報告義務は自社に生じます*1。交渉や送金を外部に委ねる構成では、支払の実行と、その事実の自社への通知を、契約と手順の両方で結んでおくことになります。

3つ目は、72時間で完全な報告を出す必要はないという点です*1*2。求められるのは、合理的な調査により当該期間内に知りうる範囲です*2。分からなかったことを空欄のままにするより、どこまで調べて何が未確定かを書けるほうが、条文の枠組みには沿っています*2。

まとめ：豪州のランサムウェア支払報告で押さえる3つの視点

オーストラリアのサイバーセキュリティ法2024（2024年法律第98号）第3部は2025年5月29日に施行され、サイバーセキュリティ（ランサムウェア支払報告）規則2025が細目を定めています。押さえたい視点は三つあります。第一に、72時間の起点。第27条第1項は、支払を行ってから、または当該支払が行われたことを知ってから72時間以内の報告を求めます。侵害の検知時でも要求を受けた時でもありません。第3条(b)が法律の目的を支払に関する情報の提供を促すことと定めており、支払という事実が時計を動かす設計になっています。第二に、対象の判定。第26条第2項は、オーストラリアで事業を行い前年度の年間売上高が売上高しきい値を超える主体（連邦機関・州機関を除く）と、SOCI法第2B部の適用がある重要インフラ資産の責任事業体を挙げます。しきい値は規則第6条で300万豪ドルとされ、年度の途中から事業を行った場合は計算式で按分します。第26条第1項(e)により、他者が自社に代わって支払った事実を知った場合も対象に入ります。第三に、記載事項と情報の扱い。第27条第2項は連絡先、侵害と影響、要求、支払、やり取りの6区分を列挙し、規則第7条がABNと住所、発生と認知の時期、基盤と顧客への影響、マルウェアの亜種、悪用された脆弱性、要求額と提供の方法、支払額と提供の方法、交渉の概要まで指定します。記載は合理的な調査により72時間以内に知りうる範囲に限られます。第29条は用途を9つに限り、本部の違反と刑事罰の案件を除いて他法令の調査・執行への利用を禁じ、第30条が二次利用を、第32条が証拠能力を制限します。ただしSOCI法第2B部や1997年電気通信法の要件を満たすために既に提供した情報と、既に適法に公開された情報は対象外です。違反の民事罰は60ペナルティユニットで、1ユニットは2026年7月1日から364豪ドルです。第5部のサイバーインシデント・レビュー委員会は2026年4月28日に議長と委員6名が任命されました。

よくある質問

出典

1. *1　参考：オーストラリア連邦法令登録簿「Cyber Security Act 2024」（2024年法律第98号）（https://www.legislation.gov.au/C2024A00098/asmade/text）。本文の一次情報として。第2条の施行表（第3部および第5部は2025年5月29日、第2部は2025年11月29日、第1部・第4部・第6部・第7部は2024年11月30日）、第3条(b)の目的、第5条の域外適用、第8条の指定連邦機関の定義、第11条の州機関への開示、第26条の適用と報告事業体の定義、第27条の報告義務・記載事項・様式・民事罰60ペナルティユニット、第28条の善意の免責、第29条の限定利用、第30条の二次利用の制限、第32条の証拠能力、第5部のサイバーインシデント・レビュー委員会を確認した。確認日は2026年9月9日。（2026年9月確認）
2. *2　参考：オーストラリア連邦法令登録簿「Cyber Security (Ransomware Payment Reporting) Rules 2025」（F2025L00278・2025年2月27日制定）（https://www.legislation.gov.au/F2025L00278/asmade/text）。規則の一次情報として。第2条の施行、第5条の概要、第6条の売上高しきい値300万豪ドルと年度途中の按分、第7条の記載の細目、および合理的な調査により72時間以内に知りうる範囲に限られる旨の注記を確認した。確認日は2026年9月9日。（2026年9月確認）
3. *3　参考：オーストラリア連邦法令登録簿「Crimes (Amount of a Penalty Unit) Instrument 2026」（F2026N00424・2026年6月15日制定）（https://www.legislation.gov.au/F2026N00424/asmade/text）。ペナルティユニットの額の一次情報として。1914年刑法第4AA条第1A項に基づき、2026年7月1日から1ペナルティユニットを364豪ドルとすることを確認した。確認日は2026年9月9日。（2026年9月確認）
4. *4　参考：オーストラリア連邦法令登録簿「Cyber Security (Cyber Incident Review Board) Rules 2025」（F2025L00277・2025年2月27日制定）（https://www.legislation.gov.au/F2025L00277/asmade/text）。サイバーインシデント・レビュー委員会の運営に関する規則として確認した。確認日は2026年9月9日。（2026年9月確認）
5. *5　参考：オーストラリア連邦法令登録簿「Cyber Security (Chair of the Cyber Incident Review Board) Appointment 2026」（F2026N00304・2026年4月28日）（https://www.legislation.gov.au/F2026N00304/asmade/text）。議長の任命として確認した。あわせて委員の任命（F2026N00305からF2026N00310までの6件・いずれも2026年4月28日）も同登録簿で確認した。確認日は2026年9月9日。（2026年9月確認）

Tweet