LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

自社が侵害されていなくても、委託先が侵害されたら報告義務が立つ。米国のCIRCIA（2022年重要インフラサイバーインシデント報告法）の規則案には、そういう類型が並んでいます*3。対象となる事案は72時間以内、身代金の支払いは24時間以内にCISAへ報告するという枠組みです*3。

この規則案はまだ確定していません。2024年4月4日に公表され、約300件の意見が寄せられました*2。2026年前半に予定されていた意見聴取の会合は、国土安全保障省の予算失効により中止となり、6月15日から18日の日程に組み直されています*1。範囲と負担をどこまで絞るかの議論が、いま進んでいる段階です*2。

本記事は、米国に拠点や取引を持つ企業の情報システム部門と、その仕組みを受託する立場に向けて、規則案が何を求めているのかと、設計に効いてくる部分を整理します。自社が対象になるかどうかの判断は、公式資料と米国法に詳しい専門家への確認を経て進めてください。

いまどこまで進んでいるのか

最初に現在地を確かめます。義務の中身より先に、これが確定した規則ではないという点が大事だからです*1。

CIRCIAは2022年3月に成立した法律で、CISA（サイバーセキュリティ・インフラセキュリティ庁）に規則づくりを命じました*3。法律が定めた工程も明確です。規則案は2024年3月15日までに、最終規則はその公表から18か月以内に出すこととされていました*3。規則案の公表は2024年4月4日、意見募集は90日間で、約300件の意見が集まりました*2。

ところが、そこから先が動いていません。CISAは2026年2月13日に7回の意見聴取会合の開催を告知しましたが、2026年2月14日から4月30日までの国土安全保障省の予算失効により、告知した会合は開催されませんでした*1。改めて示された日程が、6月15日から18日にかけての4回です*1。

会合は分野ごとに分けられました。6月16日は通信、ダム、緊急サービス、食料・農業、政府施設、医療・公衆衛生、輸送、上下水道の各分野。6月18日は化学、商業施設、重要製造、防衛産業基盤、エネルギー、金融サービス、情報技術、原子力の各分野です*1。全体向けの会合も6月15日と17日に置かれました*1。

注意したいのは、これが意見募集の再開ではないという点です。CISAは規則案への意見募集期間を今の時点では再開しないと明記しており、あくまで限定的な意見表明の機会という位置づけになっています*2。つまり、規則案の骨格そのものは動いていません。

二つの時計——72時間と24時間

義務の中心は、二つの締切です*3。

法律の条文としては、対象となるサイバー事案は、それが起きたと対象事業者が合理的に信じてから72時間以内に、身代金の支払いは支払いから24時間以内に、CISAへ報告すると定められています*3。規則案はこの時間をそのまま条文化しました*3。

ここで効いてくるのが起点の置き方でしょう。72時間の数え始めは、事案の発生時刻でも、原因が確定した時刻でもありません。対象事業者が「起きたと合理的に信じた」時点です*3。CISA自身、この判断が主観的になりうると認めています*3。

運用に落とすと、記録の設計が変わります。いつ、誰が、どの情報を見て、報告に値すると判断したのか。その判断の履歴が残っていないと、後から締切を守ったことを示せません。障害対応とオンコールの体制で扱う一次受けの記録が、そのまま証跡になります。

報告の種類は四つ用意されました。対象事案の報告、身代金支払いの報告、その両方をまとめた報告、そして補足報告です*3。提出は、CISAのウェブサイト上の入力フォームを通じて行う案になっています*3。

代理提出も認められています。対象事業者は、第三者に自社の代わりに報告を提出させることができます*3。運用を委託している場合、この経路を使うかどうかは契約の論点になるでしょう。なお、第三者が身代金の支払いを代行する場合、その第三者は対象事業者へ報告義務があることを伝えなければならない、という規定も置かれています*3。

四つ目の入口——委託先の侵害

報告すべき「重大な事案」の定義に、受託側から見て見逃せない類型があります*3。

規則案は、重大な事案として四つの結果を挙げました。機密性・完全性・可用性への重大な喪失、業務系のシステムと手順への重大な影響、事業や産業上の運転あるいは商品・サービスの提供が途絶えること、そして四つ目です*3。

四つ目は、クラウドサービス事業者、マネージドサービス事業者（MSP）、その他の第三者のデータ保管事業者の侵害、あるいは供給網の侵害を経由して引き起こされた、自社の情報システムやネットワーク、そこに含まれる非公開情報への不正アクセスです*3。原因が何であれ、この結果に至れば対象になるという書き方になっています*3。

読み替えると、侵害されたのが自社でなくても報告義務が立つということです。委託先で起きたことを、委託元が72時間の時計の中で把握し、判断し、報告する。この流れが成り立つかどうかが問われます。

もう一点、定義の側で押さえたいのが情報システムの範囲です。規則案は、制御システムやプログラマブルロジックコントローラを含む運用技術（OT）システムを、情報システムの定義に明示的に含めました*3。産業界での用語の使われ方を踏まえ、解釈の揺れを避けるための措置だと説明されています*3。制御系のセキュリティを情報系と分けて管理してきた組織では、報告の対象範囲を見直す必要が出てきます。

いっぽうで、軽微な影響は対象外とされています。業務システムが短時間使えなくなった、通信経路を一時的に迂回させた、といった程度の混乱は、この基準では重大とみなされないのが通常です*3。

誰が対象になるのか——いま揺れている部分

対象事業者の線引きは、まさに議論されている最中です*2。

規則案の規模感を、CISA自身の見積もりで見ておきます*3。

この数の大きさが、いま争点になっています。CISAが意見聴取で特に聞きたいと挙げた項目の中に、規模基準だけで対象になり、分野別の基準にはあてはまらない事業者の範囲、そして規模基準を置くという判断そのものが並んでいるからです*2。

受託する立場から見て響くのは、次の論点でしょう。CISAは、オープンソースソフトウェアを利用するMSPやクラウド事業者を対象にする基準を最終規則に置くべきか、またオープンソースのコードやコードリポジトリに関する報告を求める基準を追加すべきかを、明示的に問いかけています*2。

他にも、重大な事案にあたる例とあたらない例が適切かどうか、報告内容の改善点、情報提供要求や召喚状の扱い方などが論点に挙がりました*2。どれも、最終規則で変わりうる部分です。いま作り込むべきなのは個別の判定ロジックではなく、変更に耐える記録の土台のほうだと考えられます。

重複報告をどう畳むか

報告先が一つとは限らない、という問題があります*3。

CIRCIAには、重複を避けるための例外が用意されました。他の連邦機関に対して、法令や契約に基づき、CIRCIAと実質的に同様の情報を実質的に同様の期限内に報告している場合、CIRCIAへの報告が免除されうるという仕組みです*3。

ただし条件が付きます。この例外を使うには、CISAと当該連邦機関との間で「CIRCIA協定」と呼ばれる機関間の取り決めが結ばれ、報告を共有する仕組みが整っている必要があります*3。CISAは最終規則の施行日より前に協定を結べるよう努めるとしていますが、確定した話ではありません*3。

期限の読み方も具体的に示されました。実質的に同様の期限といえるためには、対象事案は72時間以内、身代金の支払いは24時間以内という水準を満たし、なおかつ受け取った連邦機関がCISAへ共有する時間を残している必要がある、という整理です*3。連邦機関の側にも、報告を受けてから24時間以内にCISAへ渡す義務が別途あります*3。

この論点は、意見聴取でも改めて問われています。他の連邦法や州・地方・部族・準州の法令との調和をどう図るか、重複や矛盾をどう減らすかが、聞きたい項目として挙げられました*2。EUのサイバーレジリエンス法の報告義務やNIS2指令にも別の時計があり、多国籍で事業を持つ企業は複数の締切を同時に抱えることになります。

設計として現実的なのは、報告先ごとに別々の手順を作るのではなく、一つの事案記録から各制度の様式へ写せる形に整えることでしょう。求められる項目は制度ごとに違いますが、元になる事実は同じです。

2年間の保存という要求

見落とされがちなのが、報告を出した後の義務です*3。

規則案は、報告を提出した対象事業者に対して、提出した報告の根拠となるデータを、最後に提出した報告から2年以上保存することを求めています*3。保存を始める時点も定められました。対象事案が起きたと合理的に信じた日か、身代金を支払った日か、早いほうです*3。

数え方に癖があります。単発の報告だけで終わった場合は、その提出時点から2年です。しかし補足報告を出した場合、2年の保存期間は補足報告の提出時点から数え直しになる案になっています*3。調査が長引き、判明した事実を都度出していくと、保存期間は後ろへ伸び続けます。

ここでいうデータは、報告書そのものではありません。報告した内容を裏づける材料です。通信ログ、認証の記録、端末の状態、やり取りの記録。ログの保存とローテーションの設計が、90日や1年で回っている環境は珍しくないでしょう。保存方針と規制上の要求が食い違っていないかは、事案が起きる前に確かめておく類の話です。

もう一つ、対象事業者にあたるかどうかの判定にも時間の要素があります。規則案は、事案の発生から解決までの全期間のどこかで対象事業者にあたれば報告義務が生じる、という考え方を採りました*3。2年前に始まった侵害が現在まで続いていることが判明し、発見の時点で対象事業者であれば、報告が必要になるという例まで示されています*3。監査ログの設計で扱う、いつ何が起きたかを後から再現できる作りが効いてきます。

受託・システム側で押さえる要点

最終規則を待たずに着手できることを、順に挙げます。

第一に、委託先で起きたことが自社に届く経路を作ることです。四つ目の類型がある以上、クラウド事業者やMSPの侵害を知るのが数週間後では、72時間の時計に間に合いません*3。契約上の通知義務と、その通知を受ける窓口、受けた後の判断者。この三つが決まっていない状態が、いちばん危ういと考えられます。

第二に、判断の時刻を残すことです。72時間の起点が「合理的に信じた時点」である以上、その時点を後から示せる必要があります*3。監視の検知時刻だけでなく、人が見て判断した時刻を記録に含めておきます。

第三に、保存期間を規制側に合わせることです。根拠データを2年以上、補足報告を出せば数え直しという条件は、通常のログ運用より長い設定です*3。事案が起きたときだけ隔離して保全する経路を用意しておくと、全体の保存期間を延ばさずに済みます。

第四に、OTを対象範囲に含めることです。制御システムやプログラマブルロジックコントローラは情報システムの定義に明示されました*3。情報系と切り離して運用してきた領域も、検知と記録の対象に入れる前提で設計します。

第五に、報告先ごとの様式差を吸収する層を持つことです。連邦の他制度、州法、そして海外の制度と、締切も項目も揃っていません*2。一つの事案記録を正として、そこから各様式へ写す作りにしておくと、制度が増えても手順が破綻しにくくなります。

受託で進める場合の注意点も挙げておきます。

判定を自動化しすぎないことです。対象事業者の線引きも、重大な事案の例も、いま見直しの対象です*2。境界の判定をシステムに埋め込むと、最終規則の内容次第で作り直しになります。設計の重心は、事実と時刻を漏れなく残す側に置くほうが無難でしょう。

報告の代理提出まで含めて契約を詰めることです。第三者による提出は制度上認められています*3。運用を受託している側が実際に出すのか、下書きまでを作って委託元が出すのか。責任の切れ目を曖昧にしたまま事案を迎えると、締切の中で調整が始まります。

身代金の判断経路を先に決めておくことです。支払いの報告は24時間以内で、対象事案の報告より短い時計です*3。ランサムウェアへの備えを検討する際に、支払いの意思決定と報告をひとつながりの手順として書いておきます。

体制としては、監視の実務と業務側の判断の両方を追える要員が要ります。CSIRTやSOCの人員が薄い組織ほど、72時間の時計は厳しく効いてきます。供給網のセキュリティ管理と合わせて、委託先を含めた見取り図を先に描いておきたいところです。

まとめ：CIRCIAで押さえる3つの視点

米国のCIRCIAをめぐる規則づくりは、まだ最終規則の手前にあります。規則案の公表は2024年4月4日で、寄せられた意見は約300件です。2026年前半に予定されていた意見聴取の会合は国土安全保障省の予算失効で中止となり、6月15日から18日の日程に組み直されています。押さえたい視点は三つあります。第一に、二つの時計です。対象となるサイバー事案は、それが起きたと合理的に信じてから72時間以内、身代金の支払いは支払いから24時間以内にCISAへ報告することとされています。起点が発生時刻でも確定時刻でもないため、判断の時刻を残す設計が要ります。第二に、委託先の侵害が入口になることです。重大な事案の四つ目の類型として、クラウド事業者やマネージドサービス事業者、その他の第三者のデータ保管事業者の侵害、あるいは供給網の侵害を経由した不正アクセスが挙げられています。制御システムを含む運用技術も、情報システムの定義に明示されました。第三に、報告した後の保存です。根拠データは最後の報告から2年以上保存し、補足報告を出すと数え直しになる案です。対象事業者の線引きやオープンソースを扱う事業者の扱いは見直しの対象であるため、判定ロジックより、事実と時刻を残す土台から着手するのが堅実でしょう。

よくある質問

出典

1. *1　参考：米国連邦官報「Town Hall Meetings To Provide Input on Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Rulemaking」（CISA、2026年5月26日）（https://www.federalregister.gov/documents/2026/05/26/2026-10417/town-hall-meetings-to-provide-input-on-cyber-incident-reporting-for-critical-infrastructure-act）。2026年2月14日から4月30日までの国土安全保障省の予算失効により当初の会合が開催されなかったこと、6月15日から18日にかけての新しい日程と分野の割り振りの一次情報として（2026年8月確認）
2. *2　参考：米国連邦官報「Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Rulemaking; Town Hall Meetings」（CISA、2026年2月13日）（https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings）。規則案への意見が約300件寄せられたこと、意見募集期間を再開しない方針、規模基準や分野別基準の範囲・オープンソースを扱うMSPやクラウド事業者の扱い・重複報告の調和など、CISAが特に意見を求める論点の一次情報として（2026年8月確認）
3. *3　参考：米国連邦官報「Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Reporting Requirements」規則案（CISA、2024年4月4日）（https://www.federalregister.gov/documents/2024/04/04/2024-06526/cyber-incident-reporting-for-critical-infrastructure-act-circia-reporting-requirements）。72時間と24時間の報告期限と起点、4種類の報告、重大な事案の四つの類型と委託先経由の不正アクセス、運用技術の明示、第三者による代理提出、実質的に同様の報告の例外とCIRCIA協定、2年以上のデータ保存と補足報告による数え直し、対象事業者316,244者と26億米ドルという見積もりの一次情報として（2026年8月確認）

Tweet