特定卸供給制度におけるサイバーセキュリティ対策届出の対応

特定卸供給制度とは

「特定卸供給制度」は、卸電力の供給に係るプレイヤーの多様化が進む中で、電力需給の安定化に資する新たな制度枠組みとして2022年に導入されました。同制度は小売電気事業者、一般送配電事業者、特定送配電事業者および配電事業者に電力の卸供給を行う事業者（アグリゲーター）に対して、経済産業省資源エネルギー庁（以下、エネ庁）への届出義務を課しています。

届出は図表1の流れで実施されます。

図表1：特定卸供給事業者の届出手続きフロー

この届出の中でも準備に工数を要するのが、「サイバーセキュリティ対策の実施状況」の報告です。エネルギーインフラを標的とするサイバー攻撃の脅威に対応するため、電力制御システムの保護体制や対策状況の回答が求められます（図表2）。

図表2：届出提出のイメージ

① 届出におけるサイバーセキュリティの要求項目

サイバーセキュリティ対策の実施状況の報告に用いる「参考様式（サイバーセキュリティ確保実施内容一覧）」にて求められる項目は図表3の構成となっており、組織的な対策から技術的な対策までが網羅的に要求されています。

^{出典：資源エネルギー庁「特定卸供給事業に係る サイバーセキュリティ確保の指針※1」を基にPwC作成}

なお、これらは別途定められている「特定卸供給事業に係るサイバーセキュリティ確保の指針^※1」に整合した形で構成されており、単なる宣誓的な記載ではなく、具体的な体制や計画の回答と、その証跡となる根拠資料の添付が求められます。

② 届出対応における難所

特定卸供給制度に基づく届出は、要件の充足を確認するため、実施しているセキュリティ対策の具体的な提示が求められます。その際に事業者が直面しやすい主な難所は以下のとおりです。

難所1：計画段階での届出対応

アグリゲーションシステムが開発途中であるなど、事業開始前の段階であっても、将来実施予定のセキュリティ対策を具体的に記載し、根拠資料を添付する必要があります。根拠資料の中では現状の事業計画等を踏まえた実現可能性のある体制や対策方針を明記しておくことが求められます。

難所2：多岐にわたる関係各所との連携

届出項目には、再エネ事業部門等が把握する事業構想に加え、情報システム部門のセキュリティ知見が必要な内容も含まれます。そのため部門横断的な連携が不可欠ですが、関係者の調整や組織間のルールやプロセスのすり合わせなどを要するため、推進には工夫が必要です。

難所3：サイバーセキュリティと電力事業の両方の理解が必要

届出様式を記入する際、どのレベルの対策を回答すれば充足とされるかに迷う可能性があります。特に根拠資料の選定や記載の粒度は迷いやすく、過不足のない記載をするには情報セキュリティと特定卸供給事業に関わるシステム両面の知見や一定の経験が必要になります。

難所4：アグリゲーション事業固有のセキュリティ対策整備

基本的には全ての項目を遵守することが求められますが、現行の社内規程や対策ではアグリゲーションシステムの特性（他所接続によるリスク等）に対応しきれず、要件を遵守できない可能性があります。そのような場合には、アグリゲーション事業固有のセキュリティ規程やセキュリティ推進体制の整備が必要になるケースがあります。

③ 今後の制度動向と対応の必要性

特定卸供給制度を取り巻くルールとして、「電力制御システムセキュリティガイドライン」や「エネルギー・リソース・アグリゲーション・ビジネス（ERAB）セキュリティガイドライン※2」などが存在します。これらは定期的に改定されるため、特定卸供給事業者は動向を把握しておく必要があります。

特にERABセキュリティガイドラインに関しては、ERABシステムにおけるそれぞれの通信インターフェースに関する脅威と対策を定めているため、簡易指令システムに接続してアグリゲーター事業を行う場合に、一般送配電事業者からガイドラインに沿った詳細対策要件を設計・遵守することを求められます。そのため、特定卸供給事業者は届出要件の範囲外であっても、ERABセキュリティガイドラインによる追加的なセキュリティ対策の実施が必要となるケースが想定されます。

今後も関係ガイドラインの改定などにより、接続先の事業者からの要求内容が変更されることが予測されるため、特定卸供給事業者は届出実施後も制度動向を注視し、柔軟な対応計画を策定していくことが重要です。

④ 届出対応におけるPwCの支援

PwCコンサルティングでは、特定卸供給事業の開始を検討する事業者に対して、届出要件の充足度評価や、届出様式案の作成支援を提供しています。

「サイバーセキュリティ確保実施内容一覧」の回答案作成、体制図やリスク評価資料の整備、根拠資料のレビューなど、実務に即したサポートが可能です。各種ガイドライン改正の動向を踏まえた将来的な対応方針の検討にも対応しています。

また、特定卸供給事業を推進するにあたり、セキュリティ向上（ERABセキュリティガイドライン3.0版対応等）に興味のある方は、下記のWebサイトをご覧ください。
https://www.pwc.com/jp/ja/services/digital-trust/cyber-security-consulting/vpp-business.html