経済安全保障推進法 基幹インフラ事業者 届け出対応の落とし穴と推進のポイント

1. はじめに

2022年5月に経済安全保障推進法が成立し、2024年5月17日より「基幹インフラ役務の安定的な提供の確保（以下、「本制度」）」に関する制度が施行されてから約2年が経過しています。

2025年12月には、内閣官房「経済安全保障法制に関する有識者会議」において2024年度の届出件数が公表されました¹（図表1）。

多くの重要維持管理の届出が行われている一方、導入の届出は相対的に少なく、いまだ実績がない事業者もいると想定されます。今後の特定重要設備の更新や機能改修などの際には、新規届出が必要となるケースも発生するでしょう。加えて現時点での届出漏れの可能性も考慮すると、今後も継続的に届出が積み上がっていくことが予想されます。各事業者には定期的な該当性確認と管理体制強化が不可欠です。

本制度の成立以降、PwC Japanグループは特定社会基盤事業者を含む制度関連企業の支援を実施しており、届出対応における実務上の課題や解決策が明らかになってきています。そこで本コラムでは、制度対応実務における課題と解決策について特定社会基盤事業者の目線から紹介するとともに、本制度の近年の推移や、2026年11月までに施行が予定されている「能動的サイバー防御」導入に関する法律や既に施行されている「セキュリティ・クリアランス制度」との関連性についても解説します。

3. 今後の動向

前述のような実務上の課題もありますが、本制度は現在もさまざまな文脈で変化しつつあります。また、サイバー対処能力強化法及び同整備法、重要経済安保情報保護活用法との連動も事業者に大きな影響を及ぼすことが想定されます。

3.1 基幹インフラ制度の変化

本制度の施行以降、より強固な経済安全保障を確保するために、政府は制度対応を強化する動きを見せています。以降、有識者会議等で議論されている特筆事項について説明します。

分野の拡大

2023年に発生した港湾局におけるサイバー攻撃事案を踏まえ、「一般港湾運送事業」が特定社会基盤事業として追加され、2025年11月から適用が開始されています。

また、2022年の病院機構へのランサムウェア攻撃による混乱を受け、有識者会議での議論を経て2026年6月10日には医療分野が追加されました³。DXが進む医療機関においても、サイバー攻撃への備えが求められています。

運用改善のための議論

制度運用開始から約2年が経過し、各事業者からの声を踏まえ、有識者会議では以下のような運用改善の議論が進んでいます⁴（図表8）。

届出が必要な場合の明確化

現行制度では、特定社会基盤事業者自身やその子会社等が供給する特定重要設備は届出対象外とされています。しかし、他者が供給する構成設備（サーバー、OS等）を用いる場合は特定妨害行為のおそれが否定できないため、事前届出が必要であることを明確化すべきとの提言がなされています。今後、事業者自身や子会社が供給する設備であっても、その構成設備および重要維持管理等の委託先の棚卸・情報収集が求められる可能性があります。

早期・適切な事前相談の徹底

届出時点で既に機器の購入・設置が完了しているケースが多く、その段階で設備交換等が必要となると、投資損失や役務提供への支障が生じるおそれがあります。特定重要設備の供給者や委託先を決定する前の早期段階から所管省庁と業者が意思疎通を図ることが望ましいため、早期・適切な事前相談の促進が提言されています。各事業者には、新規調達や委託の候補段階で社内の対応チーム等に連携する体制構築が求められます（図表9）。

図表9：早期からの事前相談のイメージ

データの保護

有識者会議の提言では、基幹インフラ役務に必要なデータの保護についても言及されています。データセンターやクラウドサービスは安全保障上重要なデータの処理・保存先となっているため、情報漏えい防止措置や国内データセンターの設置状況を把握する措置が必要とされています。事業者への影響としては、データ保護に関するリスク管理措置の追加などが考えられます。

3.2 セキュリティ・クリアランス制度、能動的サイバー防御との制度的接続

国家安全保障戦略（令和4年12月）に示されるように、現在、日本は戦後最も厳しく複雑な安全保障環境に直面しています。サイバー空間や経済活動が国家安全保障と直結する中、経済安全保障推進法、セキュリティ・クリアランス制度、能動的サイバー防御は、独立した施策ではなく日本の安全保障を総合的に強化する要素として位置付けられています。

セキュリティ・クリアランス制度

企業や研究機関がグローバルでの信頼性を維持し、先端技術の保全と活用を両立させるために注目されているのが「セキュリティ・クリアランス制度（重要経済安保情報保護活用法）」です。2014年施行の特定秘密保護法では経済安全保障情報が必ずしも保全対象ではありませんでしたが、軍事と非軍事技術の境界が曖昧になる中、2023年G7広島サミットでは経済安全保障分野における機微情報の適切な管理の必要性が盛り込まれました。セキュリティ・クリアランス制度は、重要経済安保情報へのアクセス資格を政府が付与し、漏洩者には罰則を科すもので、2025年5月に施行されています。

こうした中で日本企業は、自社の事業が重要経済基盤（重要インフラ、重要物資の供給網、先端技術等）に関係するかを把握し、適合事業者として人的・組織的・技術的な情報保全体制を整備する必要があります。情報取扱者への適性評価対応、情報漏えい防止の徹底、教育・訓練による意識向上が不可欠です。詳細は「『セキュリティ・クリアランス制度』法制化の最新動向と日本企業が取るべき対応」で紹介しています。

能動的サイバー防御との連動

2025年5月成立の能動的サイバー防御法により、基幹インフラ事業者は情報共有・対策のために設置される協議会に加入して政府から機微情報の提供を受ける際、セキュリティ・クリアランス制度への対応が求められることがあります。能動的サイバー防御とは、重大なサイバー攻撃を未然に防止または被害拡大を防ぐため、攻撃源特定や攻撃者の無力化を行う取り組みです。同法は公布から1年半以内に施行予定で、保護対象には基幹インフラ事業者（2025年7月末時点で15業種約257社）が含まれます。

政府設置予定の「情報共有及び対策に関する協議会」を通じてサイバー攻撃の機微情報が共有されるため、基幹インフラ事業者には事前のセキュリティ・クリアランス取得と適合事業者認定が前提となります。特別重要電子計算機の導入前届出、インシデント報告、通信情報の政府提供など幅広い対応が求められます。詳細は「能動的サイバー防御の導入による基幹インフラ事業者への影響」で紹介しています。

4. まとめ

本コラムでは、基幹インフラ制度における実務上の課題として、抜け漏れのない網羅性の確保と、制度の趣旨を理解した本質的な対応の両面が求められることを示してきました。

一方、基幹インフラ制度そのものも変化を続けていることに加えて、新たに施行されるセキュリティ・クリアランス制度による情報と人の信頼性確保、能動的サイバー防御による実効的な対処へと連なる政策は、相互に補完し合う一体的な経済安全保障の枠組みを形成しています。

いずれの制度においても、事業者は単に法令要件を満たすだけでなく、自らの事業特性や環境を踏まえ、何が守るべき対象なのか、どのようなリスクが存在するのかを主体的に評価し、実効性のある対策を講じることが求められています。

これらの対応は決して容易ではありません。特定重要設備の洗い出しから届出プロセスの構築、委託先管理、さらには複数制度をまたぐ体制整備まで、相応のリソースと専門性を要します。経営層には、これらを単なる現場実務上の課題として捉えるのではなく、十分なリードタイム、工数、予算を確保し、組織として法令の要請に確実に応えることが求められます。担当者任せでは乗り切れない、経営層の強いコミットメントが必要な課題であることを認識すべきです。

PwC Japanグループは変化の激しい経済安全保障規制環境において、制度対応の実務支援から組織体制の構築、制度対応業務プロセスの定着・自走まで、企業の自律的な対応力を高める伴走支援を提供しています。