サイバーセキュリティ基本法 さいばーせきゅりてぃきほんほう
簡単に言うとこんな感じ！
日本のサイバーセキュリティ対策の「国としての方針・ルールの大本」を定めた法律だよ。「誰が何をすべきか」を国・地方・企業レベルで整理した骨格で、これをもとに具体的な対策ルールが作られてるんだ！
サイバーセキュリティ基本法とは
サイバーセキュリティ基本法は、2014年（平成26年）に成立・公布され、2015年1月に施行された日本の法律です。正式名称は「サイバーセキュリティ基本法（平成26年法律第104号）」で、国のサイバーセキュリティ施策を総合的・効果的に推進するための基本理念・国の責務・推進体制を定めています。
この法律が生まれた背景には、政府機関や重要インフラへのサイバー攻撃が急増し、「インターネットの安全・安心」が国家安全保障レベルの問題になってきたことがあります。それまでバラバラに対応していた省庁をまとめ、内閣に司令塔機能（NISC：内閣サイバーセキュリティセンター）を置くことを法的に明確化したのが最大のポイントです。
「基本法」という名称のとおり、この法律自体が直接何かを禁止・命令するわけではありません。いわば「他の法令・ガイドライン・政府戦略の土台となる憲法的な存在」で、具体的な規制は個別法（不正アクセス禁止法・電気通信事業法など）や政府の「サイバーセキュリティ戦略」に委ねられています。
法律の構造と主な内容
| 章 | 主なテーマ | ポイント |
|---|---|---|
| 第1章 | 総則・基本理念 | サイバーセキュリティの定義、国民・事業者・国の責務を明記 |
| 第2章 | サイバーセキュリティ戦略 | 政府が戦略を策定・公表する義務 |
| 第3章 | 基本的施策 | 重要インフラ保護・人材育成・国際協力など |
| 第4章 | サイバーセキュリティ戦略本部 | 本部の設置・組織・権限（内閣に設置） |
| 第5章 | NISC | 内閣サイバーセキュリティセンターの設置根拠 |
「サイバーセキュリティ」の法律上の定義
この法律で初めて「サイバーセキュリティ」が法律用語として定義されました（第2条）。
電磁的方式で記録・発信・伝送・受信される情報の漏えい・滅失・毀損の防止、その他の安全管理のために必要な措置、および情報システム・情報通信ネットワークの安全性・信頼性の確保に必要な措置が講じられ、その状態が適切に維持管理されていること
難しく見えますが、要は「デジタル情報とシステムを守ること全般」を指します。
誰に何を求めているか（責務の整理）
| 主体 | 責務の概要 |
|---|---|
| 国 | 施策の総合的・計画的推進、戦略策定 |
| 地方公共団体 | 国との連携・地域の施策推進 |
| 重要インフラ事業者 | 自主的な対策の努力義務 |
| サイバー関連事業者 | 積極的な対策・情報共有の努力義務 |
| 教育研究機関 | 人材育成・研究開発への協力 |
| 国民 | 自発的なサイバーセキュリティへの取り組み努力 |
歴史と背景
- 2000年代初頭〜：政府機関・重要インフラへのサイバー攻撃が増加。内閣官房が「情報セキュリティ政策会議」を設置して対応するも、法的根拠が弱かった
- 2011年：「サイバーセキュリティ戦略」が閣議決定。国家レベルの取り組みが本格化
- 2013年：標的型攻撃・APT攻撃が社会問題化。政府機関・防衛産業を狙った攻撃が相次ぐ
- 2014年11月：サイバーセキュリティ基本法が国会で成立・公布（平成26年法律第104号）
- 2015年1月：施行。内閣サイバーセキュリティセンター（NISC）が同時に設置
- 2016年：サイバーセキュリティ戦略本部による「サイバーセキュリティ戦略」改定。東京五輪対応を見据えた強化
- 2018年：一部改正。大学・研究機関の責務が追加され、産学官連携が明文化
- 2021年：サイバーセキュリティ戦略が改定。DX推進・コロナ禍でのリモートワーク普及を踏まえた対策強化
関連する法律・制度との位置づけ
サイバーセキュリティ基本法は「基本法」なので、多くの具体的な法律・制度の上位概念として存在します。
重要インフラとは？
サイバーセキュリティ基本法が特に重点を置く「重要インフラ」とは、停止・機能低下が国民生活・経済活動に深刻な影響を与えるシステムのことです。現在は以下の14分野が指定されています。
| グループ | 分野 |
|---|---|
| ライフライン | 電力・ガス・水道・化学 |
| 交通 | 鉄道・航空・空港・物流 |
| 情報通信 | 情報通信・放送 |
| 金融 | 金融・クレジット |
| 行政・医療 | 政府・行政サービス・医療 |
ビジネスパーソンが押さえるべきポイント
発注側・企業の担当者として「サイバーセキュリティ基本法が自社に何を求めているか」を整理すると、次のようになります。
| シーン | 基本法との関係 |
|---|---|
| 政府・自治体への納品 | NISC策定の「政府機関等の対策のための統一基準群」への準拠が実質必須 |
| 重要インフラ関連事業 | 「重要インフラ行動計画」に基づく演習・自主対策が求められる |
| 一般企業 | 直接の罰則はないが、努力義務として対策推進が求められる |
| 取引先の選定 | セキュリティ対策状況を確認する根拠・文脈として活用できる |
💡 実務のヒント： この法律自体に違反しても直接罰せられるわけではありません。ただし「国がセキュリティを重視している根拠法」として、取引先・調達条件・監査の文脈で頻繁に引用されます。提案書や契約書で「サイバーセキュリティ基本法に基づき〜」という表現が出てきたら、この法律が背景にあると理解してください。
関連する規格・RFC
| 規格・文書 | 内容 |
|---|---|
| サイバーセキュリティ戦略（閣議決定） | 基本法第12条に基づき政府が策定する国家戦略。概ね3年ごとに改定 |
| 政府機関等の対策のための統一基準群（NISC） | 政府機関・独立行政法人が遵守すべき具体的なセキュリティ基準 |
| 重要インフラの情報セキュリティ対策に係る第4次行動計画 | 14分野の重要インフラ事業者向けの行動指針 |
| ISO/IEC 27001 | 情報セキュリティマネジメントシステム（ISMS）の国際規格。実務上の対策基準として広く参照される |
関連用語
- NISC（内閣サイバーセキュリティセンター） — 基本法に基づき設置された内閣の司令塔組織
- 情報セキュリティポリシー — 組織が定めるセキュリティ対策の基本方針・規程
- 不正アクセス禁止法 — 不正アクセス行為を禁止・罰則規定を定めた個別法
- 個人情報保護法 — 個人データの取り扱いを規制する法律。セキュリティ対策と密接に関連
- 重要インフラ — 停止が社会に甚大な影響を与えるシステム・サービスの総称
- ISMS（情報セキュリティマネジメントシステム） — ISO 27001に基づく組織的なセキュリティ管理の仕組み
- サイバーセキュリティ戦略 — 基本法に基づき政府が策定する国家レベルのセキュリティ計画
- 標的型攻撃 — 特定の組織・個人を狙い撃ちにするサイバー攻撃手法