内閣官房国家サイバー統括室（NCO）が、「サイバーセキュリティ関係法令Q&Aハンドブック」を改訂しました。新しい版はVer.3.0です。項目数は87のまま、目次が読む人の立場を軸に組み直され、AIや地方公共団体の項目が加わっています。研修や事業者からの相談で参照する立場から、改訂の要点と、資料として使う前に確かめたい点をまとめます。
Ver.3.0の要点は、目次の組み替えと新しい項目
Ver.3.0は、2026年10月にPDF版で公開されました。初版のVer.1.0が2020年3月、Ver.2.0が2023年9月に出ており、今回が3つ目の版にあたります。PDFは541ページあり、NCOのサイトから誰でも読めます。
収録項目の数は、Ver.2.0もVer.3.0も87項目です（筆者が両版の目次から数えたもの）。Ver.3.0の番号はQ85までですが、海外の法令を扱うQ83が3つに分かれています。
変わったのは並べ方です。Ver.2.0は、法分野や実務の場面を単位に、14のトピックに分けられていました。Ver.3.0は、法令の趣旨や利用する主体に着目して、9つの章に組み直されています。
新たに立てられた項目は、次のとおりです。
- 能動的サイバー防御（Q3）
- 地方公共団体（Q4）
- IoT製品のセキュリティラベリング制度「JC-STAR」（Q36）
- スマホソフトウェア競争促進法（Q40）
- AI（Q43）
- 医療と金融の分野別の規律（Q48・Q49）
- 経済安全保障（Q56）
- フェイクニュース対策（Q80）
能動的サイバー防御は、重大なサイバー攻撃を未然に防ぐため、官民の情報共有などで平時から備える取り組みです。
巻末には、関係する法令を体系的に整理した表が付録として付きました。表の骨格は、令和7年度サイバーセキュリティ法曹懇談会が作成した法体系マッピングです。法令の名前から、関連するQを逆に引けます。
研修や相談で開くなら、まずこの項目から
541ページを最初から読む必要はありません。読む人の立場によって、入口になる項目が変わります。
自治体の担当者は、新設のQ4から
地方公共団体を扱う項目が、Ver.3.0で新たに立てられました。職員向けの研修で、セキュリティに関わる法令に触れるなら、最初に確かめておきたい項目です。
AI研修の担当者は、Q43とQ80
ハンドブックの前文は、AIがサイバー攻撃に悪用されるおそれに触れています。攻撃が速くなり、自動化も進んで脅威が増すと想定されることを、改訂の理由の一つとしています。Q43は、AI法やAI事業者ガイドラインなどを整理し、AIシステムのセキュリティ確保の考え方を示しています。
Q80は、生成AIによる偽の情報も視野に入れたフェイクニュース対策の項目です。AIの使い方を伝える研修で、関連する法令やガイドラインの全体像を示したいときの出発点になります。
事業者から相談を受ける担当者は、巻末の付録
「個人情報保護法が変わったらしい」といった相談を受けたとき、付録の表が役に立ちます。法令の名前から、ハンドブックのどの項目を読み直せばよいかをたどれるためです。
資料として使う前に確かめたい3つのこと
基準日は2026年1月1日
内容は、原則として2026年1月1日時点の法令等に基づいています。基準日のあとにも、制度は動いています。
たとえば、サイバー攻撃の被害を官公署へ報告するときの「共通様式」です。2025年10月1日に、ランサムウェアとDDoS攻撃を対象に運用が始まりました。DDoS攻撃は、大量の通信を送りつけてサービスを止める攻撃です。
2026年9月15日には、関係省庁の申合せが改正されました。あわせて共通様式も改定され、「その他サイバー攻撃等事案」の様式が新しく作られました。個人情報保護委員会は、2026年10月1日以降の報告について案内を出しています。ランサムウェア事案などによる個人データの漏えい等（そのおそれを含む）は、共通様式でも報告できるという内容です。
研修資料に引用するときは、原典と所管する省庁の最新の案内を確かめてください。
法的助言でも、政府の公式見解でもない
ハンドブックの留保事項は、全体を、法令の解釈や適用についての「一つの考え方」として示しています。実務者の知見や外国の法令に触れた箇所は、法的助言にも政府の公式見解にもあたらない、と断り書きがあります。
研修で紹介するときは、「政府の見解」と言い切らないほうが誤解を防げます。個別の事案の判断は、弁護士などの専門家に相談する前提を添えておくと安心です。
罰則の「懲役」表記が残る項目がある
2025年6月1日に施行された改正刑法で、懲役と禁錮は「拘禁刑」にまとめられました。ところが、ハンドブックのQ6とQ19では、いまも「懲役」と書かれています。
罰則をスライドなどに書き写すときは、現行の条文と照らし合わせてください。
まとめ：立場に近い項目から開く
Ver.3.0は、項目の数を変えずに、読む人の立場から引ける形に組み直された版です。Ver.3.0のHTML版は、今後作成される予定です。いま公開されているHTML版は、2025年12月に出たVer.2.0です。
まずはPDFで、自分の立場に近い項目から開いてみてください。改訂の全体像やインシデント報告の範囲は、別の解説記事で詳しく扱っています。テクノロジーメディア『innovaTopia』に執筆したものです（解説記事を読む）。
デジタルの窓口では、公的機関が主催するAI活用セミナーで、10回以上講師を務めてきました（登壇・セミナー実績）。研修やセミナーは、内容・時間・形式に合わせてお見積もりします。対面・オンライン・ハイブリッドのいずれにも対応しています。ご相談はお問い合わせからどうぞ。
参考リンク
- サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0（国家サイバー統括室）
- サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0 PDF版（国家サイバー統括室）
- サイバー攻撃時の報告様式の統一（国家サイバー統括室）
- 漏えい等の対応とお役立ち資料（個人情報保護委員会）
- NCOがサイバーセキュリティ関係法令Q&Aハンドブックを改訂、87項目を9章に組み替え（innovaTopia）
この記事を書いた人
山本 達也（やまもと たつや）
合同会社デジタルの窓口 代表社員／AI活用ナビゲーター
兵庫県姫路市を拠点に、ホームページ制作とWeb集客の支援をしています。公的機関が主催するAI活用セミナーで、10回以上登壇しました。
主な主催団体
- 兵庫県商店街振興組合連合会
- 一般財団法人 明石市産業振興財団
- 姫路市市民活動・ボランティアサポートセンター
テクノロジーメディア『innovaTopia』のテクニカルライターも務めています。生成AIやサイバーセキュリティの分野で、累計約4,500本を執筆しました。ほかに姫路経済新聞の記者、異業種交流会「クロストーク」のファウンダーをしています。
コメント