コラム第920号：「複雑化する重要インフラ規制」

第920号コラム：湯淺　墾道 理事（IDF副会長、明治大学専門職大学院ガバナンス研究科長）
題：複雑化する重要インフラ規制

　日本の官公庁の仕組みは複雑であり、権能や位置づけを正確に理解するのは難しい。たとえば内閣、内閣官房、内閣府の違いとそれぞれの法的な位置づけや権限を正確に説明できる人は決して多くはないだろう。委員会にもさまざまなものがあるが、原子力規制委員会のような3条委員会、国家公安委員会や公正取引委員会のように3条委員会と同様の権限を持ち内閣府設置法に基づき設置される委員会、8条委員会があり、その位置づけや構成、権限は異なっている。
　官公庁の仕組みが複雑である分、規制権限の分配と行使についても単純ではなく、複数の権限がオーバーラップしていて権限間の優先度が明確に定められていない場合もある。
　近年、サイバーセキュリティに関する法制度が充実してきたが、その反面でサイバーセキュリティに関係する所管官庁が増えて、規制が複雑化・重層化するという問題が浮上してきた。特にいわゆる重要インフラ規制は、複数の異なる法律が似たような規制を課しているため、用語もわかりにくくなっている。
　一般に、サイバーセキュリティにおける重要インフラは、サイバーセキュリティ基本法の定める重要社会基盤事業者を指すことが多い。同法6条は「重要社会基盤事業者は、基本理念にのっとり、そのサービスを安定的かつ適切に提供するため、サイバーセキュリティの重要性に関する関⼼と理解を深め、⾃主的かつ積極的にサイバーセキュリティの確保に努めるとともに、国⼜は地⽅公共団体が実施するサイバーセキュリティに関する施策に協⼒するよう努めるものとする。」と定めており、同法14条は「国は、重要社会基盤事業者等におけるサイバーセキュリティに関し、基準の策定、演習及び訓練、情報の共有その他の⾃主的な取組の促進その他の必要な施策を講ずるものとする。」と規定している。これを受けて、「重要インフラのサイバーセキュリティに係る行動計画」が定められており、情報通信、金融、航空、空港、鉄道、電力、ガス、政府・行政サービス（地方公共団体を含む）、医療、水道、物流、化学、クレジット、石油、港湾が対象となっている。
　一方で、経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律（経済安全保障推進法）には、基幹インフラという概念がある。同法第3条では、特定社会基盤事業者という用語を用いており、一般に基幹インフラと呼ばれている。対象となる領域は法律で対象事業の外縁を⽰して政令で絞り込むという方法が取られており、電気、ガス、⽯油、⽔道、鉄道、貨物⾃動⾞運送、外航貨物、 航空、空港、電気通信、放送、郵便、⾦融、クレジットが対象となっている。
　また、いわゆる能動的サイバー防御に関する法律として制定された重要電子計算機に対する不正な行為による被害の防止に関する法律では、特別社会基盤事業者という概念が設けられた。特別社会基盤事業者は、経済安全保障法上の基幹インフラ事業者（特定社会基盤事業者）のうち、重要電子計算機を使用するものをいうとされている。
　このように　重要社会基盤事業者、特定社会基盤事業者、特別社会基盤事業者という3種類の概念が併存しており、規制内容や手法も異なっているので、事業者側からみればきわめて複雑な規制構造となっている。しかも重要インフラ、基幹インフラという言葉はあくまでも法律の文言では用いられていない略語であるから、人によっては重要インフラという用語を重要社会基盤事業者、特定社会基盤事業者、特別社会基盤事業者のすべてを指して用いている場合もあり、ますますややこしくなっているわけである。
　このような状況の中で、朗報もある。それは、サイバー攻撃による被害発生時のインシデント報告様式の統一化が図られることになったという点である。サイバー攻撃による被害報告件数は増加する一方であり、報告先となる官公庁が多いので、サイバー攻撃を受けた被害組織に過度な報告負担がかかっているという声は以前から上がっていた。2025年7月に関係省庁間で申し合わせが行われた結果、サイバー攻撃による被害発生時の、被害組織の報告負担軽減と政府の対応迅速化を図るため、被害報告の一元化が行われることになった*1。
　行政組織を簡素にすることは容易ではないが、せめて規制が過度に複雑なものになることを避けて届出等の手続を簡略化し、民間事業者の負担が過度にならないようにする制度設計を行うことは、今後も重要であろう。
(*1 ) https://www.cyber.go.jp/policy/group/cyber/yoshikiichigenka.html

※著作権は、湯淺氏に属します。
※本稿は筆者の見解であり、IDFの見解を示すものではありません。