サイバー攻撃はどこに報告する？個人情報保護委員会・所管省庁・取引所の整理

「委員会に速報を出したので、外部報告は終わりですか？」

「昨日、個人情報保護委員会に速報を出しました。これで外部への報告は終わりとしてよいでしょうか？」

10月7日朝、法務に届いた相談です。相談元は架空の株式会社ミナト通信（東証プライム上場）。電気通信事業の登録を受けてインターネット接続サービスを提供し、会員制のオンラインストアも運営しています。

• 10月5日夜、会員管理サーバーから外部への不審な通信を検知
• 10月6日朝、ファイル暗号化と脅迫文を確認。接続サービスの認証基盤の一部が停止し、一部地域の利用者がログインできない
• 会員情報が外部に送信されたか、暗号化された人事ファイルサーバーの従業員情報を復元できるかは調査中

ミナト通信がサイバー対処能力強化法の報告義務を負うかは、業種や上場の有無では決まりません。経済安全保障推進法に基づく指定の有無と、侵害された機器が特定重要電子計算機に当たるかを確認事項として残します（第4話：新法の対象判定と報告義務）。

1．一つの攻撃でも報告先が複数になる理由

報告制度は「サイバー攻撃を受けたこと」を一律の要件にしていません。個人情報保護法は本人の権利利益、新法は重要電子計算機の被害防止、業法は役務の安定提供と利用者保護、適時開示は投資判断を守る制度で、見る事実が違います。全機関へ報告するわけではありませんが、個人情報が関係しなくても、業務停止が業法上の事故に当たる場合などがあります。

義務の根拠と強さを区別する

• 法律・政省令に基づく報告義務：個人情報保護法、番号法、サイバー対処能力強化法、業法と施行規則
• 監督指針・行政ガイドライン等に基づく報告：監督上の対応です。法律上の義務と言い換えるべきではありませんが、直接の罰則がないことを理由に任意と扱うと監督上の評価に響きます
• 取引所規則に基づく適時開示：上場契約に基づく義務です
• 警察への相談・被害届、任意の情報共有：原則として会社が判断します
• 契約上の通知：取引先（第10話）や保険会社（第13話）への通知は、契約書・約款の期限で別に管理します

期限も、法令上の期限、行政資料上の目安、契約上の期限、社内目標を分けて記録します。

2．報告・開示・相談・任意共有の制度比較

表は横にスクロールできます。

個人情報保護法の期限・報告事項の詳細は個人情報漏えいの報告期限の解説記事を参照してください。

新法（重要電子計算機に対する不正な行為による被害の防止に関する法律、令和7年法律第42号）の報告制度は2026年10月1日に施行されました。報告義務を負う特別社会基盤事業者は、経済安全保障推進法50条1項の指定を受けた特定社会基盤事業者のうち、特定重要電子計算機を使用する者です。届出をしていない機器でも該当すれば報告対象となる一方、指定後6か月以内の事象など報告を要しない場合もあります。

3．個人情報保護委員会への報告と実際の提出先

報告先は「委員会」とは限らない

委員会は、漏えい等報告を受理する権限を事業所管大臣に委任できます（法150条）。委任業種の事業者は委任先に報告し、委任先は毎年更新されます。2026年版の一覧では、電気通信業は総務省（総合通信局等）、金融庁所管業者は金融庁・財務局等です。ただし、自社の雇用管理情報や株主情報の漏えい等は、委任業種の事業者でも委員会に報告する必要があると委員会は注意しています。

ミナト通信では、会員情報が電気通信業の委任に当たるかを委任一覧で確認し、委員会へ提出済みの速報の扱いを委任先と委員会に相談して記録します。従業員情報は雇用管理情報として委員会への報告を検討します。

同じ省庁への報告でも手続は別

総務省には、電気通信事業法28条の報告と、委任を受けた総務省が受理する個人情報保護法の報告の二つがあり得ます。根拠法、要件、期限、様式が違うため、一方で他方を済ませたことにはなりません。

特定個人情報と委託先の例外

マイナンバーを含む特定個人情報の漏えい等は、番号法29条の4と同法に基づく規則で別に判断します。対象事態には「本人の数が100人を超える」場合があり、1,000人基準を流用できません。報告は委員会のマイナンバー用フォームによります。

委託先が委託元へ報告事項（その時点で把握しているもの）を速やかに通知したときは、委託先は報告を免れます（法26条1項ただし書、施行規則9条）。委託元の報告義務は残り、単に連絡しただけで常に免除されるわけではありません（第9話）。

4．業法等の事故報告：代表例と確認手順

業法上の報告は、サイバー攻撃の有無ではなく、役務の停止・事故・情報漏えい等の要件を満たすかで判断します。

表は横にスクロールできます。

条件は事業類型や登録区分で変わるため、表の期限を他業種に当てはめないでください。自社の義務は、①グループ会社を含む許認可・登録の一覧化、②各法令・施行規則の報告規定と基準の確認、③所管省庁の監督指針・事故報告案内の確認、④共通様式の対象手続一覧との照合、⑤夜間・休日の連絡方法の平時登録、の順で洗い出します。

行政報告一般の考え方は、不祥事シリーズの「会社の不正が判明したら行政に報告すべき？報告義務と自主申告の判断」も参照してください。

5．上場会社の適時開示

上場会社は、投資判断に重要な影響を与える発生事実を認識したら直ちに開示します（有価証券上場規程402条）。サイバー攻撃で中心となるのは「災害に起因する損害又は業務遂行の過程で生じた損害」と、その他の重要な事実です。子会社等で生じた場合も開示対象になり得ます（同規程403条）。

名称ではなく、損害の規模、業務停止の範囲と期間、業績予想への影響、軽微基準への該当性で判断します。取引所のFAQは、損害額の算定に時間を要する場合、見込額が不明である旨（概算額が分かればその額）とそれ以外の事項を速やかに開示し、算定後に速やかに追加開示するよう求めています。被害額の確定や個人情報保護法の確報期限を待つ扱いではありません。金融商品取引法166条の重要事実にも同様の損害が含まれるため、開示前の情報管理も並行します。

取引所への事前相談は開示ではなく、適時開示はTDnetで行います。自社サイトへの掲載で適時開示を済ませることはできません。一般向けの被害公表は顧客・社会への説明であり、文面とタイミングは第12話で扱います。

6．共通様式でできること、別に確認すること

関係省庁の「サイバー攻撃による被害が発生した場合の報告手続等に関する申合せ」（令和7年5月28日、令和8年9月15日一部改正）は、次の三つの共通様式を定めています。

• DDoS攻撃事案（別添様式1）、ランサムウェア事案（別添様式2）：2025年10月1日から適用
• その他サイバー攻撃等事案（別添様式3）：2026年10月1日から適用

対象は、新法5条、個人情報保護法26条1項、番号法の報告、警察への相談、各省庁の業法・ガイドライン上の手続です（対象手続等一覧、2026年9月15日現在）。共通様式を使うか、法定様式に添付して報告できますが、提出先と提出方法は各法令や各省庁の案内に従います。報告を受けた官公署は、報告者が希望しない場合を除き、内容を国家サイバー統括室に共有し、重複した問合せをしないよう努めます。

一方、常に重複提出が必要とも限りません。金融庁の「金融機関における個人情報保護に関するQ&A」（2026年9月28日改正、10月1日適用）は、個人情報保護法と業法の双方の報告対象に当たる場合、一つの報告書で一括して報告できるとし（問Ⅴ-6）、ランサムウェア事案は別添様式2、その他のサイバー攻撃等事案は別添様式3を使えると示しています（問Ⅴ-8）。なお監督指針の経過措置は、主要行等向けでは特定社会基盤事業者の指定を受けた者以外について2027年3月末まで旧様式も使えるという条件付きです。金融機関全般に旧様式が使えるわけではありません。

委員会への共通様式による報告は、委員会ウェブページに示されたメール提出の方法によります。権限委任業種は委任先省庁への相談が案内されています。

7．共通のインシデント票から各報告へ振り分ける

報告の矛盾を防ぐには、事実を一つの共通票で管理し、制度ごとに必要な項目を抜き出します。共通票は社内の事実管理資料であり、法定様式の代わりに提出できるものではありません。

1. 共通票に事実を集約し、確認済み・推定・未確認と情報源・確認日時を付ける
2. 制度ごとに必要な項目を抽出し、各様式に転記する。不明点は「調査中」と明示する
3. 提出した版と時刻を共通票に記録する
4. 新事実が判明したら共通票を更新し、追加報告・訂正が必要な制度を確認する

文面を全制度で同じにする必要はありませんが、同じ事実を矛盾して説明しないよう管理します。ある報告で「漏えいなし」、別の報告で「漏えいのおそれ」と書けば照会の原因になります。数字には基準時刻を付けます。

調査完了や社内承認を待つ間も検討は止めません。未確定事項を含む速報、追加報告、訂正は制度ごとの公式説明に従います。提出後は、提出先、日時、版、受付番号、受領記録、当局の質問と回答担当者を記録します。受付されたことは、内容が適法・十分と承認されたことを意味しません。

8．実務ツール

①報告先判定・期限管理表（ミナト通信の記入例）

②共通インシデント票の簡易ひな形

③提出後の確認チェックリスト

まとめ