サイバー攻撃を受けたら報告義務はある？対象となるケース・報告先・期限を解説
FAQサイバー攻撃に関するよくある質問
サイバー攻撃を受けたら必ず個人情報保護委員会へ報告が必要？
すべてのケースで必要になるわけではありません。要配慮個人情報の漏えい、財産的被害のおそれがある漏えい、不正の目的をもって行われたおそれがある漏えい、1,000人を超える漏えいのいずれかに該当する場合に報告義務が生じます。ただしサイバー攻撃による漏えいは「不正の目的をもって行われたおそれがある事態」に該当するケースが多く、被害人数にかかわらず1件でも対象となる可能性があります。
被害の全容が分からない段階でも速報を出す必要がある？
必要です。速報は「現時点でわかっている範囲」での報告が前提とされており、調査の完了を待たずに提出します。事案の概要、漏えいした個人データの項目、件数の概算、発生経緯、現時点の対応状況を、発覚からおおむね3〜5日以内に報告してください。確定した内容は、30日以内（不正アクセスなどによる場合は60日以内）の確報で報告します。
報告を怠るとどうなる？
個人情報保護法では、報告徴収への不応答、虚偽報告、命令違反などが罰則の対象となり得ます。サイバー対処能力強化法では、是正命令に従わない場合に200万円以下の罰金、資料提出などの求めに応じない場合に30万円以下の罰金が科される可能性があります。加えて、報告や公表の遅れが「情報を隠していた」と受け止められ、取引先や顧客からの信頼を失うリスクも大きい点に注意が必要です。
「サイバー攻撃を受けたら、必ず報告しなければならないのか」「報告先はどこで、期限はいつまでなのか」といった疑問を持つ企業の担当者は多いのではないでしょうか。
サイバー攻撃を受けた際の報告義務は、個人情報保護法、各種業法、そして2025年に成立したサイバー対処能力強化法など、複数の法令にまたがっており、自社がどの義務の対象になるかを正確に把握することは容易ではありません。報告を怠れば、行政指導や罰則、社会的信用を失うリスクもあります。
そこでこの記事では、サイバー攻撃時に生じる報告義務の全体像、法令ごとの報告先・期限、そして報告義務に確実に対応するための体制づくりまでをわかりやすく解説します。
目次
サイバー攻撃を受けたら報告義務はある？
サイバー攻撃を受けた場合、企業によっては行政機関や取引先などへの報告が法律や契約で義務付けられています。
ただし、すべての企業に同じ報告義務があるわけではありません。被害の内容や業種、取引先との契約などによって、報告先や期限が異なります。
【主な報告義務となる4つの根拠】
- 個人情報保護法
- 業法（電気通信事業法など）
- サイバー対処能力強化法（重要インフラ関連）
- 契約・上場企業の適時開示
このように報告義務の根拠が複数にまたがっているため、「自社はどの義務の対象になるのか」を正確に把握しておくことが、迅速かつ漏れのない対応につながります。
報告義務の有無は被害内容・業種・契約条件で決まる
サイバー攻撃を受けても、すべてのケースで報告義務が発生するわけではありません。報告が必要かどうかは、主に以下の3つの要素によって決まります。
- 被害内容（個人情報が漏えいしたか、サイバー攻撃によるものかなど）
- 業種（電気通信事業者や金融機関など法令の対象か）
- 契約条件（取引先との契約で報告義務が定められているか）
例えば、個人情報保護法では、要配慮個人情報の漏えいや不正アクセスによる漏えいなどが報告対象になります。一方、電気通信事業者や金融機関などは、それぞれの業法に基づく報告義務が課される場合があります。
また、法令上の義務がなくても、秘密保持契約（NDA）などによって取引先への報告が必要になるケースもあります。
つまり、「サイバー攻撃を受けた＝必ず報告義務が生じる」わけではなく、被害の内容や自社の立場を照らし合わせて、どの法令が適用されるかを一つずつ確認する必要があります。
報告先・対象・期限の早見表
報告義務の内容は、法令や契約によって異なります。どこへ、いつまでに報告する必要があるのか、まずは以下の表で全体像を確認しましょう。
| 法的根拠 | 主な対象事態・対象事業者 | 報告先 | 期限の目安 |
|---|---|---|---|
| 個人情報保護法 | ・要配慮個人情報の漏えい ・財産的被害のおそれ ・不正な目的で行われたおそれがある漏えい ・1,000人超の漏えいなど | 個人情報保護委員会 （権限委任先がある業種は当該省庁） | 速報：概ね3〜5日以内 確報：30日以内（不正アクセスなどの場合は60日以内） |
| 業法（電気通信事業法など） | 業種ごとに定める重大事故・漏えいなど | 総務大臣、金融庁長官など所管省庁 | 業法ごとに規定 |
| サイバー対処能力強化法【2026年10月施行予定】 | 基幹インフラ事業者の「特定重要電子計算機」に関する特定侵害事象 | 事業所管大臣・内閣総理大臣 | 速報：認知後速やかに。制度解説案では、ランサムウェアなどは認知日から3～5日以内、DDoS攻撃は可能な限り速やかに報告 詳報：認知日から30日以内 ※2026年7月時点の制度解説案による |
| 契約・上場企業の適時開示 | ・NDAなどの契約条項に該当する事態 ・財政状態などに著しい影響を与える事象 | 取引先、金融商品取引所 | 契約条項・適時開示規則による |
このように、報告義務は一つの窓口にまとめて対応できるものではなく、法令ごとに報告先や期限が異なります。必要に応じて金融商品取引法に基づく臨時報告書の提出が必要になる場合もあるので、確認しておくことが大切です。
サイバー対処能力強化法では、対象となる事象を認知した場合に、事業所管大臣および内閣総理大臣への報告が求められます。2026年7月に公表された制度解説案では、速報と詳報の2段階で報告する方式が示されています。
個人情報保護法に基づく報告義務
個人データの漏えいなどが発生した場合、個人情報保護委員会への報告と本人への通知が法的に義務付けられています。
ただし、すべての漏えい事故が対象になるわけではなく、個人情報保護法では、一定の要件を満たす場合にのみ報告義務が発生します。
2022年4月の法改正により、これらの報告・通知は法的義務となりました。報告を怠ると行政指導などの対象となる可能性があるため、自社が対象かどうかを正しく判断することが重要です。
個人情報保護委員会への報告が必要となるケース
個人情報保護委員会への報告が必要になるのは、以下の4つのケースのいずれかに該当する場合です。
| ケース | 具体例 | 件数の基準 |
|---|---|---|
| 要配慮個人情報の漏えいなど | 病歴、信条、犯罪歴、健康診断結果など | 1件でも対象 |
| 財産的被害のおそれがある漏えいなど | クレジットカード番号と有効期限のセット、決済機能付きサイトのID・パスワードなど | 1件でも対象 |
| 不正の目的をもって行われたおそれがある漏えいなど | サイバー攻撃（不正アクセス、ランサムウェア）、従業員による顧客データの持ち出しなど | 1件でも対象 |
| 大規模な漏えいなど | 上記に該当しない一般的な個人データの漏えいなど | 1,000人を超える場合が対象 |
特にサイバー攻撃やランサムウェアなどによる漏えいは、「不正の目的をもって行われたおそれがある事態」に該当するケースが多く、被害人数にかかわらず1件でも報告義務が生じる可能性があります。
一方で、高度な暗号化などにより、漏えいした情報を第三者が利用できない状態であれば、報告・通知が不要となる場合もあります。
速報・確報の提出期限と初動フロー
個人情報保護委員会への報告は「速報」と「確報」の2段階で行い、速報は発覚からおおむね3〜5日以内、確報は発覚から30日以内（不正アクセスなどによる場合は60日以内）に提出する必要があります。
サイバー攻撃を受けた際の初動対応は、大まかに以下の流れで進みます。
- 事態の発覚・一次調査：漏えいの疑いを把握したら、被害範囲や原因の暫定的な確認を開始する
- 速報の提出（概ね3〜5日以内）：事案の概要、漏えいした個人データの項目、件数の概算、発生経緯（判明範囲）、現時点の対応状況を報告する
- 詳細調査の継続：並行して被害範囲の確定調査や二次被害の有無を確認する
- 確報の提出（30日以内、不正アクセスなどは60日以内）：発生・発見日時、確定した項目・件数、原因、二次被害の有無・防止措置、本人通知の状況、再発防止策を報告する
- 本人への通知：漏えいの概要や個人データの項目などを、本人にとってわかりやすい方法で通知する
速報の時点では、被害の全容が判明していなくても構いません。
「現時点でわかっている範囲」での報告が前提とされているため、調査の完了を待たずに、まずは速報の期限を守ることが重要です。
業法により報告義務が生じるケース
個人データを扱っていない場合でも、自社の業種によっては業法にもとづく別の報告義務が発生することがあります。
【個人情報保護法以外で報告義務が生じるケース】
- 電気通信事業者で、通信の秘密の漏えいや重大な事故が発生した場合
総務大臣への報告が、電気通信事業法で義務付けられています。
- 金融分野の事業者で、個人顧客の個人データの漏えいなどが発生した場合
個人情報保護法の報告に加えて、金融庁長官などへの報告も求められます。
このように、個人情報保護法の報告義務は「上乗せ」の形で業法上の義務と重なることが多く、自社の業種に応じた確認が欠かせません。
サイバー対処能力強化法に基づく報告義務【2026年施行】
2026年10月1日に施行予定のサイバー対処能力強化法では、電力・通信・金融などの基幹インフラ事業者を対象に、新たなサイバー攻撃の報告義務が設けられます。
対象となる企業は限定されていますが、ITベンダーやシステム運用事業者など、基幹インフラ事業者と取引のある企業も影響を受ける可能性があります。
対象となる「基幹インフラ事業者」とは
サイバー対処能力強化法に基づく届出・報告義務の対象となるのは、同法に基づいて指定される「特別社会基盤事業者」です。対象は、経済安全保障推進法上の特定社会基盤事業者などのうち、国民生活や経済活動の基盤となる重要な事業を担う事業者から指定されます。
2025年7月時点で電力・通信・金融・航空・クレジットカードなど15分野・計257者が指定されている状況です。なお、257者は経済安全保障推進法上の特定社会基盤事業者の指定数であり、サイバー対処能力強化法上の特別社会基盤事業者の指定数とは限りません。
すべての企業が対象になるわけではなく、以下の2つの条件をいずれも満たす事業者が、主務大臣によって個別に指定されます。
- 経済安全保障推進法で定める15事業（電力、ガス、水道、通信、金融、航空、鉄道など）に該当すること
- 重要な設備（特定重要電子計算機）が停止・機能低下すると、社会や国民生活に大きな影響を及ぼすおそれがあること
指定された事業者は、法令で定める特定重要電子計算機について、所定の事項を届け出る義務を負います。また、届出内容に一定の変更があった場合には、変更届出が必要になることがあります。
また、直接指定を受けていない企業であっても、指定事業者からシステム運用や保守を受託している企業は、委託元から情報提供を求められる可能性があります。
そのため、「自社は対象外だから関係ない」と考えず、取引先との契約内容も確認しておくことが大切です。
報告義務は2026年10月1日に施行予定
サイバー対処能力強化法に基づく報告義務は、2026年10月1日に施行される予定です。
対象事業者は、特定重要電子計算機に関する「特定侵害事象」または、主務省令で定める「特定侵害事象の原因となり得る事象」の発生を認知した場合、事業所管大臣および内閣総理大臣に報告する必要があります。
単にセキュリティアラートが発報された段階で直ちに報告義務が生じるわけではなく、内容を確認し、報告対象となる事象に該当すると合理的に判断した時点が基準となります。
従来の事故報告制度では、被害が発生・確定した後の報告が中心でしたが、この法律では、攻撃の兆候や異常を早期に共有し、被害の拡大を防ぐことを目的としている点が大きな特徴です。
報告義務や届出義務に違反した場合、まずは是正命令が出され、それでも対応しなければ200万円以下の罰金、資料提出などの求めに応じない場合は30万円以下の罰金が科される可能性があります。
その他の報告義務
サイバー攻撃を受けた場合は、法律に基づく報告だけでなく、上場企業の開示義務や取引先との契約によって報告が必要になることもあります。
特に上場企業や顧客から個人情報・機密情報を預かる企業は、法令とは別のルールにも注意が必要です。
上場企業の場合
上場企業は、サイバー攻撃によって財政状況や経営成績に大きな影響が生じる場合、適時開示や臨時報告書の提出が必要になることがあります。
例えば、サイバー攻撃による被害額が大きく、企業業績へ重要な影響を与えると判断された場合には、金融商品取引法や金融商品取引所の規則に基づき、投資家への情報開示が求められます。
個人情報保護委員会などへの報告と並行して対応する必要があるため、インシデント発生時はIR部門や法務部門とも連携しながら、開示の要否を早期に判断することが重要です。
取引先と契約を締結している場合
取引先と秘密保持契約（NDA）や個人情報の処理委託契約を締結している場合、契約に基づいて取引先へ報告しなければならないケースがあります。これらの契約では、自社が保有・処理する取引先の情報に関するインシデントが発生した際、「速やかに」「書面で」といった形で取引先への報告を義務付ける条項が設けられているケースが多く見られます。
そのため、法令上の報告義務がない場合でも、契約上の義務を怠ると契約違反となり、損害賠償や取引停止につながる可能性があります。サイバー攻撃が発生した際に慌てないよう、自社が締結している契約書を確認し、報告先・期限・報告方法をあらかじめ把握しておくことが大切です。
サイバー攻撃における報告様式の一元化の動き
サイバー攻撃が発生した際は、報告先ごとに異なる様式で手続きする必要があり、企業にとって大きな負担となっていました。この負担を軽減するため、現在は報告様式や報告窓口を統一する取り組みが進められています。
これまで、個人情報保護委員会や警察、業法上の所管省庁などへ、それぞれ異なる様式で報告する必要がありました。そこで、内閣官房国家サイバー統括室（NCO）を中心に、報告様式の統一や報告窓口の一元化が段階的に進められています。
現在の進捗は、以下のとおりです。
- 第1フェーズ（2025年10月1日〜運用中）
DDoS攻撃・ランサムウェア事案について、「DDoS攻撃事案共通様式」「ランサムウェア事案共通様式」という統一様式の運用が開始されています。
- 第2フェーズ（サイバー対処能力強化法の施行にあわせて実施予定）
サイバー対処能力強化法の施行にあわせて、同法にもとづく報告も含めた報告受付システムの整備と報告窓口そのものの一元化が予定されています。
現時点では、報告様式や窓口の一元化はまだ発展途上です。
対象となる事案や運用方法は今後変更される可能性もあるため、最新情報は国家サイバー統括室（NCO）や個人情報保護委員会の公表情報を定期的に確認しましょう。
サイバー攻撃における報告義務を怠った場合の罰則・リスクとは？
サイバー攻撃が発生したにもかかわらず、必要な報告を行わないと、法令上の罰則だけでなく、企業の信用や取引にも大きな影響を及ぼす可能性があります。
まずは、主な法令上のリスクを確認しておきましょう。
| 法令 | 主なリスク |
|---|---|
| 個人情報保護法 | 個人情報保護委員会による指導・勧告・命令などの対象となる可能性。報告徴収への不応答、虚偽報告、命令違反などは罰則の対象となり得る |
| サイバー対処能力強化法（2026年10月施行） | 是正命令に従わない場合200万円以下の罰金、資料提出などの拒否は30万円以下の罰金 |
| 業法 | 所管省庁による行政指導・業務改善命令、業法ごとに定める罰則 |
個人情報保護委員会による報告徴収に応じない、虚偽の報告をする、命令に違反するなど、個人情報保護法上の罰則要件に該当した場合には、刑事罰や法人への罰金が科される可能性があります。
また、法令上の罰則だけでなく、企業にとってより大きなリスクとなるのが、社会的信用の低下です。
例えば、報告や公表が遅れたことで「情報を隠していた」と受け止められると、取引先や顧客からの信頼を失い、新規契約の見送りや既存契約の解除につながるおそれがあります。また、報道によって企業イメージが悪化し、事業活動へ長期的な影響を及ぼすケースも少なくありません。
そのため、サイバー攻撃を受けた際は、法令で定められた期限を守ることはもちろん、社内の報告体制を整え、迅速かつ適切に対応できる体制を平時から構築しておくことが重要です。
報告義務に備えるにはISO27001による体制整備がおすすめ
サイバー攻撃が発生した際に迅速かつ適切な報告を行うには、日頃から情報セキュリティ体制を整えておくことが重要です。
情報資産の管理方法や、インシデント発生時の対応手順・報告ルールをあらかじめ整備しておくことで、緊急時でも落ち着いて対応できます。その仕組みづくりの土台として活用されているのが、情報セキュリティの国際規格「ISO27001（ISMS）」です。
ISO27001とは
ISO27001とは、組織の情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。
情報資産を「機密性」「完全性」「可用性」の3つの観点から保護することを目的としており、リスクアセスメントやアクセス管理、インシデント対応手順、従業員教育など、情報セキュリティ管理に必要な仕組みを体系的に整備・運用することが求められます。
ISO27001を取得するメリット
ISO27001を取得することで、報告義務への対応を含むインシデント対応体制が平時から整い、緊急時にも慌てず動ける組織づくりができます。
「誰が対応を担当するのか」「どのような手順で被害状況を確認するのか」「誰へ・いつまでに報告するのか」といったルールをあらかじめ定める必要があるため、個人情報保護法の速報期限などにも対応しやすくなります。
また、第三者認証を取得していることで、取引先や顧客に対して情報セキュリティ対策へ継続的に取り組んでいる企業であることを客観的に示せる点も大きなメリットです。
ISO27001を取得するメリットの詳細は、以下の記事もあわせてご覧ください。
まとめ
この記事では、サイバー攻撃時に生じる報告義務について、個人情報保護法・業法・サイバー対処能力強化法・契約に基づく義務まで解説しました。
報告義務は法令ごとに報告先・期限が異なるため、「サイバー攻撃を受けたら、とりあえずどこかに報告すればよい」というものではありません。まずは自社がどの法令の対象になるのか、被害内容・業種・契約条件に照らして事前に整理しておくことが、いざというときの迅速な対応につながります。
報告義務への対応はもちろん、そもそもの被害を防ぐためにも、ISO27001（ISMS）などの情報セキュリティ管理体制の構築を検討しましょう。
ISOプロでは月額4万円から御社に合わせたISO運用を実施中
ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。
また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。
サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。
月間10万PV越えの業界最大級ISO取得・運用情報サイト「ISOプロ」の編集部。ISO取得や運用に関する悩みや基礎知識を初心者の方にも分かりやすくお届けします。サイトユーザー様がISOに関わる業務を円滑に進められるよう、有益で信頼できる情報発信に努めて参ります。
速報はあくまで「判明している範囲」での報告で問題ないため、調査の完了を待つのではなく、まずは概要・件数の概算・現時点の対応状況を期限内に提出することを優先しましょう。