公開2026.09.05更新2026.09.30 46 人が閲覧（直近 30 日）セキュリティ

経済安全保障推進法とは？2026年改正の5本柱と基幹インフラ届出の実務要件

経済安全保障推進法は、2022年5月18日に公布された「経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律」（令和4年法律第43号）の通称です。制定時は4つの制度でしたが、2026年6月10日に改正法が成立し、同年6月17日に公布されました。この記事では、法律の全体像と改正で加わった枠組み、基幹インフラ制度で指定された258者の線引き、導入等計画書の届出と30日の審査期間、リスク管理措置を調達仕様書とベンダー審査項目へ翻訳する手順、そして医療分野の追加で変わる設備調達までを扱います。

まとめ：改正法公布後にシステム部門が先に着手すべき対応の優先順位

経済安全保障推進法の4制度のうち、システム部門の実務に直接効くのは基幹インフラ制度です。指定された特定社会基盤事業者は、政令・省令で定められた特定重要設備を導入する前、あるいはその維持管理を外部に委託する前に、事業所管大臣へ導入等計画書を届け出て、原則30日の審査を待たなければなりません。この30日は調達スケジュールに乗ってくる待ち時間です。同じ特定社会基盤事業者には、2026年10月1日からサイバー対処能力強化法による特定重要電子計算機の届出とインシデント報告の義務も加わります。期限と対象範囲はサイバー対処能力強化法の届出・報告義務を条文から整理した記事にまとめています。

優先順位は明快です。第一に、既存設備の操作ログ・作業履歴の保管手順と、パッチ適用状況を含む資産管理の定期実施です。第二に、調達仕様書へ受入検査と脆弱性テストの実施主体を書き分けること。供給者が自ら実施したテストは、内閣府の様式上カウントされません。第三に、契約条項の整備です。再委託の事前承認、供給者の資本関係や工場所在地の情報提供、外国の法的環境による契約違反の報告義務を基本契約に足します。

逆に、指定を受けていない事業者が届出様式の全項目を先回りして揃えるのは過剰です。リスク管理措置は「リスクの内容及び程度に応じて講じられるべきもの」であり、常時実施は求められていません。例外は医療で、特定機能病院とその設備を納入する開発会社は前倒しの検討対象になります。

経済安全保障推進法の4つの制度と2026年改正で加わった支援枠の全体像

通称が「経済安全保障法」「経済安保法」と揺れるため、まず何がいくつ入っている法律なのかを固定します。

制定時の4制度と改正で加わる海外事業促進・官民協議会の位置づけ

制定時の柱は、重要物資の安定的な供給の確保、基幹インフラ役務の安定的な提供の確保、先端的な重要技術の開発支援、特許出願の非公開の4つでした。参議院の立法解説によれば、重要物資と先端技術は2022年8月、基幹インフラは2023年11月、特許非公開は2024年5月に施行。基幹インフラ制度の運用開始は2024年5月17日です。

ここに2026年の改正が乗ります。内閣府の経済安全保障推進法の制度紹介ページは、現在の枠組みとして経済安保海外事業促進制度（OESA）を含む5制度を掲げています。改正法で加わったのは、重要な海外事業の促進と、総合的な経済安全保障シンクタンクおよび官民協議会の創設です。官民協議会の事務従事者には国家公務員と同等の守秘義務が課されました。サイバーセキュリティ基本法の目的と改正の経緯と並べると位置関係が見えます。基本法が理念と体制を定める一方、推進法は個別の事業者へ手続義務を課す構造になっています。経済安全保障分野でもう一方の柱となる情報保全の仕組みは、セキュリティクリアランスの適合事業者要件と適性評価7項目で整理しています。

公布日から1月・6月・1年6月と段階が分かれる改正法の施行期日

改正法の正式名称は「経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律及び株式会社国際協力銀行法の一部を改正する法律」です。2026年6月10日成立、6月17日公布。施行期日は附則第1条で細かく分かれており、社内の対応計画を引くときはこの刻みを押さえる必要があります。

原則は公布から1年を超えない範囲内で政令が定める日です。先端的な重要技術の開発支援と、基幹インフラ制度の運用改善の一部は、公布から1月を経過した日から施行されました。重要物資の安定供給、シンクタンク、官民協議会は公布から6月を超えない範囲内。そして医療分野の追加は公布から1年6月を超えない範囲内と、最も長い猶予が置かれています。運用改善の中身は、指定から6月間は届出義務規定が適用されず、経過措置の満了直後に予定した導入を期間中に届け出られなかった問題の解消です。条文単位の整理は参議院「立法と調査」483号の改正案解説にあります。

基幹インフラ制度の対象16分野と特定社会基盤事業者258者の指定の線引き

対象かどうかの判定は、分野・事業・事業者の三段構えです。分野に入っていても、政令と省令の絞り込みで外れることが珍しくありません。

政令と省令で二段に絞り込まれる16分野の対象事業と指定基準の実際

法律が外縁として定める分野は、医療の追加後で16になりました。電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、港湾運送、航空、空港、電気通信、放送、郵便、医療、金融、クレジットカードです。港湾運送は2023年7月の名古屋港のサイバー攻撃事案を踏まえ、2024年の改正で一般港湾運送事業として追加され、2025年4月1日に施行されました。

分野の中身は政令で必要な範囲に細分化され、さらに事業ごとに事業所管大臣が省令で指定基準を作ります。基準の軸は事業規模です。生命保険業なら保険金等支払金1兆円以上または契約件数2,000万件以上、第一種金融商品取引業なら預り資産残高30兆円以上または口座数500万口座以上で、いずれも指定事業者のシェア合計が5割を超える数値を目安に設定されています。指定を受けた特定社会基盤事業者は、内閣府の基幹インフラ役務の制度ページの公表資料で2026年7月1日時点258者です。

特定重要設備と構成設備の線引きが業務アプリやOSにまで及ぶ範囲

設備の指定は、システム開発の見え方と噛み合っています。金融分野を例にとると、特定重要設備は保険金支払システム、取引所の売買システム、清算システム、証券会社の注文約定システムのように「中心的な業務処理を担う」単位で省令に列挙されます。

そのうえで、構成設備として業務アプリケーション、OS、ミドルウェアその他の重要なソフトウェア、サーバ装置が指定されています。勘定系そのものの調達だけでなく、そこに載るミドルウェアのバージョン更新やサーバ機の入れ替えが届出の射程に入ります。重要維持管理等として指定されるのは「維持管理」と「操作」です。名前が保守契約であっても、実質が維持管理・操作なら対象になります。制度が構成設備の供給者まで届出を求める理由は、サプライチェーン攻撃の起点別3類型を見ると納得しやすい部分です。

導入等計画書の届出範囲と30日審査が調達スケジュールに与える制約

届出は4種類あり、提出のタイミングと止まる期間が違います。ここを読み違えると、稼働日から逆算した計画が崩れます。

導入と重要維持管理等の委託それぞれで届出対象になる取引相手の範囲

設備を導入する場合、届出は特定重要設備の供給者に加えて構成設備の供給者にも及びます。維持管理等の委託では、委託先だけでなく再委託先の全てが対象です。再委託が3段、4段と続けば、最終的に委託を受けた者まで情報を集めます。ただし重要維持管理等に該当しない事項、たとえば施設警備だけを切り出した再委託は届出不要です。

届出事項の粒度は、社内の購買情報だけでは埋まりません。供給者の名称・住所・設立準拠法国、議決権の5％以上を直接保有する者、役員の氏名・生年月日・国籍等、外国政府等との取引が売上高の25％以上を占める場合の国名と割合、設備の製造工場の所在地までが並びます。役員の旅券の写しのような添付資料は、供給者等が事業所管大臣へ直接提出できる項目として設計されています。

30日の導入等禁止期間と最大4か月まで延長されうる審査期間の読み方

導入等計画書を届け出ると、原則30日間の導入等禁止期間が始まります。延長も短縮もあり、延長の上限は最大4か月と内閣府の説明会資料に明記されています。委託の場合も同じ30日の委託禁止期間が置かれる扱いです。

スケジュールに落とすと、実務上はこうなります。

届出の種類	提出タイミング	止まる期間
導入等計画書の届出	導入・委託の開始前	原則30日（最大4か月）
緊急導入等届出書	緊急やむを得ない場合	事前の禁止期間なし
変更の案の事前届出	重要な変更が生じる前	原則30日
変更の報告	変更の実施後	なし（軽微は不要）

緊急やむを得ない場合の4要件と勧告後10日以内の諾否通知への備え

障害対応で設備を緊急交換する場面のために、事前届出なしで導入等を行える例外が省令に置かれています。要件は4つ。緊急性があること、故意に届出を回避したものではないこと、必要な範囲の導入等であること、ほかに手段がないことです。すべてを満たしたうえで、事後に緊急導入等届出書を提出します。「調達が遅れて間に合わない」は緊急性に当たりません。

審査の結果、特定妨害行為の手段として使用されるおそれが大きいと認められた場合、主務大臣は妨害行為を防止するため必要な措置を講じた上で導入することなどを勧告します。勧告を受けた事業者は10日以内に諾否を通知しなければならず、諾とした場合は勧告を踏まえた再届出を行う流れです。応じなければ命令に進みます。この10日の短さを踏まえ、勧告時に誰が意思決定するかを事前に決めておく実務が効きます。

リスク管理措置を調達仕様書とベンダー審査項目へ翻訳する具体的な手順

届出の中身で、システム部門が最も手を動かすのがリスク管理措置です。導入時は17項目、委託時は別立ての項目群がチェックボックス形式で用意され、チェックした項目には契約書やマニュアル等の証拠書類を添付します。全項目の実施は求められておらず、同等の管理ができていれば備考欄に内容を書いてチェックを付けられます。

受入検査と脆弱性テストを調達仕様へ書き込むときの実施主体の指定

導入時の第1項目は、特定重要設備に悪意のあるコード等が混入していないかを確認する受入検査その他の検証体制が構築され、脆弱性テストが導入までに実施されることの確認です。注意点は括弧書きで、当該設備と構成設備の供給者が実施するものは除かれます。ベンダーの自社テスト結果を受領して終わり、では項目を満たしません。

第2項目は、調達時に指定した情報セキュリティ要件を供給者が導入までに実装することの確認です。様式の例示は「最新のセキュリティパッチが適用されているか」「不正プログラム対策ソフトウェアを最新化しているか」で、調達仕様書に書いていなければ「調達時に指定した」と言えません。要件定義の段階で受入検査の主体と脆弱性テストの範囲を明記し、第三者検証が必要な部分は脆弱性診断・セキュリティ診断のように供給者から独立した実施体で押さえておくと、届出時の証跡がそろいます。開発工程側の作り込みは開発工程に組み込むサプライチェーンセキュリティの実装と重なる領域です。

開発環境のアクセス制限と過去3年の法令遵守状況を確かめる契約条項

製造・開発の過程を対象とする項目が続きます。第5項目は、供給者が製造環境（開発環境を含む）で、定められた要員以外がアクセスできないよう物理的（監視カメラ等の入退室管理）かつ論理的（データやシステムへのアクセス制御）に制限することの確認です。オフショア開発や協力会社を挟む体制では、この二重の制限をどこまで契約で担保できるかが論点です。設計の考え方はゼロトラストの7原則と境界型防御との違いがそのまま使えます。

第14項目は、供給者が届出日の前日から起算して過去3年間の実績を含め、国内の関連法規や国際的に受け入れられた基準に反していないことの確認です。第15項目は、外国の法的環境や外部主体の指示（暗黙の指示を含む）で契約違反となる行為が生じた可能性がある場合の報告を契約等で担保すること。第17項目は、供給者の名称・所在地、役員や資本関係、製造工場等の所在地、作業従事者の所属・専門性（情報セキュリティの資格・研修実績）の情報提供と、変更時の適時提供の担保です。ベンダー審査シートには、この3項目が新規に足す欄になります。

ランサムウェア被害でも役務を継続する冗長化と復旧手順の整備水準

設備の構成に関する項目も並びます。第11項目は、ランサムウェアに感染した場合等の不正な妨害が行われても役務の提供を継続できる体制を、事業者自らが整備していることです。様式の括弧書きが具体的で、バックアップの取得・隔離管理、復旧手順の明確化・具体化、代替設備との交換が挙げられています。取得しているだけでは足りず、隔離と手順の具体化まで問われます。

第12項目は情報セキュリティインシデント発生時の対応方針・体制で、マニュアル等の整備と定期的な対応訓練が例示されます。第13項目はアクセス制御の仕組みと不正アクセス監視を導入までに実装することの確認。第9・第10項目はサービス保証で、故障対応や脆弱性対応が十分に講じられることの確認と、それが受けられなくなった場合の代替手段の検討です。EOL後のサポート切れの埋め方は設計時に決める論点で、既存の保守契約の延長線では答えが出ません。

医療分野追加で特定機能病院と医療DX基盤に生じる設備調達の実務変更

2026年改正で最も対象が広がるのが医療です。施行は公布から1年6月を超えない範囲内で、準備期間は残っています。

病院の医業と医療DX関連業務が対象事業へ加わる改正条文の読み方

改正案第50条第1項第14号で、特定社会基盤事業として定めることができる事業に2つが追加されました。1つは病院が行う医業および歯科医業。もう1つは医療情報基盤・診療報酬審査支払機構が行う医療DX関連業務で、具体的にはオンライン資格確認等システム、電子処方箋管理サービス、電子カルテ情報共有サービスに関する業務です。

追加の理由は、医療機関へのサイバー攻撃が実際に起きていることと、デジタル化・ネットワーク化が進むほど停止時の影響が大きくなることでした。参議院の解説は、つるぎ町立半田病院（2021年）、大阪急性期・総合医療センター（2022年）、日本医科大学武蔵小杉病院（2026年）の事案を挙げています。指定病院は省令の基準で絞られますが、有識者会議の提言では、高度な医療の提供能力を厚生労働大臣が個別に承認する特定機能病院を念頭に置くとされました。同院は2025年4月1日現在88病院、うち79が大学附属病院です。

電子カルテと手術部門の設備が候補に挙がる特定重要設備の選定方向

特定重要設備も省令で定まりますが、提言では選定の方向が示されています。設備が停止した場合の社会的混乱の規模、患者の生命に直結するかという観点から、電子カルテ、手術部門、集中治療部門に関連する設備から選ぶという内容です。

これが確定すれば、電子カルテの更新や部門システムの入れ替えに30日の禁止期間が乗ります。ベンダーロックインの強い領域なので、供給者の議決権保有者や外国政府等との取引比率といった届出事項を、既存ベンダーから改めて取り直す作業も発生します。有識者会議では経営基盤への影響やサイバー関係の人材不足を懸念する指摘も出ましたが、基幹インフラ制度に支援の枠組みは特段設けられておらず、費用の出どころは各病院の判断です。

対応投資を先に回す領域と過剰になる領域を条件で切り分ける判断基準

ここからは判断です。リスク管理措置は全項目の常時実施を求めていないため、どこまでやるかの線は各社が引くことになります。

先に手を付けるべき操作ログ保管と資産管理という現実的な着手順序

指定を受けている、または受ける見込みがあるなら、委託時のリスク管理措置の第1・第2項目から始めます。第1項目は委託先と再委託先で操作ログや作業履歴の保管手順とその確認手順が定められ、それらの確認により不正な変更の有無を定期的または随時に確認すること。第2項目は特定重要設備と構成設備の状況を把握し、最新のセキュリティパッチが適用されているかなどの資産管理を定期的に行うことです。

この2つを先に置く理由は3つあります。届出のたびに必ず問われる項目であること。証跡が運用ログという形で自動的に積み上がること。届出義務の有無に関係なくインシデント時の初動を左右することです。教育も同じ列に入ります。委託時の第5項目は、重要維持管理等の要員と管理責任者へのサイバーセキュリティ教育・研修を年間1回以上実施することの確認で、頻度が数値で書かれている珍しい項目です。年1回の研修記録は、後から遡って作れません。

指定対象外の事業者が全項目を先取りすると過剰投資になる分かれ目

一方、指定の見込みがない事業者が届出様式の17項目を全部満たしにいくのは過剰です。省令の指定基準は預り資産30兆円、契約件数2,000万件といった水準で切られており、そこから遠い事業者が監視カメラによる開発環境の入退室管理まで整えても、この制度の文脈では回収先がありません。

切り分けの基準を条件で言い切ります。自社が指定基準の数値の半分に届いていないなら、この制度のための投資は見送ってよい判断です。例外は2つ。1つは、指定事業者に設備やソフトウェアを納めている、または維持管理を受託している場合で、届出情報の提供元として巻き込まれるため後述の条項整備が要ります。もう1つは医療で、特定機能病院や医療DX基盤に関わっているなら施行までの1年6月を準備期間に充てるべきです。それ以外の事業者には、この項目一覧は自社水準を測るチェックリストとしての価値はあっても、投資計画の根拠にはなりません。

受託開発側が届出案件で提示を求められる情報提供と再委託承認の条項

受託開発会社やSIerの立場では、対応の中心は契約と情報開示に移ります。求められるものは決まっているので、定型化しておくと案件ごとの交渉が短くなります。

自社の名称・所在地・設立準拠法国、議決権5％以上の直接保有者、役員の氏名・生年月日・国籍等
外国政府等との取引が売上高の25％以上を占める場合の国名と割合、および開発拠点の所在地
作業従事者の所属と専門性（情報セキュリティの資格・研修実績）の提示と、変更時の適時報告
再委託を行う際に発注者の事前承認を得る条項、および再々委託にも同じ要件を課すこと
不正な変更やそのおそれが発見された場合に、詳細な調査や立入検査へ協力する旨の担保

再委託の届出には省略の道もあります。省令で定める確認を実施していれば、それを証する書類を添付して届出事項の一部を省略できる仕組みです。協力会社の階層が深い体制では、この確認手順を自社の標準に組み込むほうが、案件ごとに全階層の情報を集め直すより安く済みます。

よくある質問

適用範囲と手続について、実務で問われることの多い5点を整理します。

経済安全保障推進法の対象になるのはどのような企業ですか？

制度ごとに違います。基幹インフラ制度で手続義務を負うのは、16分野から政令で細分化された事業を営み、事業所管大臣が省令で定めた指定基準に該当して指定・告示された特定社会基盤事業者です。2026年7月1日時点で258者。分野に属していても規模基準を下回れば対象外です。重要物資や先端技術の制度は支援の枠組みで、義務ではなく利用の可否です。

導入等計画書を届け出ないまま設備を導入するとどうなりますか？

制度は、届出の後に原則30日の導入等禁止期間を置き、その間に事業所管大臣が審査する構造です。届出をせずに導入すれば手続違反となり、報告徴収や立入検査の対象です。審査で特定妨害行為の手段として使用されるおそれが大きいと認められた場合は、必要な措置を講じた上で導入することなどの勧告があり、応じなければ命令に進みます。緊急やむを得ない場合の例外は4要件をすべて満たすときに限られます。

2026年の改正法はいつから適用されますか？

改正法は2026年6月17日公布で、施行は内容ごとに分かれます。先端的な重要技術の開発支援と基幹インフラ制度の運用改善の一部は公布から1月を経過した日に施行済み。重要物資、シンクタンク、官民協議会は公布から6月を超えない範囲内。医療分野の追加は公布から1年6月を超えない範囲内で、いずれも政令が定める日となります。

指定されていない企業でも届出の準備は必要ですか？

自社が指定基準から遠いなら、この制度のための投資は見送る判断で構いません。ただし指定事業者へ設備・ソフトウェアを納めている、または維持管理を受託している場合は、供給者・委託先として届出情報の提供を求められます。名称や資本関係、役員の国籍等、取引比率、開発拠点の所在地、従事者の資格・研修実績を整えておくと、案件ごとの負荷が下がります。

ベンダーとして届出の情報提供を求められた場合は何を出しますか？

届出事項のうち供給者に関する部分と、リスク管理措置の実施を証する書類です。前者は名称・住所・設立準拠法国、議決権5％以上の直接保有者、役員の氏名・生年月日・国籍等、外国政府等との取引が売上高25％以上の場合の国名と割合、製造工場の所在地。後者は契約書やマニュアルなどで、実質的に担保できていると判断し得る書類であれば形式は限定されません。一部の項目は発注者を経由せず事業所管大臣へ直接提出できます。