正解：イ
各選択肢の解説
アサイバーセキュリティ基本法
誤り。基本法は重要インフラ事業者を含む事業者の責務を定めていますが、 「確保に努める」という努力義務の形です。国全体の理念や体制の法律なので連想しやすいものの、 個々の事象を大臣に報告する義務は定めていません。
イサイバー対処能力強化法
正解。この法律は、国の指定を受けた基幹インフラ事業者に、重要なコンピュータの導入時の届出と、 それへの侵害の事象を認知したときの所管大臣・内閣総理大臣への報告を義務付けています。
ウ個人情報保護法
誤り。この法律にも漏えい等の報告義務があり、事故時の報告という点で混同しやすいのですが、 対象は個人データの漏えいなどで、報告先は原則として個人情報保護委員会です。 問題文は顧客情報の漏えいが確認されておらず、報告先も違います。
エ不正アクセス禁止法
誤り。この法律は不正アクセス行為をした者を処罰する法律です。侵入という言葉から選びたくなりますが、 被害を受けた事業者に国への報告を義務付けるものではありません。 管理者に求めるのは防御措置を講じる努力義務です。
理解を深めるために
基幹インフラへの攻撃を、国が早く知るための法律
電力・通信・金融のような基幹インフラへの攻撃は、1社の被害にとどまらず社会全体に波及します。 国が攻撃の全体像をつかんで手を打つには、事業者からの報告が欠かせません。そのために 基幹インフラ事業者に届出と報告を義務付けているのが、サイバー対処能力強化法です。 正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」で、 「能動的サイバー防御」は政策上の呼び名です。
事業者に求められること
- 対象: 国の指定を受けた基幹インフラ事業者（法律上は特別社会基盤事業者）
- 届出: 重要な設備のコンピュータ（特定重要電子計算機）を導入したとき、所管の大臣に届け出る
- 報告: そのコンピュータへの侵害の事象や、その原因になりうる事象を認知したとき、 所管の大臣と内閣総理大臣に報告する
この官民連携の部分は2026年10月に施行されました。個人情報の漏えいがなくても報告の対象になる点が、 個人情報保護法の報告と違うところです。
混同しやすいものとの違い
| 法律 | 事業者との関わり |
|---|---|
| サイバー対処能力強化法 | 基幹インフラ事業者に、重要なコンピュータの届出と侵害事象の報告を義務付け |
| サイバーセキュリティ基本法 | 事業者にセキュリティ確保の努力義務。個別の報告義務はない |
| 個人情報保護法 | 個人データの漏えい等を、原則として個人情報保護委員会に報告 |
| 不正アクセス禁止法 | 不正アクセスをした者を処罰。管理者には防御措置の努力義務 |
報告の問題では「何が起きたか（個人データの漏えいか、重要なコンピュータへの侵害か）」と 「報告先」の2点で法律を見分けます。