正解：ウ
各選択肢の解説
ア重要な設備のコンピュータを導入したら届け出て、侵害を認知したら国に報告することを義務付けている。
誤り。これはサイバー対処能力強化法が、国の指定を受けた基幹インフラ事業者に課す義務です。 国への届出・報告という点で基本法と結び付けやすいのですが、 対象は指定を受けた事業者で、問題文の会社には当てはまりません。
イ法律が定める対策を実施しない場合に罰則が科される、対策の実施義務を全事業者に課している。
誤り。基本法は事業者に罰則付きの対策義務を課す法律ではありません。法律名に「基本」とあっても 規制を連想しがちですが、事業者の責務は「努める」形で書かれています。 罰則は、委託を受けた事務で知った秘密を漏らした場合などに限られます。
ウ事業活動に関し、自主的かつ積極的にセキュリティの確保に努め、国などの施策に協力するよう努めることを求めている。
正解。基本法は、一般の事業者に対し、自主的・積極的にサイバーセキュリティの確保に努め、 国や地方公共団体の施策に協力するよう努めることを責務として定めています。いずれも努力義務です。
エ国のサイバーセキュリティ戦略に沿って自社の計画を作り、所管の省庁に提出することを義務付けている。
誤り。サイバーセキュリティ戦略は、政府が国全体の施策の基本計画として定めるものです。 戦略という言葉から各社にも計画づくりが求められると考えがちですが、 事業者に計画の作成や提出を義務付ける仕組みはありません。
理解を深めるために
一般の事業者には「努める」ことを求める法律
サイバーセキュリティ基本法は、国全体でサイバーセキュリティに取り組むための理念と役割分担を定めた法律です。 国、地方公共団体、重要社会基盤事業者、大学などとならんで、一般の事業者の責務も書かれていますが、 その中身は自主的かつ積極的に確保に努め、国などの施策に協力するよう努めるという努力義務です。
立場ごとの求められ方
- 一般の事業者: 事業活動に関し、自主的・積極的に確保に努め、国などの施策に協力するよう努める
- 情報システムや機器などを供給する事業者: 利用者の対策に配慮した設計・開発や、継続的な情報提供などに努める
- 重要社会基盤事業者: サービスを安定して提供するため、確保に努め、国などの施策に協力するよう努める
いずれも努力義務で、違反に罰則が付く形ではありません。罰則は、委託を受けて事務に従事する者の 秘密の漏えいなどに限られます。一方、国の指定を受けた基幹インフラ事業者には、別の法律である サイバー対処能力強化法が届出・報告の義務を課しています。会社がどの立場にあるかで、 関わる法律と義務の強さが変わるのが要点です。
混同しやすいものとの違い
| 仕組み | 一般の製造業との関わり |
|---|---|
| 基本法の事業者の責務 | 確保と施策への協力に努める（努力義務） |
| サイバー対処能力強化法の届出・報告 | 指定を受けた基幹インフラ事業者だけの義務 |
| 罰則付きの対策義務 | 基本法には無い |
| サイバーセキュリティ戦略 | 政府の基本計画。各社に計画の提出は求めない |
経営層への説明では、「基本法は努力義務、強い義務は指定を受けた基幹インフラ事業者向けの別法」と分けて伝えると誤解が生じにくくなります。