サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】

結論から申し上げます。サイバー攻撃を受けたとき、すべての企業に共通してかかる「法律上の報告義務」は、個人データが漏れた（または漏れたおそれがある）場合の個人情報保護委員会への報告と本人への通知です。
期限は速報が「速やかに（おおむね3〜5日以内）」、確報が「30日以内（不正アクセスなど不正の目的によるものは60日以内）」で、これは土日祝日を含めた日数で数えます。

一方で、警察・IPA・JPCERT/CCへの届出は、法律上の義務ではなく任意です。
ただし取引先との契約に通知義務が書かれていることは多く、「法律上は任意でも、契約上は義務」というケースは中小企業でも珍しくありません。

さらに2026年は制度が動く年です。2026年10月1日から「サイバー対処能力強化法（能動的サイバー防御法）」の主要部分が施行され、基幹インフラ事業者に新しいインシデント報告義務が課されます。
中小企業が直接この義務を負うことは基本的にありませんが、基幹インフラ事業者の委託先・サプライチェーンに入っている場合は、ログの提供や緊急連絡体制の整備を求められる可能性があります。

この記事では、「誰に・いつまでに・何を報告する義務があるのか」を1枚の表で整理したうえで、2026年10月施行の新法で何が変わるのか、そして報告義務を実際に果たすために社内に何を用意しておくべきか（ログ・原因究明・24時間365日の検知体制）まで、中小企業の目線でまとめます。

なお、改正個人情報保護法そのものの背景や「発覚から72時間の初動フロー」は別記事で詳しく解説しています。本記事は報告義務の全体像と2026年の新法に絞ってお伝えします。

▶ 関連記事：改正個人情報保護法とサイバーセキュリティ対策 ～漏えい時72時間報告の実務対応～

サイバー攻撃を受けたら、報告する義務はある？

「サイバー攻撃を受けたら国に届け出なければならない」という一律の法律は、日本にはありません。
報告義務があるかどうかは、「何が漏れた（おそれがある）か」「自社がどの業種・立場か」で決まります。

中小企業にとって実務上いちばん重要なのは、次の3つの区別です。

• 法律上の義務がある報告……個人データの漏えい等が起きた（おそれがある）場合の、個人情報保護委員会への報告と本人への通知。業種や会社の規模を問わず、個人データを扱うすべての事業者が対象です。
• 業種・立場によって義務になる報告……金融・医療など業界の法令やガイドラインで監督官庁への報告が求められる場合、そして2026年10月からは基幹インフラ事業者に課される新しいインシデント報告義務。
• 法律上は任意だが実務上は必要な報告……警察への通報、IPAやJPCERT/CCへの届出、そして取引先への連絡。取引先については契約書に通知義務が定められていることが多く、実質的に義務と考えるべきです。

つまり「個人情報が漏れていないから何もしなくてよい」とは限りません。
ランサムウェアで業務が止まった場合、個人データが漏れていなくても取引先への連絡は必要になりますし、そもそも「漏れていないと言い切れるか」を確かめるには調査が必要です。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

どこに報告する義務がある？報告先を1枚で整理

報告先ごとに「義務か任意か」「期限」「根拠」を整理すると、次のようになります。
社内の対応手順書には、この一覧をそのまま貼っておくと迷いません。

報告先	義務／任意	期限の目安	根拠・窓口
個人情報保護委員会	法律上の義務 （対象4類型のとき）	速報：おおむね3〜5日以内 確報：30日以内（不正目的は60日以内）	個人情報保護法／委員会の報告フォーム
漏えいした本人 （顧客・従業員）	法律上の義務 （対象4類型のとき）	事態の状況に応じて速やかに	個人情報保護法／メール・郵送・自社サイト公表など
業界の監督官庁	業種により義務	各業界の法令・ガイドラインによる	例：電気通信事業法にもとづく総務大臣への報告。ほかに金融庁・厚生労働省などの業種別ガイドライン
国（基幹インフラ事業者の報告）	2026年10月1日から義務 （基幹インフラ事業者）	法令・政令で定める期間内	サイバー対処能力強化法
警察	任意（強く推奨）	できるだけ早く	都道府県警察のサイバー犯罪相談窓口・被害届
IPA（情報処理推進機構）	任意	定めなし	コンピュータウイルス・不正アクセス届出制度／情報セキュリティ安心相談窓口
JPCERT/CC	任意	定めなし	インシデント報告（攻撃元への連絡調整などを実施）
取引先・委託元	契約上の義務になっている場合が多い	契約書の定め（「直ちに」「速やかに」等）	秘密保持契約・業務委託契約の通知条項

注目していただきたいのは、法律上の義務は「個人情報保護委員会」と「本人」の2つが基本だという点です。
警察やIPAは任意ですが、警察に通報していないと保険金の請求や取引先への説明で不利になることがあるため、実務上はセットで動かします。

個人情報の「漏えい等報告」が義務になるのはどんなとき？

個人データの漏えい等が起きても、そのすべてが報告対象になるわけではありません。
報告と本人通知が義務になるのは、次の4類型のいずれかに当てはまるときです（2022年4月1日から義務化）。

類型	どんなケースか	判断のポイント
① 要配慮個人情報が含まれる	健康診断の結果、病歴、障がいの情報などが含まれる漏えい	1件でも該当すれば対象。人数の下限はありません
② 財産的被害のおそれがある	クレジットカード番号、口座番号、ネットバンキングのIDとパスワードなどの漏えい	1件でも該当すれば対象。決済情報を扱う会社は要注意
③ 不正の目的による行為	不正アクセス、ランサムウェア感染、従業員による意図的な持ち出し、社外への不正な送信	サイバー攻撃はほぼここに入ります。1件でも該当すれば対象
④ 1,000人を超える漏えい	顧客名簿の流出、メールの誤送信で1,000人超のアドレスが見えてしまったケースなど	人数で判断。①〜③に当たらなくても対象になります

中小企業の実務で怖いのは、①や②は「1人分でも」報告義務が発生するという点です。
「数件だから大丈夫」という判断は成り立ちません。

▶ 関連記事：情報漏洩が発覚したら？取引先・顧客への報告手順と注意点

報告の期限はいつまで？「速報3〜5日」「確報30日・60日」の数え方

報告は「速報」と「確報」の2段階です。
まず分かっている範囲で速報を出し、調査が進んだ段階で原因や再発防止策まで含めた確報を出す、という流れになります。

項目	速報	確報
期限	速やかに （おおむね3〜5日以内）	30日以内 不正の目的によるものは60日以内
起算点	漏えい等を知った日（発覚日）	漏えい等を知った日（発覚日）
報告する内容	その時点で分かっている概要。対象となる本人の数、漏れた項目、発生の経緯など	原因、二次被害の有無、本人への対応、公表の状況、再発防止策まで
情報が不完全でもよいか	よい（分かる範囲で提出）	原則すべての項目を記載
実務上のカギ	発覚した瞬間から時計が動くため、社内の連絡ルートが決まっているか	ログが残っているか。原因を書けるだけの調査ができるか

日数の数え方には注意が必要です。3〜5日・30日・60日はいずれも土日祝日を含めた暦日で数えます。
金曜の夕方に発覚すれば、土日を挟んで月曜には速報の期限が目の前に迫っている、という計算になります。
なお確報の期限日が行政機関の閉庁日にあたる場合は、翌開庁日が期限として扱われます。

本人への通知も必要？何を伝えればいい？

委員会への報告と並行して、漏えいした本人（顧客や従業員）への通知も義務です。期限は「事態の状況に応じて速やかに」とされています。
伝える内容は、発生した事態の概要、漏れた個人データの項目、原因、二次被害またはそのおそれの有無、本人が取れる対策、問い合わせ窓口などです。

連絡先が分からないなど本人への通知が難しい場合は、自社サイトでの公表と問い合わせ窓口の設置といった代替措置を取ることが認められています。
中小企業では「通知文の文面を誰が書くのか」で数日失われがちなので、ひな形を平時に用意しておくことをおすすめします。

他社から個人情報の取扱いを委託されている場合はどうなる？

中小企業でとくに知っておいていただきたいのが、自社が「委託先（受託者）」の立場で事故を起こした場合の扱いです。
受託した業務のなかで個人データの漏えいが起きたとき、委託先には報告義務を免れる道が用意されています。

個人情報保護法第26条第1項ただし書と施行規則第9条により、委託先が「漏えい等が起きたこと」を委託元へ速やかに通知した場合、委託先自身の個人情報保護委員会への報告義務は免除されます。
通知する内容は、その時点で把握している範囲の報告事項で構いません。

項目	委託先（受託した側）	委託元（依頼した側）
委員会への報告義務	委託元へ速やかに通知すれば免除される	免除されない（必ず自社で報告）
本人への通知義務	委託元へ通知すれば免除される	免除されない
やるべきこと	把握している範囲を、とにかく速やかに委託元へ伝える	通知を受けたら、自社の発覚日として速報・確報を出す
注意点	通知が遅れると免除されず、委託元の期限も削ってしまう	委託先からの通知が遅れたことを理由に、自社の報告期限は延びません

この仕組みで危ないのは、委託先の通知が遅れても、委託元の期限は待ってくれないという点です。
委託元から見れば、委託先が3日黙っていたぶんだけ自社の準備時間が消えます。だからこそ委託契約には「直ちに通知すること」といった条項が入っているわけです。

受託業務がある会社は、「事故を起こしたら、まず委託元に一報を入れる」を社内ルールの最上位に置いてください。
完璧な報告書を作ってから連絡するのではなく、分かった時点で一報を入れる。これが自社の義務免除と、取引関係の維持の両方につながります。

報告しなかったらどうなる？罰則と本当のリスク

個人情報保護法では、報告を怠ったこと自体にただちに罰金が科されるわけではありません。
しかし個人情報保護委員会からの報告徴収や立入検査、そして是正の命令という流れに入ると、次のような罰則が待っています。

違反の内容	行為者（個人）	法人
委員会の命令に違反した	1年以下の拘禁刑または100万円以下の罰金	1億円以下の罰金
報告徴収・立入検査を拒んだ、虚偽の報告をした	50万円以下の罰金	50万円以下の罰金
個人データを不正な利益を図る目的で提供・盗用した	1年以下の拘禁刑または50万円以下の罰金	1億円以下の罰金

ただし中小企業にとって現実的なダメージは、罰金よりも「隠していた」と受け取られることによる信用の失墜です。
取引先の監査で報告漏れが発覚したり、被害者からの問い合わせが先に来て後追いで公表したりすると、取引の停止や契約更新の見送りにつながります。
報告義務は「守れば安心」ではなく、「守れる体制があること自体が取引先への説明材料になる」と捉えるのが実務的です。

▶ 関連記事：取引先からセキュリティ体制の証明を求められたときの対応

ランサムウェア被害は個人情報が漏れていなくても報告対象になる？

結論として、ランサムウェア感染は、個人データが暗号化された時点で報告対象と考えるのが基本です。

理由は2つあります。
1つは、暗号化されて自社でも読めなくなった状態は「個人データを取り扱う事業者が本来の管理を失った」状態であり、個人データの漏えいまたは滅失・毀損として扱われるためです。
もう1つは、ランサムウェアが不正アクセスによって持ち込まれるものであり、前述の4類型のうち③「不正の目的による行為」に該当し、漏えいの「おそれ」があるとみなされるためです。

近年は暗号化する前にデータを窃取して「支払わなければ公開する」と迫る二重脅迫型が主流になっており、「暗号化されただけで外部に出ていない」と言い切れる場面はほとんどありません。
実務上は、調査によって持ち出しがないと確認できるまで、報告を前提に動くべきです。

▶ 関連記事：ランサムウェア「二重脅迫・三重脅迫」の最新動向と中小企業の備え方

身代金を支払うと法律違反になる可能性があります

身代金の支払いは、支払っても復旧の保証がないという実務上の問題に加えて、法的なリスクを伴います。
攻撃者が制裁対象に該当する場合、日本では外国為替及び外国貿易法（外為法）に違反するおそれがあり、米国の制裁リストに関係する送金であれば米国財務省OFAC規制に抵触するおそれもあります。

つまり「被害者だから払っても許される」とは限りません。
支払いの検討が必要な局面では、必ず弁護士や専門機関に相談したうえで判断してください。

公表のタイミングはどう判断する？

自社サイトやプレスリリースでの公表は、法律で時期が決められているわけではありません。
実務では、政府が示している「サイバー被害に係る情報の共有・公表ガイダンス」が判断の参考になります。同ガイダンスでは、被害を認知した直後、被害範囲がある程度判明した時点、復旧のめどが立った時点、調査が完了した時点といった段階ごとの公表の考え方が示されています。

中小企業でよくある失敗は、「全部わかってから一度だけ公表しよう」として時間が経ち、その間に被害者や取引先からの問い合わせが先に来てしまうパターンです。
速報と同じ考え方で、分かった段階で段階的に伝えていくほうが、結果的に信用を守れます。

警察・IPA・JPCERT/CCへの届出は義務？

いずれも法律上の届出義務ではありません（任意）。ただし、それぞれ役割が違うため、実務では目的に応じて使い分けます。

• 警察……不正アクセスやランサムウェアは犯罪です。都道府県警察のサイバー犯罪相談窓口に相談し、必要に応じて被害届を出します。捜査への協力に加え、サイバー保険の請求や取引先への説明でも「警察に通報済み」という事実が効いてきます。
• IPA（情報処理推進機構）……「コンピュータウイルス・不正アクセス届出制度」への届出により、被害の傾向が統計として社会に還元されます。中小企業向けの「情報セキュリティ安心相談窓口」もあり、どう動けばよいか分からない段階での相談先になります。
• JPCERT/CC……インシデントの報告を受けて、攻撃元のサイト管理者への連絡調整などを行ってくれます。自社サイトが攻撃の踏み台にされている場合など、外部との調整が必要なときに有効です。

「任意だから出さなくてよい」ではなく、「義務ではないが、出しておくと自社が守られる」と考えてください。
特に警察への通報は、後から「なぜ通報しなかったのか」と問われるリスクを避けるためにも早めに動くのが得策です。

2026年10月施行の「サイバー対処能力強化法」で何が変わる？

2025年5月に成立したサイバー対処能力強化法（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律）は、いわゆる「能動的サイバー防御」を実現するための法律です。
被害が出てから動くのではなく、攻撃の予兆を早い段階でつかみ、国と民間が情報を共有して被害を抑えることを狙っています。

項目	内容
正式名称	重要電子計算機に対する不正な行為による被害の防止に関する法律
通称	サイバー対処能力強化法／能動的サイバー防御法
成立・公布	2025年5月16日成立、5月23日公布
主な柱	①官民連携の強化（情報共有と報告）②通信情報の利用 ③攻撃者サーバーへのアクセス・無害化措置 ④国の実施体制の整備
直接の対象	基幹インフラ事業者（15分野のうち、政令で指定される事業者）
新たに課される義務	重要な設備を導入するときの届出義務と、インシデントが発生したときの国への報告義務
報告対象になり得る事態	マルウェア感染やDDoS攻撃による機能停止だけでなく、ID・パスワードの窃取や、実害がなくても侵入の痕跡がある場合など
罰則	インシデント報告の義務違反で是正命令に従わない場合は200万円以下の罰金、資料の提出を拒んだ場合は30万円以下の罰金

ポイントは、「実害が出ていなくても、侵入の痕跡があれば報告対象になり得る」という点です。
これは個人情報保護法の「漏えいのおそれでも報告」という考え方と同じ方向で、報告のハードルが下がる＝報告件数が増える方向に制度が動いていることを示しています。

いつから何が始まる？施行スケジュール

この法律は一度にすべてが施行されるのではなく、段階的に施行されます。

時期	施行される内容	企業への影響
2025年5月23日	公布	準備期間。制度の内容を把握する段階
2026年4月1日	サイバー通信情報監理委員会の設置	国側の体制整備。企業に直接の義務はまだ発生しません
2026年10月1日	主要部分の施行（基幹インフラ事業者の届出義務・インシデント報告義務）	基幹インフラ事業者は報告体制の整備が必須。委託先にも協力依頼が来はじめます
公布から2年6か月以内 （政令で定める日）	通信情報の利用に関する規定	通信事業者を中心に対応が必要になります

つまり2026年10月が最初の大きな山です。
基幹インフラ事業者は自社の報告体制を作る必要があり、その過程で必ず「では委託先はどうなっているのか」という確認が始まります。

中小企業も対象になる？15分野とサプライチェーンへの波及

基幹インフラとして指定されているのは次の15分野です。

電気／ガス／石油／水道／鉄道／貨物自動車運送／外航貨物／港湾運送／航空／空港／電気通信／放送／郵便／金融／クレジットカード

この15分野に入っていても、法律の対象になるのは政令で指定される規模の事業者です。
したがって一般的な中小企業が直接この報告義務を負うケースは、基本的にありません。

ただし、影響がまったくないわけではありません。
基幹インフラ事業者にシステム開発・保守を提供している会社、機器を納入している会社、業務を受託している会社は、委託元の報告義務を支える立場として次のような依頼を受ける可能性があります。

• インシデント発生時に、自社側のログを速やかに提供すること
• 脆弱性情報を共有し、修正の適用状況を報告すること
• 夜間・休日を含む緊急時の連絡窓口を明確にすること
• 再委託先まで含めた管理状況を説明できるようにすること

これは実質的に、取引先から求められるセキュリティ要件が一段引き上がるということです。
サプライチェーン全体の底上げという流れは、経済産業省が進めるサプライチェーン強化に向けた評価制度とも同じ方向を向いています。

▶ 関連記事：サプライチェーン強化に向けたセキュリティ対策評価制度とは？詳細をわかりやすく徹底解説

報告義務を果たすために、実務では何が必要？

報告義務の話は法務の話に見えますが、実際に困るのはほぼ全部「技術と運用」の問題です。
報告書のフォーマットは公開されていますし、書き方は調べれば分かります。書けないのは「原因」の欄です。

必要な備え	なぜ必要か	これが無いと何が起きるか
ログの取得と保全	確報では原因・被害範囲・再発防止策を書く必要があり、その根拠はログしかありません	「原因不明」で確報を出すことになり、再発防止策も書けず、取引先への説明もできません
原因を突き止める調査	侵入経路と持ち出しの有無を確認できて初めて「漏えいなし」と説明できます	漏えいの有無を否定できず、必要以上に広い範囲を「おそれあり」として公表することになります
24時間365日の検知と連絡体制	速報の期限は発覚日から起算します。発覚が遅れれば、そのぶん調査の時間が消えます	連休明けに気づいて、速報の期限まで残り1日という事態になります

見落とされがちなのは「ログの保持期間」

攻撃者が侵入してから発覚するまでには、数週間から数か月かかることがあります。
ログの保持期間が30日しかない製品を使っていると、侵入した瞬間のログがすでに上書きされていて、原因を特定できないという事態が起こります。

確報の期限は30日（不正の目的によるものは60日）です。この期間内に原因を書けるかどうかは、事故が起きてからではなく、平時に決めたログの保持期間で決まっています。

▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較

「感染していないことの証明」には調査が必要

取引先から「本当に情報は漏れていないのか」と問われたとき、感覚では答えられません。
エンドポイントを網羅的に調べて、不審な挙動や通信がなかったことを示すレポートが必要になります。

▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方【中小企業向け】

原因究明や監視体制はいくらかかる？

「報告できる体制」を作るための費用を、当社が実際にお取り扱いしているサービスで具体的にお示しします。
大きく分けると、事故が起きた後に使う調査サービスと、平時から備えておく監視サービス（EDR＋SOC）の2種類です。

項目	マルウェア感染調査サービス	SentinelOne データお守り隊	セキュリティお助けパック （バリオセキュア）	Sophos MDR
役割	事故後の原因究明 （確報の根拠づくり）	平時の検知と自動対処	平時の検知＋駆けつけ	平時の検知と専門家による対処
初期費用（税別）	なし	0円	ネットワーク型 60,000円 端末型 なし	要見積り
費用（税別）	300台まで 298,000円 500台まで 498,000円 500台超は応相談	1ユーザー 月1,000円〜 （上位オプション 1,100円／1,660円）	ネットワーク型 月9,800円 端末型 1ユーザー 月1,400円	要見積り （Sophos MDR／MDR Plus）
着手・対応の速さ	17時までのご注文で翌日対応	AIが24時間365日監視	AIが24時間365日監視	世界8拠点のSOCが24時間365日対応
調査期間・レポート	監視期間5営業日〜1か月 終了後3営業日でレポート提出	脅威の侵入後ログを1年保持 （上位オプションで感染前ログ14日）	管理画面でアラートとログを確認	クラウドのデータ保持90日 （365日に延長可）
報告実務での使いどころ	確報の「原因」「被害範囲」を書くための根拠	発覚を早め、速報の期限に余裕を作る	ウイルス駆除の駆けつけまで含めて任せられる	侵入経路の分析まで専門家に任せられる
サイバー保険	—	最大50万円まで付帯	最大100万円まで付帯	MDR Plusで保証制度あり
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る

※料金は税別の目安です。台数・契約期間・構成によって変動しますので、正確な金額は個別のお見積りでご確認ください。
詳細レポートが必要な場合、マルウェア感染調査サービスでは別途50万円（税別）となります。

ここで意識していただきたいのは、調査費用は「起きてから」しか発生しないぶん、単価が高いということです。
300台までの調査で298,000円は相場としては抑えられていますが、月1,000円／台の監視を30台に入れると月3万円で、1年でも36万円です。
1回の調査費用とほぼ同じ金額で、発覚を早めて期限に余裕を作る体制が1年間持てる、という比較になります。

▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方【中小企業向け】

あわせて、暗号化されたデータを取り戻せるかどうかは、バックアップの取り方で決まります。
報告書の「二次被害のおそれ」「復旧の状況」を書くうえでも、復旧できる状態にあるかは大きな分かれ目です。

▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？サーバー・PC・Microsoft 365データを守る月額の目安

また、調査費用や被害者対応の費用そのものをカバーする手段として、サイバー保険という選択肢もあります。

▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説

費用は補助金で抑えられる？

報告できる体制づくりに必要なEDRやログ管理、監視サービスの多くは、デジタル化・AI導入補助金（旧IT導入補助金）の対象になり得ます。
2026年度は補助額が最大450万円、補助率は原則2分の1で、小規模事業者は賃上げなどの要件を満たすと最大5分の4まで引き上げられます。

注意点として、交付申請の際には「SECURITY ACTION（セキュリティ対策自己宣言）」の宣言IDが必要です。
2026年4月からは申込にGビズIDが必須になっており、宣言IDを取ってから申請する順番を間違えると要件を満たさず却下されます。

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件【2026年版】

補助率や対象となるITツールの要件は年度ごとに変わります。
実際に申請される際は必ず最新の公募要領をご確認いただき、判断に迷う点は当社や専門家にご相談ください。

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ

報告できる体制はどう作る？5つのステップ

1. 自社が扱う個人データを洗い出す……どこに何人分の、どんな項目があるかを一覧にします。要配慮個人情報やクレジットカード情報を扱っているなら、1件でも報告義務が発生することを前提に設計します。
2. 報告先と社内の連絡ルートを紙に落とす……本記事の報告先マップをもとに、誰が誰に連絡し、誰が委員会への報告を出すのかを決めます。夜間・休日の連絡先も忘れずに書きます。
3. ログの保持期間を確認して延長する……使っている製品のデフォルト保持期間を確認します。30日しか残らない設定なら、確報の期限内に原因を書けない可能性が高いので延長を検討します。
4. 発覚を早める仕組みを入れる……EDRとSOC監視をセットで導入し、異常を人が気づく前に検知できる状態にします。速報の期限は発覚日から起算するため、発覚が早いほど調査に使える時間が増えます。
5. 調査の依頼先を平時に決めておく……事故が起きてから見積りを取り始めると数日失います。どこに何を頼むかを決め、連絡先を手順書に書いておきます。

とくに気をつけたい4つのポイント

• 調査前に端末を初期化したり駆除したりしない……証拠が消え、原因を特定できなくなります。電源は落とさずネットワークから切り離す、が原則です。
• 「漏えいの証拠がない」を「漏えいしていない」と読み替えない……4類型はいずれも「おそれ」を含みます。自己判断で報告を見送るのは最もリスクの高い選択です。
• 契約書の通知条項を事前に確認する……法律より厳しい期限（「直ちに」など）が書かれていることがあります。取引先ごとに期限が違う点に注意してください。
• 期限は暦日で数える……土日祝日は止まりません。連休前に発覚した場合の動き方まで手順書に書いておくと安心です。

▶ 関連記事：今すぐ確認！自社のセキュリティレベルを10分で診断する方法

よくある質問（Q&A）

Q. 漏えいしたのが1人分だけなら、報告しなくてよいですか？

A. 人数だけでは決まりません。健康情報などの要配慮個人情報や、クレジットカード番号のように財産的被害のおそれがある情報が含まれていれば、1人分でも報告義務があります。
また不正アクセスやランサムウェアによるものであれば、人数を問わず報告対象です。1,000人という基準は、これらに当たらない場合の判断材料のひとつにすぎません。

Q. 期限に間に合いそうにありません。どうすればよいですか？

A. 速報は「分かっている範囲」で出すもので、情報が不完全でも問題ありません。まず速報を出すことを優先してください。
確報についても、期限内に調査が完了しない見込みであれば、その時点で判明している内容と調査の進捗を報告し、個人情報保護委員会に相談するのが実務的な対応です。黙って期限を過ぎるのが最も避けたい対応です。

Q. 情シス担当が1人しかいません。この体制でも報告義務は果たせますか？

A. 担当者1人でも、「検知」と「調査」を外部に任せる前提で設計すれば果たせます。
24時間365日の監視をSOC付きのサービスに任せておけば発覚が早まり、調査は感染調査サービスに依頼すれば原因の根拠が手に入ります。
社内に残す仕事は「誰に連絡し、誰が報告書を出すか」を決めておくことです。ここだけは外注できないので、手順書として紙にしておいてください。

Q. 当社は基幹インフラ事業者ではありません。サイバー対処能力強化法は無関係ですか？

A. 直接の報告義務を負うことは基本的にありません。
ただし基幹インフラ事業者の委託先やシステムの納入元になっている場合は、委託元の報告義務を支える立場としてログの提供や緊急連絡体制の整備を求められる可能性があります。
2026年10月の施行に向けて、取引先からのセキュリティ要件が引き上がる前提で準備しておくのが安全です。

Q. 取引先から預かったデータで事故を起こしました。自社が報告するのですか？

A. 個人情報の取扱いを委託されている立場であれば、委託元へ速やかに通知することで、自社の個人情報保護委員会への報告義務と本人通知義務は免除されます（個人情報保護法第26条第1項ただし書）。
ただし免除されるのは「通知した場合」に限られます。分かっている範囲でよいので、とにかく早く一報を入れてください。
なお委託元の報告義務は免除されず、しかも自社の通知が遅れても委託元の期限は延びません。通知の遅れは、そのまま取引先の首を絞めることになります。

Q. 警察に通報すると、事件として大きくなって公表を強いられませんか？

A. 警察に相談したこと自体が公表につながるわけではありません。相談段階では捜査への協力を求められるだけで、公表のタイミングは自社の判断です。
むしろ通報していないと、後から「なぜ通報しなかったのか」を取引先や保険会社に問われることになります。通報は自社を守るための行動と考えてください。

Q. ログがまったく残っていませんでした。この場合どう報告すればよいですか？

A. 確報では「調査したものの、ログが保存されていないため原因の特定に至らなかった」旨を記載することになります。
正直に書くこと自体は問題ありませんが、再発防止策としてログの取得と保持期間の見直しを求められることになり、取引先への説明も難しくなります。
次の事故に備えて、この機会にログの保持期間と取得範囲を見直すことをおすすめします。

まとめ

サイバー攻撃を受けたときの報告義務は、次のように整理できます。
まず、業種や規模を問わずすべての企業にかかるのは、個人データの漏えい等が起きた（またはそのおそれがある）場合の、個人情報保護委員会への報告と本人への通知です。
期限は速報が「速やかに（おおむね3〜5日以内）」、確報が「30日以内、不正の目的によるものは60日以内」で、いずれも土日祝日を含む暦日で数えます。
要配慮個人情報やクレジットカード情報が含まれる場合、そして不正アクセスやランサムウェアによる場合は、1人分でも報告対象になります。

警察・IPA・JPCERT/CCへの届出は法律上は任意ですが、実務では通報しておくことが自社を守ります。
取引先への連絡は契約上の義務になっていることが多く、法律より厳しい期限が書かれている場合もあるため、契約書の確認は平時に済ませておいてください。
また自社が個人情報の取扱いを委託されている立場なら、委託元へ速やかに通知することで自社の報告義務は免除されます。分かった範囲でよいので、まず一報を入れることを社内ルールの最上位に置いてください。
そして2026年は制度が動く年です。2026年10月1日からサイバー対処能力強化法の主要部分が施行され、基幹インフラ事業者に新しいインシデント報告義務が課されます。
中小企業が直接の対象になることは基本的にありませんが、その委託先やサプライチェーンに入っている場合は、ログの提供や緊急連絡体制について要件が引き上がる前提で備えるのが安全です。

最後に、いちばんお伝えしたいことを繰り返します。
報告義務でつまずくのは、書類の書き方ではなく「原因が書けない」ことです。
確報の「原因」「被害範囲」「再発防止策」を埋められるかどうかは、事故が起きてからではなく、平時に決めたログの保持期間と検知の仕組みで決まっています。
ログを十分な期間残し、24時間365日の検知でできるだけ早く気づき、調査の依頼先を先に決めておく。この3つが揃っていれば、報告は「対応できる作業」になります。
そしてこれらの費用は、デジタル化・AI導入補助金の活用によって負担を抑えられる可能性があります。

報告できる体制づくりは、どこから手をつけるかで迷いやすい領域です。
当社はEDRやSOC監視、ログ管理、感染調査サービスまで複数のメーカーを横並びで扱っており、補助金の活用支援も含めて中立的にご提案できます。
「自社は何から始めるべきか」という段階からでも、お気軽にご相談ください。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説｜初登場のAIリスクと優先すべき対策

▶ 関連記事：退職者のアカウント、ちゃんと削除していますか？情報漏洩リスクを解説