アイルランドの事案通報：実在する時計、5,000ユーロの代償

要約

2023年3月2日に成立したCommunications Regulation and Digital Hub Development Agency (Amendment) Act 2023 の第11条(1)は、重大な影響を及ぼすセキュリティ事案を「不当な遅延なく」ComRegへ通報する義務を定めるが、法律自体には時間も日数も書かれていない。
24時間・72時間・30暦日という期限は法律ではなく、義務の発効から297日後に公表された規制機関の決定文書D08/24に由来する。
沈黙の値段は二つある。略式手続きの上限5,000ユーロと、500万ユーロかアイルランド売上高の10%のいずれか高い額という行政上の天井で、後者はHigh Courtの確認を経て初めて効力を持つ。
外部の第三者が毎年確認できる数字は一つだけだ。2024年の通報15件（2023年は16件）に対し、記録された利用者損失時間は22,818,885時間から32,574,831時間へ増えた。

2023年6月9日、アイルランドで公共の電子通信ネットワークや一般に利用可能な電子通信サービスを提供する事業者は、重大な影響を及ぼすセキュリティ事案が起きたとき、誰かに説明する義務を負うことになった。その相手はNational Cyber Security Centreではない。Commission for Communications Regulation、すなわちComRegである。成立法の正文の第11条(1)は、規制機関への通報を「不当な遅延なく」行うよう定める。第11条(4)は解決と復旧に関する更新を上乗せし、第12条(1)は影響を受ける可能性のある利用者に対し、講じうる保護措置や救済、適切な場合には脅威そのものを伝える義務を課している。

法律が持つ時間情報はこれで全部だ。「不当な遅延なく」は表現であって時計ではない。ここからがアイルランドの連鎖の面白いところで、時計は後から来た。しかも立法者が付けたのではない。ComReg 24/23 とともに公表されたD08/24決定文書は2024年4月2日付で、通報の閾値、必要情報、提出方法、そして段階を定める。可能な限り速やかに、かつ最初の24時間以内に初期報告。未解決なら72時間以内に更新。解決の通知。そして重大事案報告から30暦日以内に、原因分析を含む包括的な更新。同文書の第140段落は、この24時間という窓を事業者が「検知した」時点に固定している。発生時点ではない。

義務の発効からこの文書の公表まで、297日ある。これは私が二つの公表日から出した算術だ。S.I. No. 299 of 2023第2条が指定する2023年6月9日（同令は2023年6月6日制定）と、ComReg 24/23 表紙の2024年4月2日。この間隔がそのまま連鎖の性格を語っている。まず義務があり、ずっと後にストップウォッチが来た。法律自体も成立から発効まで99日かかっており、2022年法案第86c号の最終印刷版は2023年2月22日の両院通過を記録し、発効令は2023年6月13日の告示掲載を記録している。

沈黙の値段も一つではない。第11条(8)(a)は第11条の通報義務違反を犯罪とし、略式手続きでClass Aの罰金に処しうるとする。金額は通信法の側にはなく、Fines Act 2010第3条にある。Class Aの罰金とは5,000ユーロを超えない罰金を指す。これは略式手続きにおける法定の上限であって、固定料金でも、実際に観察された制裁でもない。

もう一つの値段は行政手続きの側にあり、桁が違う。第11条(7)と第60条(1)(a)が第11条の義務を第7部に接続し、第90条(2)と第91条(1)(a)–(b)が是正命令と金銭的制裁を可能にする。第94条(5)(a)は、自然人以外に対する天井を、500万ユーロとアイルランド売上高の10%のうち高い方とし、売上高は最後の違反があった会計年度の直前年度末の数字を取る。第92条(1)は行政制裁が効力を持つ前に第109条に基づくHigh Courtの確認を要求し、第90条(3)はすでに裁定違反として処理された行為について刑事訴追を禁じる。第63条(3)は、ComRegが略式訴追を選ばない場合、または付託の後に刑事手続きに入らなかった場合に、行政手続きを許す。ComRegの勧裁手続きガイドライン25/03aはこの経路を最後まで描く。委員会の同意を得た権限ある職員による付託、停止や是正、金銭的制裁、返金、補償を含む制裁のメニュー、例外と墨塗りを伴う確認済み裁定の公表。そして第8.2段落で、High Courtの確認なしには何も効力を持たないと明言する。

5,000ユーロと500万ユーロの間には1,000倍の開きがある。これは二つの法定上限の距離であって、観察された制裁ではない。しかしこの設計をよく言い当てている。速くて安い経路は、大手事業者が眉をひそめない額で沈黙を罰する。高い経路は、記録を作り、司法の確認を取り、それを公表することを求める。

そして欠けている名前がある。本稿で読んだ成立法の正文にNational Cyber Security Centreは出てこない。第5条はCSIRTを省内の事案対応単位と定義し、第16条(1)(a)はComRegがCSIRTと協議し、協力し、情報を交換し、支援を得ることを認める。それ以上に一般機能を割り当てた条項は、その文書にはない。NCSC自身のCSIRT-IEページは、CSIRT-IEをNCSC内部で全国レベルの事案対応を支援する組織と説明し、主たる対象を政府機関と重要国家インフラの提供者とし、監視、警告、対応、リスク分析、CSIRTネットワークへの参加を職務として並べる。日付のない組織紹介であり、列挙された責務の法的根拠として2023年法を挙げてはいない。

残るのは、外から本当に確認できる数字だ。第11条(9)は、受け取った通報と講じた措置についての年次概要を、大臣、欧州委員会、ENISAに提出することを求める。ComRegのNetwork Incidentsページはこの概要を確認し、ComReg 24/23とD08/24が通報の枠組みを示す文書であると特定し、事業者をData.ComRegの通報ポータルへ導く。数字は年次報告書にある。2023年報告ComReg 24/53は2023年に16件（2022年は12件）の通報を記録し、利用者損失時間を22,818,885時間とする。2024年報告ComReg 25/42Rは2025年7月1日付で、2024年に15件（2023年は16件）、利用者損失時間を32,574,831時間と記録する。

この二つの時間数の差は9,755,946時間、およそ43%増だ。これは公表された二つの総数に対する私の算術であり、それ以上に伸ばすべきではない。報告書は利用者損失時間の総数がComRegへの通報事案だけから算出されたとは述べていない。だから時間数を事案数で割れば、どの文書も支えない数字が出てくる。材料が支えるのは方向だ。事案は1件減り、失われた時間は桁違いに増えた。

枠組みも静止していない。25/84諮問文書は2025年12月5日付で、Storm Eowynの経験を踏まえ、気象関連の通報テンプレート、通報の頻度と時期、事案の重大性の地理的評価を変更するよう提案する。これは提案だ。最終的な処置は確認しておらず、同文書の表紙は版をFINALとも記しているが、それは諮問文書を発効した決定に変えるものではない。

二つの限界を、実際に読んだ範囲に限って述べておく。Network Incidentsページは個々の事業者の提出内容も受信時刻も表示しておらず、認証が必要な事業者ポータルにはアクセスしていない。ポータルへのリンクは、提出された内容が公開されていることの証拠にはならない。そして私が読んだ範囲、すなわち法律、D08/24、勧裁ガイドライン、二つの年次報告書のなかで、第11条に関して特定の事業者を相手とする訴追、制裁、High Courtに確認された裁定は確認できなかった。

法律の文面と食い違う記述も、出所とともに書いておく。ComRegの勧裁部門長の求人ページは、行政上の金銭制裁を最大1,000万ユーロまたは売上高の10%と説明する。成立法の正文は500万ユーロだ。この差の理由は確認しておらず、有効な上限としてこの数字を使うこともない。

この記事が同じディレクトリ項目の既存報道に加えるものは具体的だ。先行する二本、すなわち2026年10月21日の英国政府ワークフローで1件のコメントがコードを実行した件と、2026年10月10日のスイスが独立したサイバーセキュリティ法を計画する件は、どちらもアイルランドの連鎖を検証していない。義務そのもの、その宛先、規制機関が作った時計、二つに割られた値段、そして第三者が読める総数。本稿が検証するのはそこだ。

分類を変えるものも具体的である。第11条に基づく訴追、確認・公表された裁定、あるいは事業者別・通報時点別に分解された年次報告書。そのいずれかが現れれば、総数は検証可能な説明責任の記録になる。それが出てこない限り、アイルランドには道具と値段とカウンターがある。私が読んだ範囲で欠けているのは、誰が遅れたのかを知る方法だ。

本稿が扱った対象はNational Cyber Security Centreのディレクトリ項目にある。