要約

  • Executive Order 14028 第5条が Cyber Safety Review Board に与えた動詞は「審査し評価する」と「長官に建議する」である。実施を意味する唯一の動詞の主語は国土安全保障長官で、しかも「as appropriate」という裁量の留保が付く。
  • したがって委員会の成果物は証拠の台帳であって救済ではない。台帳が拘束力を持つのは、その後の立法、調達・保険の条項、あるいは訴訟が記録を義務に変換したときだけである。

命令は2021年5月12日に署名され、5日後に文書番号2021-10460として Federal Register に掲載された（Executive Order 14028、ホワイトハウスの公表ページ）。第5条は Cyber Safety Review Board を設置する。5(a) は国土安全保障長官に設置を指示し、5(b) は作業範囲を定める。対象は脅威活動、脆弱性、緩和措置、そして各機関の対応であり、連邦文官行政部門の情報システムまたは非連邦のシステムに影響する重大なサイバー事案がその射程に入る。

問題の一文は英語でこう書かれている。「The Board shall review and assess」。審査し、評価する。裁定でも処罰でもない。5(d) と 5(h) は成果物をさらに狭く定義する。建議、助言、情報である。5(d) の原文は「provide recommendations to the Secretary」。そして5(j) で動詞はようやく実施に変わるが、主語は別人になっている。「take steps to implement them as appropriate」——長官が建議を検討し、適切と判断した措置を講じる、という構文だ。

Federal Register が示す第5条の (a) から (j) までを、私は一款ずつ読んだ。この条のなかに、委員会の結論や建議を被調査主体へ拘束力あるものにする明文はなく、報告義務も期限も、不採用の際の后果も書かれていない。言えるのはそこまでである。これは「この条には無い」という話であって、「現実に存在しない」という話ではない。拘束は別の場所から来るかもしれず、この記事が問うのはまさにその点だ。判断の範囲は第5条に限られ、後続の立法、契約、機関の運用には及ばない。

機関自身のページは、委員会の作業を助言的なものと描写し、その調査結果と建議が民間部門にも政府機関にも拘束力を持たないとしている（CISA の委員会ページ、CISA のリソースページ）。ただし資料の性質は明記しておく。この二ページは2026年11月12日時点で、読めるページ本文ではなく、提供側が書いた要約として保存されたものである。したがってこの記述は二次的な手がかりにとどまり、機関の発言そのものとして引用することはできない。条文の文言は Federal Register の本文による。

第11(d)条には、よく引かれる一般条項がある。本命令は執行可能な権利や利益を創設しない、という一文だ（命令本文）。これは権利創設に関する一般的な表明であって、「委員会の建議に拘束力がない」と明言したものではない。この二つを混ぜるのが、この種の議論で最もよく起きる取り違えである。あわせて証拠の限界も書いておく。Federal Register のページ自身が、XML版は非公式の参考情報であり govinfo の正式版と照合すべきだと注記している。手元にあるのは短い逐語引用と要約であって、命令の完全な複製ではない。

では、この文書は何なのか。第5条の構造を広げてみると、そこで行われているのは行政と執行の分離である。評価は委員会に残り、裁量は長官に残り、被調査の当事者は義務の連鎖の外に置かれる。誰も縛れない調査結果は台帳である。何が起きたか、なぜ起きたか、誰が直すべきかを記録する。台帳には価値がある。孤立した事故を読める型に変えるからだ。だが台帳は救済ではない。救済は、記録を義務に変換する誰かが現れてから始まる。

変換の経路は具体的で、しかもどれも第5条の外にある。立法が法定義務に変え、期限と制裁を添える。調達条項が契約に織り込み、従わない者から受注を奪う。保険の質問票が引受条件に変え、遵守しない者に保険料と免責で答えさせる。訴訟が記録を証拠として引用する。事例の蓄積が単発の失敗を型として可視化する。この四つは委員会が自分で歩く道ではなく、この一条だけで歩き切れる道でもない。

委員会を軽んじる話ではない。事故の因果連鎖を最後までたどれること自体が希少な能力であり、多くの規制当局はそこへ到達しない。問題は記帳の作法にある。調べ切ることを解決と同一視し、報告書の公表を事案の終結と読み替えてしまう。事故の後に最も気持ちよく訪れる満足は、よく書けた報告書である。そして被調査の組織は、報告書が出た後も、誰かがそれを持って別のことをするまで同じように動き続ける。

米国政府の名簿において、Cybersecurity and Infrastructure Security Agency は番号資源の保有者であり、同時に安全保障の中枢でもある（ディレクトリ項目）。委員会はその下に置かれているため、この所属関係は権限に見えやすい。名前に「security」が入っていることは、強制の道具を手にしていることを意味しない。

最後に証拠の境界を記す。本稿は委員会の職務規定も、報告書の読める本文も取得していない。だから建議の件数、宛先の一覧、報告書の数は本文のどこにも出さない。私が読んだ五つの資料——Federal Register の命令本文、二つの CISA ページ、ホワイトハウスの公表ページ、dhs.gov のトップページ——の範囲では、委員会の構成や現在の位置づけに関する公式の説明は現れなかった。この記述はそこまでであり、そうした説明が存在しないと主張するものではない。