要約

  • Bill C-8の第1部はTelecommunications Actを改正し、Royal Assentと同時に効力を生じた。
  • 第2部のCritical Cyber Systems Protection Actは制定されたが、最新の統合版では未施行と表示されている。

成立した法律でも、すべての義務が同時に始まるわけではない

Bill C-8は2026年6月15日にRoyal Assentを得た。この法律はTelecommunications Actを改正すると同時に、別法であるCritical Cyber Systems Protection Act（CCSPA）を制定した。ただし、両者の施行時期は異なる。第1部はRoyal Assentと同時に施行された。第2部はGovernor in Councilが定める一つまたは複数の日に施行される仕組みである。2026年9月21日現在の司法省法令サイトの統合版は、なお第2部を未施行としている。

この差は、通信事業者が現在負うものを左右する。第1部によりGovernor in Councilは、指定した者が供給する製品・サービスの使用を制限したり、ネットワーク施設から製品を撤去するよう命じたりできる。Minister of Industryには、セキュリティ計画、脆弱性評価と緩和、規格、調達審査、バックアップシステムなどを求める権限がある。命令は脅威の重大さに照らして必要かつ合理的でなければならず、運用・財務・サービス継続・プライバシーへの影響も考慮される。

CCSPAは、将来指定される事業者の制度である。サイバーセキュリティ計画、サプライチェーンリスクの緩和、インシデント報告を定める。通信サービスが重要サービスに含まれていても、すべての通信事業者が自動的に「designated operator」になるわけではない。報告期限は規則で定められ、上限が72時間とされるが、第2部が未施行の間に全社の現行期限として扱うことはできない。

指示には開示と監督の手順がある

第1部の命令は、その存在、全部または一部の内容を公表しないよう求めることができる。非開示は自動ではない。意思決定者は、開示が目的を損なう可能性、禁止の必要性、範囲を限定できるか、透明性と政府の説明責任への影響、対象事業者の意見を考慮する。

公開できる命令は、指定された相手に7日以内に通知する。非開示条項を含む命令では、90日以内にNational Security and Intelligence Committee of ParliamentariansとNational Security and Intelligence Review Agencyへ通知しなければならない。議会への年次報告には、命令の件数と性質、撤回数、影響を受けた事業者数、遵守状況、命令の必要性・合理性・有用性の説明が含まれる。命令がCRTCの判断に優先した回数も報告され、提出後には要約が公開される。

これは、脅威対応中にすべての詳細を即時公開することなく、権限の使用を検証するための経路である。報告が期限どおり出るか、顧客や事業者への影響を説明できるか、規制委員会の判断がどれほど変更されたかが、実務上の評価点になる。

セキュリティ権限にも境界がある

Telecommunications Actは、私的通信を傍受するよう命じることを禁止している。CCSPAにも同種の保護があり、Privacy Actの適用も維持される。権限はネットワーク、調達、脆弱性への措置を対象とするが、包括的な通信傍受権と説明してはならない。

C-8は二つの時計で読む必要がある。通信への政府指示はすでに可能である。指定事業者の計画・報告義務は、CCSPAの施行と指定を待つ。企業は制定済みの枠組みに備えつつ、未施行の義務を現行責任として表示すべきではない。政府には、施行日、指定される業種・事業者、管轄する規制機関を明確に示す課題が残る。

Heng LuのNote 73は、誰が拘束的な決定を行う権限を持つのか、その権限をどう検証するのかを問う編集上の視点に限って参照する。法律上の事実はカナダの法文による。

Sources