要約

  • 現行の英国NIS規則は、担当大臣に国家戦略の指定・公表を義務付け、規制当局にもその戦略を考慮するよう求めている。Cyber Security and Resilience Billはこの条項を削除し、新しい優先事項声明を大臣が指定できる仕組みに変える。
  • 法案は規制当局に関する年次報告を義務化する一方、最初の12か月は初回声明が公表された日から数える。初回声明の公表期限はない。これとは別に、制度全体の5年ごとの評価は法律の成立日を起点とする。

年次報告の時計はいつ動くのか

英国のCyber Security and Resilience (Network and Information Systems) Bill案には、規制当局の対応を議会が毎年確認する仕組みが盛り込まれている。だが、「毎年」という言葉だけでは最初の報告時期は分からない。第28条は、最初の報告期間を、第25条に基づいて指定された最初の優先事項声明が公表された日から始まる12か月と定めている。その期間が終わると、担当大臣は議会に報告書を提出し、適切と考える方法で公表しなければならない。

報告書が扱うのは、各規制当局がその期間にどのように義務を履行したか、次の期間にどう履行する予定かである。説明は「一般的な形」でよいとされる。つまり年次報告の義務は本文にあるものの、最初の一年を始める日には別の条件が付いている。

第25条の表現は、担当大臣は声明を指定「できる」とする。第26条の手続を踏むことが条件だが、指定そのものを必ず行うとは書かれていない。初回声明の公表期限もない。第25条と第28条を合わせて読むと、声明の公表後は報告が義務になるが、最初の周期を始める固定日が法律上置かれていないという結論になる。これは条文の構造についての分析であり、政府が公表を遅らせるという予測ではない。

「義務」から「裁量」へ

現行制度との比較で変化がはっきりする。2018年Network and Information Systems Regulations第2条は、担当大臣にNIS国家戦略を指定・公表するよう求める。第3条6項は、指定された主管当局とInformation Commissionに、その戦略を職務遂行時に考慮させている。上院で審議中のHL Bill 49は、附則2でこの二つの規定を削除する。

代わりに、第25条は政府の優先事項、関係機関の役割・責任、規制当局が目指す目標を含む声明を大臣が指定できるようにする。指定中の声明について、第27条は規制当局に考慮義務と目標達成を目指す義務を課す。2月の下院委員会審議で政府側は、声明が現行の国家戦略に取って代わると説明した。また、指定後3年間は原則として変更できないルールは、当局が仕事を計画するための安定性を確保するものだと述べた。

この制度変更には政策上の狙いがある。政府によると、NIS制度を実施する規制当局は12機関に分かれている。電力、医療、通信、水道、デジタルサービスでは運用リスクが違うため、業界別の専門性は必要だ。一方で、政府は、当局ごとの実施方法に差が出ることも課題としている。共通の優先事項を設ければ、各業界の規制方法を同一化せずに、全体の方向をそろえられるという考えだ。

ただし、法形式の違いは残る。現行規則では国家戦略を作ること自体が継続的な義務である。法案では新しい当局の義務が、大臣が声明を指定・公表するかどうかに依存する。いつ手続を始めるか、公表予定を示すか、声明がない理由を説明するか、いずれも条文は求めていない。最初の一歩を行政側が選べる構造になっている。

手続は内容を審査するが、開始日を決めない

大臣が声明を準備する場合、第26条は段階的な手続を定める。規制当局に草案を示し、少なくとも40日間の意見提出期間を設ける。大臣は回答を検討した後に声明を議会へ提出する。その後さらに40日間があり、その間に上下院のどちらかが承認しない決議をすれば、声明を指定できない。

この手続は当局に検討時間を与え、議会には否決の機会を設ける。しかし、草案の協議をいつ始めるかは決めていない。声明が指定されれば、総選挙があった場合や、大臣が政府方針または脅威に重大な変化が生じたと判断する場合を除き、3年以内の修正や撤回は原則できない。長期計画に必要な安定と、想定外の変化への対応を両立させようとする設計だが、初回公表の時期は別問題として残る。

年次報告の意味も限定して考える必要がある。第28条が求めるのは、当局が義務をどう履行し、次に何をするかの概括的な説明だ。議会が質問し、各当局の活動を比較する材料にはなり得る。一方、この条文だけで、サイバー事故が減ったか、公共サービスの復旧が早まったか、制度全体のレジリエンスが上がったかを独立に監査するわけではない。規則への適合と社会的な成果は異なる指標である。

5年評価は別の問いに答える

第40条はもう一つの時計を置く。法案が成立した日から起算して、少なくとも5年ごとに大臣がより広い報告を議会へ提出する。対象は関連するNIS法制の運用、法定目標の達成度と妥当性、より負担の軽い手段で同じ目標を達成できるか、そして法案で付与された大臣権限の行使である。

上院憲法委員会は、急速に変化する領域で大臣に大きな権限を付与する法案なのだから、5年より頻繁な報告が必要だと勧告した。10月13日にはClement-Jones卿が、第40条の「5」を「2」に置き換える修正案を提出した。調査時点では審議に向けた提案であり、可決された条文ではない。仮に成立すれば大きな制度評価の周期は短くなるが、最初の声明の期限も第28条の初回期間も、それだけで決まるわけではない。

下院での先行審議では、政府は分野横断の制度全体を評価するには時間がかかると説明し、年次報告は規制活動をより頻繁に見られると述べた。二つは代替関係ではない。年次報告は当局の活動を説明し、制度評価は法律の効果や代替案を考える。しかも、初回声明が出るまでは年次報告の時計は動き始めない。

2026年10月14日現在、法案は上院で審議中だ。9月7日に大委員会で修正されたHL Bill 49が最新の印刷版で、Report段階は10月26日に予定されている。まだ法律ではない。10月13日付の修正案一覧は提案を記録したもので、議会の決定ではない。将来の効力は法案の成立と条項の施行にかかる。

議会が決めるべき点は、報告を毎年にするか5年ごとにするかだけではない。最初の年を将来の大臣判断による公表日から始めるのか、それとも開始日を検証できる形にするのかである。初回声明に期限を設ければ、当局への協議や議会の審査を保ったまま、監督の開始を予測可能にできる。声明前に規制当局の準備状況を報告させる方法もあるが、その段階で何を報告するのかを明確にする必要がある。どちらでも、開始待ちを見えないままにしないことが重要だ。

義務だった国家戦略を裁量的な声明に置き換えると、政府は柔軟に優先事項を定めやすくなる一方、初回の年次報告は日付未定の公表に結び付く。声明が出た後の報告は義務だ。しかし、それまでの待ち時間を測る固定の起点は、法案にはない。

出典