英国のサイバーセキュリティ法案、重要サプライヤーに規則を拡大

UK cyber security bill to extend rules to critical suppliers は、公開情報によってインターネットインフラ、ガバナンス、運用依存、市場での可視性と関連付けられているため、BTW Media のプロファイル対象となっています。

• 法案は、マネージドサービスプロバイダー（MSP）やデータセンター事業者をサイバーセキュリティ法の対象とし、厳格な報告義務と違反時の罰金を課すことを提案しています。
• 義務的なインシデント報告の範囲を拡大し、サービスの停止だけでなく、機密性・完全性・可用性への脅威も対象とし、24 時間以内の通知を求めます。

経緯: 英国政府がサイバーセキュリティ義務をサプライチェーンに拡大

英国政府は、2018 年のネットワーク・情報システム枠組みを更新するサイバーセキュリティ・レジリエンス法案（Cyber Security and Resilience Bill）を提出しました。この新法案は適用範囲を大幅に拡大し、マネージドサービスプロバイダー（MSP）、データセンター事業者、その他の ICT サプライヤーが、交通、医療、エネルギー、公共サービスなどの重要インフラを支えている場合、規制対象となる可能性があります。

法案に基づき、「重要サプライヤー」に指定された企業は、所定のサイバーセキュリティ基準を満たし、定期的なリスク評価を実施し、拘束力のあるインシデント報告義務を果たす必要があります。主要な変更点の一つは、より厳格な報告期限です。企業は、重大なサイバー脅威を検知してから 24 時間以内に規制当局と英国家サイバーセキュリティ機関に最初の通知を行わなければなりません。たとえ目に見える障害が発生していなくてもです。また、当局は特定された脆弱性やサプライチェーンリスクに対して迅速な対策を求める指令を出す権限も持つようになります。

この法案は 2025 年 11 月に正式に議会に提出されました。政府文書によると、この改革は医療サービスや水道システム、その他の重要サービスに影響を与えた最近の大規模なサイバーインシデントから得られた教訓を反映しています。

あわせて読みたい:英国の通信事業者: 政府、契約途中の価格引き上げを問題視
あわせて読みたい:Nokia と Telefónica Germany、5G ネットワーク契約を延長

なぜ重要なのか

この立法措置は、英国がサイバーリスクに対処する方法を大きく変えるものです。重要インフラ事業者の責任を、それを支えるサプライチェーン全体に拡大します。MSP、クラウドサービスプロバイダー、データセンター事業者、その他の ICT サプライヤーにとって、コンプライアンスはもはや自主的なものではなく、まもなく義務化されます。

この変化は、堅牢なサイバーセキュリティ実践への大きな需要を生む可能性があります。アクセス制御の強化、サプライチェーン監査、必須の脆弱性管理、サプライヤーのより厳格な監視などが求められます。現在、公共サービス事業者にサービスを提供している企業は、多大なコンプライアンス負担に直面するかもしれませんが、レジリエンスと信頼性で差別化を図る機会ともなり得ます。

国家安全保障の観点から、この法案は医療、交通、公共サービスなどの重要サービスを支えるデジタル基盤を強化することを目指しています。より多くのサプライヤーを規制監督下に置くことで、政府はランサムウェア攻撃、サプライチェーンマルウェア、その他の弱点を突く脅威に対する脆弱性を低減しようとしています。

デジタル経済の企業にとって、これはサイバーセキュリティがもはや任意ではなく、必須のコンプライアンス要件になることを意味します。最も準備が整った企業が、英国のデジタルの未来における信頼の基盤となり得るのです。