内閣府 パブコメ 重要電子計算機に対する不正な行為による被害の防止に関する法律施行令案 (2026.01.09)

こんにちは、丸山満彦です。

サイバー対処能力強化法に紐づく施行令案のパブコメです。

法の施行が10月1日からということが提案されています...

JPCEERT/CCの監事をしていますが、この施行令が確定しますと、JPCERT/CCもサイバー対処能力強化法の第41条と第42条第2項に関する事務が委託されることになりますね。。。ちなみに第37条に関する事務はNICTに委託されます。

第42条第1項に関する事務は、IPA、JPCERT/CC、NICTに委託ということになりますね...

---

重要電子計算機に対する不正な行為による被害の防止に関する法律

（事務の委託）

第七十二条　内閣総理大臣は、第三十七条に規定する事務（選別後通信情報を取り扱うものを除く。）又は第四十一条に規定する事務の一部を、情報処理推進機構その他当該事務について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人に委託することができる。

２　内閣総理大臣又は電子計算機等供給事業所管大臣は、第四十二条第一項に規定する事務の一部を、情報処理推進機構その他当該事務について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人に委託することができる。

....

（電子計算機を使用する者に対する周知等）

第四十一条　内閣総理大臣は、重要電子計算機に対する特定不正行為による被害の防止のため必要があると認めるときは、重要電子計算機を使用する者、重要電子計算機に対する特定不正行為に用いられるおそれのある電子計算機を使用する者その他の者に対し、周知等用総合整理分析情報を提供し、又はこれを公表その他の適切な方法により周知することができる。

（電子計算機等供給者に対する情報提供等）

第四十二条　内閣総理大臣又は重要電子計算機として用いられる電子計算機若しくは当該電子計算機に組み込まれるプログラム（以下この条において「電子計算機等」という。）の供給（電子計算機等を他人の情報処理の用に供する役務の提供を含む。以下この条において同じ。）を行う事業を所管する大臣（以下「電子計算機等供給事業所管大臣」という。）は、総合整理分析情報その他の情報により電子計算機等における脆ぜい弱性（電子計算機のサイバーセキュリティを害するおそれがある電子計算機又は電子計算機に組み込まれるプログラムに含まれる要因（当該電子計算機の通常予見される使用形態によらないことにより生ずるものを除く。）をいう。以下この条において同じ。）を認知したときは、必要に応じ、当該電子計算機等に係る電子計算機等供給者（電子計算機等の供給を行う者をいう。以下この条及び第四十五条第二項において同じ。）に対し当該電子計算機等における脆弱性に関する周知等用総合整理分析情報その他の情報（選別後通信情報又は秘密を含むものを除く。）を提供するとともに、当該情報又は当該脆弱性への対応方法について、公表その他の適切な方法により周知することができる。

---

ということで、パブコメ

● e-Gov

・2026.01.09 [PDF] 重要電子計算機に対する不正な行為による被害の防止に関する法律施行令案

---

政令第　号

重要電子計算機に対する不正な行為による被害の防止に関する法律施行令

内閣は、重要電子計算機に対する不正な行為による被害の防止に関する法律（令和七年法律第四十二号）第二条第二項各号、第七十二条第一項及び第二項並びに第七十四条第一項及び第三項の規定に基づき、この政令を制定する。

（重要電子計算機）

第一条　重要電子計算機に対する不正な行為による被害の防止に関する法律
（以下「法」という。）第二条第二項第一号の政令で定める電子計算機は、同号イからホまでに掲げる者が使用する電子計算機のうち、次に掲げるものとする。

一　法第二条第二項第一号イからホまでに掲げる者が同号に規定する重要情報（第四項において「重要情報」という。）を記録する電子計算機及び当該電子計算機と電気通信回線で直接又は間接に接続されている電子計算機

二　法第二条第二項第一号イからホまでに掲げる者の事務又は業務のために使用される情報システムの情報処理の用に供され、かつ、他の電子計算機と電気通信回線で直接又は間接に接続されている電子計算機（同号ロ及びニに掲げる者が使用する電子計算機にあっては、次に掲げる電子計算機に限る。）

イ　法第二条第二項第一号イに掲げる者が運用する情報システム、地方公共団体総合行政ネットワーク（全ての地方公共団体においてその使用する電子計算機を相互に電気通信回線で接続して情報の電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。）による流通及び情報処理を行うための情報通信ネットワークをいう。）、住民基本台帳法（昭和四十二年法律第八十一号）第三十条の十七第一項に規定する本人確認情報処理事務を処理するために設けられた情報システムであって地方公共団体情報システム機構が運用するもの又は地方税法（昭和二十五年法律第二百二十六号）第七百六十二条第一号に規定する地方税関係手続用電子情報処理組織に電気通信回線で直接又は間接に接続されている電子計算機

ロ　警察、消防又は防災に係る事務又は業務のために使用される情報システムの情報処理の用に供されている電子計算機

２　法第二条第二項第一号ホの政令で定める法人は、外国人育成就労機構、株式会社国際協力銀行、株式会社日本政策金融公庫、株式会社日本貿易保険、原子力損害賠償・廃炉等支援機構、国立健康危機管理研究機構、新関西国際空港株式会社、脱炭素成長型経済構造移行推進機構、地方公共団体金融機構、地方公共団体情報システム機構、地方税共同機構、日本銀行、日本下水道事業団、日本年金機構、農水産業協同組合貯金保険機構及び預金保険機構とする。

３　法第二条第二項第二号の政令で定める電子計算機は、経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律（令和四年法律第四十三号）第五十条第一項に規定する特定社会基盤事業者が使用する電子計算機のうち、次に掲げるものとする。

一　特定重要設備（経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律第五十条第一項に規定する特定重要設備をいう。以下この項において同じ。）である電子計算機又は特定重要設備の一部を構成する電子計算機

二　特定重要設備と電気通信回線で直接又は間接に接続されている電子計算機（前号に掲げる電子計算機を除く。）であって、当該特定重要設備に対し、当該特定重要設備の機能に影響を与える電磁的記録（法第二条第八項第二号に規定する電磁的記録をいう。次号において同じ。）を送信する機能を有するものとして主務省令（特別社会基盤事業所管大臣（法第四条第一項に規定する特別社会基盤事業所管大臣をいう。第三条第一項において同じ。）及び内閣総理大臣の発する命令をいう。次号において同じ。）で定めるもの

三　第一号に掲げる電子計算機（以下この号において「一号電子計算機」という。）による情報処理の用に供される電磁的記録を作成するために用いられる電子計算機（前二号に掲げる電子計算機を除く。）のうち、当該電磁的記録が一定の期間ごとに当該一号電子計算機に入力されるものであって、当該電磁的記録が当該一定の期間ごとに当該一号電子計算機に入力されなくなった場合には当該一号電子計算機に係る特定重要設備の機能が停止し、又は低下することとなるものとして主務省令で定めるもの

４　法第二条第二項第三号の政令で定める電子計算機は、同号に規定する事業者が使用する電子計算機のうち、重要情報を記録する電子計算機及び当該電子計算機と電気通信回線で直接又は間接に接続されている電子計算機とする。

（情報の整理及び分析等の事務を委託することができる法人）

第二条　法第七十二条第一項の政令で定める法人は、次の各号に掲げる委託を行う事務の区分に応じ、当該各号に定める法人とする。

一　法第三十七条に規定する事務（同条に規定する選別後通信情報を取り扱うものを除く。）　国立研究開発法人情報通信研究機構

二　法第四十一条に規定する事務　一般社団法人ＪＰＣＥＲＴコーディネーションセンター（平成十五年三月十八日に有限責任中間法人ＪＰＣＥＲＴコーディネーションセンターという名称で設立された法人をいう。）

２　法第七十二条第二項の政令で定める法人は、前項各号に定める法人とする。

（権限の委任）

第三条　法第五条の規定並びに法第六条、第九条及び第十条の規定（いずれも法第五条に係る部分に限る。）による特別社会基盤事業所管大臣の権限（次項及び第三項において「特定大臣権限」という。）のうち総務大臣に属する権限は、特別社会基盤事業者の事務所、事業所その他その事業を行う場所の所在地（以下この条において「特別社会基盤事業所在地」という。）を管轄する総合通信局長又は沖縄総合通信事務所長に委任する。ただし、総務大臣が自らその権限を行使することを妨げない。

２　特定大臣権限のうち経済産業大臣に属する権限は、特別社会基盤事業所在地を管轄する経済産業局長に委任する。ただし、経済産業大臣が自らその権限を行使することを妨げない。

３　特定大臣権限のうち国土交通大臣に属する権限は、特別社会基盤事業所在地を管轄する地方整備局長、北海道開発局長、地方運輸局長、運輸監理部長、運輸支局長又は地方航空局長に委任する。ただし、国土交通大臣が自らその権限を行使することを妨げない。

４　法第七十四条第二項の規定により金融庁長官に委任された権限のうち、法第五条の規定並びに法第六条、第九条及び第十条の規定（いずれも法第五条に係る部分に限る。）による権限は、特別社会基盤事業所在地を管轄する財務局長（特別社会基盤事業所在地が福岡財務支局の管轄区域内にある場合にあっては、福岡財務支局長）に委任する。ただし、金融庁長官が自らその権限を行使することを妨げない。

附則

（施行期日）

１　この政令は、法の施行の日（令和八年十月一日）から施行する。

（外国人育成就労機構に関する経過措置）

２　出入国管理及び難民認定法及び外国人の技能実習の適正な実施及び技能実習生の保護に関する法律の一部を改正する法律（令和六年法律第六十号）の施行の日の前日までの間における第一条第二項の規定の適用については、同項中「外国人育成就労機構、株式会社国際協力銀行」とあるのは、「株式会社国際協力銀行」とする。

---

参考

・[PDF] （参考）重要電子計算機に対する不正な行為による被害の防止に関する法律施行令案（概要）

・[PDF]（参考）重要電子計算機に対する不正な行為による被害の防止に関する法律の施行期日を定める政令案 

米国 NIST CAISI AIエージャントシステムのセキュリティ強化に関するRFI (2026.01.12)

こんにちは、丸山満彦です。

NIST CAISIがAIエージェントシステムのセキュリティ強化に関するRFIを公表していますね...

AI Agent システムが台頭し、実世界への影響増加しつつある一方、セキュリティ脅威の増加、米国経済競争力への懸念、公共安全とインフラリスク、技術標準の不足といった懸念事項があることが背景としてあるのでしょうかね...

要求事項の項目...

1. AIエージェントシステムに影響を与えるセキュリティ脅威、リスク、脆弱性
2. AIエージェントシステムのセキュリティ対策
3. AIエージェントシステムのセキュリティアセスメント
4. 展開環境の制限、変更、監視
5. 追加の考慮事項

常に先を見て行動できていますよね...

用語の定義がまず必要ですかね。。。AI Agent SystemはAgentic AIと同じ意味？それぞれの定義が曖昧なのでなんとも言えないような気もするけど...

きっと法律やガイドの作成、人間の関与の仕方、レッドチーミングテスト、インシデントデータベースなど、重要となってくるのかもしれません。。。早めに取り組まないとですね...

AIエージェントシステムが普及する世界というのは、（不確実性）ⁿのような世界になるような気がしますので、どのポイントで人間が関与していくのか？というのが重要な要素になるのではないかと思いました。

例えば、法的な面も含めていうと複数のAIシステムの連携が生じた場合の責任の分担もよく考えておく必要があります。例えば、XとYというAIシステムが協働して共通のアウトプットを出したことにより被害が生じた場合のXとYを管理している組織間の責任関係はどうなるのか？というのを考えた場合、XやYを使うためにどのような準備を必要かというのは重要な話かもしれません。。。

● NIST - CAISI

・2026.01.12 CAISI Issues Request for Information About Securing AI Agent Systems

CAISI Issues Request for Information About Securing AI Agent Systems	CAISI、AIエージェントシステムのセキュリティ強化に関する情報提供を要請
The Center for AI Standards and Innovation (CAISI) at the U.S. Department of Commerce’s National Institute of Standards and Technology (NIST) has published a Request for Information (RFI) seeking insights from industry, academia, and the security community regarding the secure development and deployment of AI agent systems.	米国商務省国立標準技術研究所（NIST）傘下のAI標準化・イノベーションセンター（CAISI）は、AIエージェントシステムの安全な開発・展開に関する業界、学界、セキュリティコミュニティからの知見を求める情報提供要請（RFI）を発表した。
AI agent systems are capable of planning and taking autonomous actions that impact real-world systems or environments. While these systems promise significant benefits for productivity and innovation, they present unique security challenges.	AIエージェントシステムは、現実世界のシステムや環境に影響を与える自律的な行動を計画・実行する能力を持つ。生産性やイノベーションに大きな利益をもたらす可能性を秘める一方で、独自のセキュリティ課題も提示している。
AI agent systems face a range of security threats and risks. Some risks overlap with other software systems, such as exploitable authentication or memory management vulnerabilities. This RFI, however, focuses on distinct risks that arise when combining AI model outputs with the functionality of software systems. This includes risks from models interacting with adversarial data (such as in indirect prompt injection), risks from the use of insecure models (such as models that have been subject to data poisoning), and risks that models may take actions that harm security even in the absence of adversarial inputs (such as models that exhibit specification gaming or otherwise pursue misaligned objectives). These security challenges not only hinder adoption today but may also pose risks for public safety and national security as AI agent systems become more widely deployed.	AIエージェントシステムは多様なセキュリティ脅威やリスクに直面している。認証やメモリ管理の脆弱性といった他のソフトウェアシステムと共通するリスクも存在する。しかし本RFIは、AIモデルの出力とソフトウェアシステムの機能を組み合わせる際に生じる特有のリスクに焦点を当てる。これには、敵対的データとの相互作用によるリスク（間接的プロンプト・インジェクションなど）、安全でないモデルの使用によるリスク（データ・ポイズニングを受けたモデルなど）、敵対的入力がなくてもセキュリティを損なう行動を取る可能性のあるモデルによるリスク（仕様ゲームを示すモデルや、目的がずれた目標を追求するモデルなど）が含まれる。これらのセキュリティ課題は、現在の導入を妨げるだけでなく、AIエージェントシステムの普及が進むにつれて公共の安全や国家安全保障へのリスクをもたらす可能性がある。
The RFI poses questions on topics including:	本RFIでは以下のテーマについて質問を提示する：
・Unique security threats affecting AI agent systems, and how these threats may change over time.	・AIエージェントシステムに影響を与える固有のセキュリティ脅威、およびこれらの脅威が時間とともにどのように変化するか。
・Methods for improving the security of AI agent systems in development and deployment.	・開発および展開段階におけるAIエージェントシステムのセキュリティを改善する方法。
・Promise of and possible gaps in existing cybersecurity approaches when applied to AI agent systems.	・既存のサイバーセキュリティ手法をAIエージェントシステムに適用した場合の有効性と潜在的な不足点。
・Methods for measuring the security of AI agent systems and approaches to anticipating risks during development.	・AIエージェントシステムのセキュリティを測定する方法と、開発段階におけるリスク予測の手法。
・Interventions in deployment environments to address security risks affecting AI agent systems, including methods to constrain and monitor the extent of agent access in the deployment environment.	・AIエージェントシステムに影響するセキュリティリスクに対処するための展開環境における介入策。これには展開環境内でのエージェントアクセス範囲を制限・監視する方法も含まれる。
Input from AI agent deployers, developers, and computer security researchers, among others, will inform future work on voluntary guidelines and best practices related to AI agent security. It will also contribute to CAISI’s ongoing research and evaluations of agent security. Respondents are encouraged to provide concrete examples, best practices, case studies and actionable recommendations based on their experience with AI agent systems. The full RFI can be found here.	AIエージェントの展開担当者、開発者、コンピュータセキュリティ研究者などからの意見は、AIエージェントセキュリティに関する自主的ガイドラインとベストプラクティスの将来的な作業に反映される。また、CAISIによるエージェントセキュリティの継続的な研究と評価にも寄与する。回答者は、AIエージェントシステムに関する自身の経験に基づき、具体的な事例、ベストプラクティス、ケーススタディ、実行可能な提言を提供するよう奨励される。RFI全文はこちらで閲覧可能である。

● Federal Register

・2026.01.12 Request for Information Regarding Security Considerations for Artificial Intelligence Agents

Request for Information Regarding Security Considerations for Artificial Intelligence Agents	人工知能エージェントのセキュリティ考慮事項に関する情報提供要請
AGENCY:	機関：
Center for AI Standards and Innovation (CAISI), National Institute of Standards and Technology (NIST), U.S. Department of Commerce.	米国商務省 国立標準技術研究所（NIST）内 人工知能標準・イノベーションセンター（CAISI）
ACTION:	措置：
Notice; request for information (RFI).	通知；情報提供要請（RFI）。
SUMMARY:	概要：
The Center for AI Standards and Innovation (CAISI), housed within the National Institute of Standards and Technology (NIST) at the Department of Commerce, is seeking information and insights from stakeholders on practices and methodologies for measuring and improving the secure development and deployment of artificial intelligence (AI) agent systems. AI agent systems are capable of taking autonomous actions that impact real-world systems or environments, and may be susceptible to hijacking, backdoor attacks, and other exploits. If left unchecked, these security risks may impact public safety, undermine consumer confidence, and curb adoption of the latest AI innovations. We encourage respondents to provide concrete examples, best practices, case studies, and actionable recommendations based on their experience developing and deploying AI agent systems and managing and anticipating their attendant risks. Responses may inform CAISI's work evaluating the security risks associated with various AI capabilities, assessing security vulnerabilities of AI systems, developing evaluation and assessment measurements and methods, generating technical guidelines and best practices to measure and improve the security of AI systems, and other activities related to the security of AI agent systems.	商務省国立標準技術研究所（NIST）内に設置された人工知能標準・イノベーションセンター（CAISI）は、人工知能（AI）エージェントシステムの安全な開発・展開を測定・改善するための実践手法と方法論について、関係者からの情報と知見を求めている。AIエージェントシステムは、現実世界のシステムや環境に影響を与える自律的な行動を取ることが可能であり、ハイジャック、バックドア攻撃、その他の悪用に対して脆弱である可能性がある。これらのセキュリティリスクが放置されれば、公共の安全に影響を与え、消費者の信頼を損ない、最新のAIイノベーションの採用を阻害する恐れがある。回答者には、AIエージェントシステムの開発・展開経験、および付随するリスクマネジメントに基づく具体的な事例、ベストプラクティス、ケーススタディ、実行可能な提言を提供するよう促す。回答内容は、CAISIの以下の活動に資する可能性がある：各種AI機能に関連するセキュリティリスクの評価、AIシステムのセキュリティ脆弱性の評価、アセスメント・測定手法の開発、AIシステムのセキュリティ測定・改善のための技術ガイドライン及びベストプラクティスの策定、その他AIエージェントシステムのセキュリティ関連活動。
DATES:	提出期限：
Comments containing information in response to this notice must be received on or before March 9, 2026, at 11:59 p.m. Eastern Time. Submissions received after that date may not be considered.	本通知への回答情報を含むコメントは、2026年3月9日午後11時59分（東部時間）までに受理されなければならない。この期限後に受理された提出物は考慮されない可能性がある。
ADDRESSES:	提出先：
Comments must be submitted electronically via the Federal e-Rulemaking Portal.	コメントは連邦電子規則制定ポータル（Federal e-Rulemaking Portal）経由で電子的に提出しなければならない。
...	...
SUPPLEMENTARY INFORMATION:	補足情報：
Authority	法的根拠
This RFI advances NIST's activities to support measurement research and development of best practices for artificial intelligence systems, including their safety and robustness to adversarial attacks (15 U.S.C. 278h-1(b)). It is consistent with NIST's functions to, inter alia, compile data, provide a clearinghouse of scientific information, and assist industry in improving product quality (15 U.S.C. 272(b-c)).	本RFIは、人工知能システムの安全性及び敵対的攻撃に対する堅牢性を含む、最良の実践手法の測定研究開発を支援するNISTの活動を推進するものである（15 U.S.C. 278h-1(b)）。これは、NISTがデータを収集し、科学情報の交換拠点を提供し、産業の製品品質向上を支援するなどの機能（15 U.S.C. 272(b-c)）と整合するものである。
Background	背景
AI agent systems are capable of planning and taking autonomous actions that impact real-world systems or environments. AI agent systems consist of at least one generative AI model and scaffolding software that equips the model with tools to take a range of discretionary actions. These systems may be more expansive, containing multiple sub-agents with software that orchestrates their interactions. They can be deployed with little to no human oversight. Other terms used to refer to AI agent systems include AI agents and agentic AI. Challenges to the security of AI agent systems may undermine their reliability and lessen their utility, stymieing widespread adoption that would otherwise advance U.S. economic competitiveness. Further, security vulnerabilities may pose future risks to critical infrastructure or catastrophic harms to public safety ( i.e., through chemical, biological, radiological, nuclear, and explosive (CBRNE) weapons development and use or other analogous threats).	AIエージェントシステムは、現実世界のシステムや環境に影響を与える自律的な行動を計画し実行する能力を有する。AIエージェントシステムは、少なくとも1つの生成的AIモデルと、モデルに様々な裁量行動を実行する手段を提供する足場ソフトウェアで構成される。これらのシステムはより大規模になり、相互作用を調整するソフトウェアを備えた複数のサブエージェントを含む場合もある。人間の監視がほとんど、あるいは全くない状態で展開される可能性がある。AIエージェントシステムを指す他の用語には、AIエージェントやエージェント型AIがある。AIエージェントシステムのセキュリティ上の課題は、その信頼性を損ない有用性を低下させる恐れがある。これにより、米国経済の競争力向上に寄与するはずの普及が阻害される。さらに、セキュリティ上の脆弱性は将来的に重要インフラへのリスクや、化学・生物・放射性物質・核・爆発物（CBRNE）兵器の開発・使用や類似の脅威を通じた公共安全への壊滅的被害をもたらす可能性がある。
Deployed AI agent systems may face a range of security threats and risks. Some of these risks are shared with other kinds of software systems, such as exploitable vulnerabilities in authentication mechanisms or memory management processes. This Request for Information, however, focuses instead on the novel risks that arise from the use of machine learning models embedded within AI agent systems. Within this category are: (1) security risks that arise from adversarial attacks at either training or inference time, when models may interact with potentially adversarial data ( e.g., indirect prompt injection) or may be compromised by data poisoning; (2) security risks posed by models with intentionally placed backdoors; and (3) the risk that the behavior of uncompromised models may nonetheless pose a threat to confidentiality, availability, or integrity ( e.g., models that exhibit specification gaming or otherwise pursue misaligned objectives). Organizations have begun to implement technical controls, processes, and other mitigations for the security risks posed by their AI agent systems. In some cases, mitigations draw on cybersecurity best practices, including implementing systems according to the principle of least privilege and designing systems with a zero trust architecture. In other cases, risks are addressed with novel approaches, including instruction hierarchy and agent design patterns with trusted models.	展開されたAIエージェントシステムは、様々なセキュリティ脅威やリスクに直面する可能性がある。認証メカニズムやメモリ管理プロセスにおける悪用可能な脆弱性など、他のソフトウェアシステムと共通するリスクも存在する。しかし本情報提供要請（RFI）は、AIエージェントシステムに組み込まれた機械学習モデルの使用から生じる新たなリスクに焦点を当てる。このカテゴリーには以下が含まれる：(1) モデルが潜在的に敵対的なデータ（例：間接的プロンプト・インジェクション）と相互作用する可能性のある、あるいはデータ・ポイズニングによって侵害される可能性がある、訓練時または推論時における敵対的攻撃から生じるセキュリティリスク； (2) 意図的にバックドアを仕込まれたモデルがもたらすセキュリティリスク；(3) 侵害されていないモデルの動作が、機密性・可用性・完全性に対する脅威となるリスク（仕様の悪用や目標の乖離を示すモデルなど）。組織は、AIエージェントシステムがもたらすセキュリティリスクに対して、技術的制御、プロセス、その他の緩和策を導入し始めている。場合によっては、最小権限の原則に基づくシステム実装やゼロトラストアーキテクチャ設計といったサイバーセキュリティのベストプラクティスを活用する。また、信頼できるモデルを用いた命令階層やエージェント設計パターンといった新たな手法でリスクに対処するケースもある。
NIST conducts research and develops guidelines to promote safe and secure AI innovation and adoption. Research by CAISI technical staff [1] has demonstrated risks of agent hijacking. NIST has also produced resources on this topic including NIST AI 100-2e2025 [2] that provides a taxonomy of attacks and mitigations in adversarial machine learning generally; the NIST AI Risk Management Framework,[3] which describes and discusses “secure and resilient” AI and includes subcategories for security assessment within the Measure function; NIST's companion Risk Management Framework: Generative AI Profile,[4] which provides further context and considerations for “information security” and associated risks with generative AI, applicable to this RFI; and NIST AI 800-1 [5] that provides guidelines for AI developers to manage risks including the misuse of AI agent systems for offensive cybersecurity operations. In addition, NIST SP 800-218A [6] provides a profile for the secure development of generative AI, and NIST SP 800-53 [7] provides a glossary of relevant terms and a catalog of security and privacy controls for information systems generally.	NISTは安全でセキュアなAIの革新と普及を促進するため、研究を実施しガイドラインを開発している。CAISI技術スタッフによる研究[1]は、エージェント乗っ取りのリスクを実証している。NISTもこのテーマに関する資料を作成しており、具体的には：・敵対的機械学習全般における攻撃手法と緩和の分類を提供する「NIST AI 100-2e2025」[2]・「安全かつレジリエンスのある」AIを定義・論じ、測定機能内のセキュリティ評価サブカテゴリーを含む「NIST AIリスクマネジメント枠組み」[3] NISTの関連文書である「リスクマネジメント枠組み：生成的AIプロファイル」[4]は、生成的AIに関連する「情報セキュリティ」とリスクについて、本RFIに適用可能な追加的な文脈と考慮事項を提供する。また「NIST AI 800-1」[5]は、攻撃的なサイバーセキュリティ活動におけるAIエージェントシステムの悪用を含むリスクマネジメントのためのガイドラインをAI開発者に提供する。さらに、NIST SP 800-218A[6]は生成的AIの安全な開発プロファイルを提供し、NIST SP 800-53[7]は関連用語集と情報システム全般向けのセキュリティ・プライバシー制御カタログを提供する。
Request for Information	情報提供要請
This RFI seeks information that can support secure innovation and adoption of AI agent systems. It invites stakeholders—particularly AI agent developers, deployers, and computer security researchers—to share insights on the secure development and deployment of AI agent systems. Such information should be scoped to the security of AI agent systems capable of taking actions that affect external state, i.e., persistent changes outside of the AI agent system itself. Unless contextualized to impact the security of agent systems directly, this RFI does not seek general information on generative AI security, insights on practices for AI chatbots or retrieval-augmented generation systems that are not orchestrated to act autonomously, or feedback on the misuse of AI agent systems to carry out cyberattacks.	本RFIは、AIエージェントシステムの安全な革新と展開を支援する情報を求めるものである。特にAIエージェント開発者、展開者、コンピュータセキュリティ研究者といった関係者に、AIエージェントシステムの安全な開発・展開に関する知見の共有を呼びかける。提供される情報は、外部状態（すなわちAIエージェントシステム自体以外の永続的な変化）に影響を与える行動を実行可能なAIエージェントシステムのセキュリティに焦点を当てるべきである。本RFIは、エージェントシステムのセキュリティに直接影響する文脈に限定され、生成的AIのセキュリティに関する一般的な情報、自律的に動作するよう設計されていないAIチャットボットや検索拡張生成システムの実践に関する知見、あるいはAIエージェントシステムを悪用したサイバー攻撃の実行に関するフィードバックは対象外とする。
NIST is requesting that respondents provide information on the topics below. NIST has provided this non-exhaustive list of topics and accompanying questions to guide respondents, and the submission of any relevant information germane to the subject but that is not included in the list of topics below is also encouraged. NIST will consider all relevant comments received during the public comment period. Respondents need not address all questions in this RFI, though all responses should specify which questions are being answered. For respondents with limited bandwidth, please prioritize questions 1(a), 1(d), 2(a), 2(e), 3(a), 3(b), 4(a), 4(b), and 4(d). All relevant responses that comply with the requirements listed in the DATES and ADDRESSES sections of this RFI will be considered.	NISTは回答者に対し、下記のトピックに関する情報の提供を求めている。NISTは回答者の指針として、この網羅的ではないトピックリストと付随する質問を提供している。下記のトピックリストに含まれていないが主題に関連する情報の提出も奨励する。NISTはパブリックコメント期間中に受け取った全ての関連コメントを検討する。回答者は本RFIの全質問に回答する必要はないが、回答する質問を明記すべきである。回答に制限がある場合は、質問1(a)、1(d)、2(a)、2(e)、3(a)、3(b)、4(a)、4(b)、4(d)を優先的に回答すること。本RFIの「提出期限」及び「提出先」セクションに記載された要件を満たす関連回答は全て考慮される。
1. Security Threats, Risks, and Vulnerabilities Affecting AI Agent Systems	1. AIエージェントシステムに影響を与えるセキュリティ脅威、リスク、脆弱性
(a) What are the unique security threats, risks, or vulnerabilities currently affecting AI agent systems, distinct from those affecting traditional software systems?	(a) 従来のソフトウェアシステムに影響を与えるものとは異なる、AIエージェントシステムに現在影響を与えている特有のセキュリティ脅威、リスク、脆弱性は何であるか。
(b) How do security threats, risks, or vulnerabilities vary by model capability, agent scaffold software, tool use, deployment method (including internal vs. external deployment), hosting context (including components on premises, in the cloud, or at the edge), use case, and otherwise?	(b) セキュリティ脅威、リスク、脆弱性は、モデルの能力、エージェント足場ソフトウェア、ツール使用、展開方法（内部展開と外部展開を含む）、ホスティング環境（オンプレミス、クラウド、エッジ上のコンポーネントを含む）、ユースケース、その他の要素によってどのように異なるか？
(c) To what extent are security threats, risks, or vulnerabilities affecting AI agent systems creating barriers to wider adoption or use of AI agent systems?	(c) AIエージェントシステムに影響を与えるセキュリティ脅威、リスク、脆弱性は、どの程度、AIエージェントシステムの普及や利用の障壁となっているか？
(d) How have these threats, risks, or vulnerabilities changed over time? How are they likely to evolve in the future?	(d) これらの脅威、リスク、脆弱性は時間とともにどのように変化してきたか？将来どのように進化する可能性が高いか？
(e) What unique security threats, risks, or vulnerabilities currently affect multi-agent systems, distinct from those affecting singular AI agent systems?	(e) 単一のAIエージェントシステムに影響を与えるものとは異なり、現在マルチエージェントシステムに影響を与える固有のセキュリティ脅威、リスク、脆弱性は何であるか？
2. Security Practices for AI Agent Systems	2. AIエージェントシステムのセキュリティ対策
(a) What technical controls, processes, and other practices could ensure or improve the security of AI agent systems in development and deployment? What is the maturity of these methods in research and in practice? Categories may include:	(a) 開発および展開段階におけるAIエージェントシステムのセキュリティを確保または改善するための技術的制御、プロセス、その他の実践は何であるか？これらの手法は研究と実践においてどの程度の成熟度に達しているか。カテゴリーには以下が含まれる：
i. Model-level controls, such as measures to enhance model robustness to prompt injections;	i. プロンプト・インジェクションに対するモデルの頑健性を高める対策など、モデルレベルの制御。
ii. Agent system-level controls, such as prompt engineering, data or tool restrictions, and continuous monitoring methods;	ii. プロンプトエンジニアリング、データやツールの制限、継続的監視手法など、エージェントシステムレベルの制御。
iii. Human oversight controls, such as approvals for consequential actions, management of sensitive and untrusted data, network access permissions, or other controls.	iii. 重大な行動に対する承認、機密性・信頼性の低いデータの管理、ネットワークアクセス権限、その他の制御など、人間の監視による制御。
(b) To what degree, if any, could the effectiveness of technical controls, processes, and other practices vary with changes to model capability, agent scaffold software, tool use, deployment method (including internal vs. external deployment), use case, use in multi-agent systems, and otherwise?	(b) 技術的制御、プロセス、その他の実践の有効性は、モデル能力、エージェント基盤ソフトウェア、ツール使用、展開方法（内部展開と外部展開を含む）、ユースケース、マルチエージェントシステムでの使用、その他の変化に伴い、どの程度変動する可能性があるか？
(c) How might technical controls, processes, and other practices need to change, in response to the likely future evolution of AI agent system capabilities or of the threats, risks, or vulnerabilities facing them?	(c) AIエージェントシステムの能力、またはそれらに対する脅威・リスク・脆弱性の将来的な進化に対応するため、技術的制御、プロセス、その他の実践はどのように変更する必要があるか？
(d) What are the methods, risks, and other considerations relevant for patching or updating AI agent systems throughout the lifecycle, as distinct from those affecting both traditional software systems and non-agentic AI?	(d) 従来のソフトウェアシステムや非エージェント型AIに影響するものと区別して、AIエージェントシステムのライフサイクル全体を通じたパッチ適用や更新に関連する手法、リスク、その他の考慮事項は何か。
(e) Which cybersecurity guidelines, frameworks, and best practices are most relevant to the security of AI agent systems?	(e) AIエージェントシステムのセキュリティに最も関連性の高いサイバーセキュリティガイドライン、枠組み、ベストプラクティスは何か。
i. What is the extent of adoption by AI agent system developers and deployers of these relevant guidelines, frameworks, and best practices?	i. AIエージェントシステムの開発者や展開者が、これらの関連ガイドライン、枠組み、ベストプラクティスをどの程度採用しているか。
ii. What are impediments, challenges, or misconceptions about adopting these kinds of guidelines, frameworks, or best practices?	ii. この種のガイドライン、枠組み、ベストプラクティスの採用における障害、課題、誤解は何か？
iii. Are there ways in which existing cybersecurity best practices may not be appropriate for the security of AI agent systems?	iii. 既存のサイバーセキュリティベストプラクティスがAIエージェントシステムのセキュリティに不適切な点は存在するか？
3. Assessing the Security of AI Agent Systems	3. AIエージェントシステムのセキュリティアセスメント
(a) What methods could be used during AI agent systems development to anticipate, identify, and assess security threats, risks, or vulnerabilities?	(a) AIエージェントシステム開発中に、セキュリティ上の脅威、リスク、脆弱性を予測、識別、アセスメントするために使用できる手法は何か？
i. What methods could be used to detect security incidents after an AI agent system has been deployed?	i. AIエージェントシステム展開後、セキュリティインシデントを検知するためにどのような方法が用いられるか？
ii. How do these align (or differ) from traditional information security practices, including supply chain security?	ii. これらはサプライチェーンセキュリティを含む従来の情報セキュリティ慣行とどのように整合（または相違）するか？
iii. What is the maturity of these methods in research and applied use?	iii. これらの方法の研究および応用における成熟度はどうか？
iv. What resources or information would be useful for anticipating, identifying, and assessing security threats, risks, or vulnerabilities?	iv. セキュリティ上の脅威、リスク、脆弱性を予測、識別、アセスメントするために有用なリソースや情報は何であるか？
(b) Not all security threats, risks, or vulnerabilities are necessarily applicable to every AI agent system; how could the security of a particular AI agent system be assessed and what types of information could help with that assessment?	(b) すべてのセキュリティ脅威、リスク、脆弱性が必ずしも全てのAIエージェントシステムに適用されるわけではない。特定のAIエージェントシステムのセキュリティアセスメントを行う方法と、そのアセスメントに役立つ情報の種類は何か？
(c) What documentation or data from upstream developers of AI models and their associated components might aid downstream providers of AI agent systems in assessing, anticipating, and managing security threats, risks, or vulnerabilities in deployed AI agent systems?	(c) AIモデル及び関連コンポーネントの上流開発者から得られる文書やデータは、下流のAIエージェントシステムプロバイダが展開済みシステムのセキュリティ脅威、リスク、脆弱性を評価・予測・管理する上で、どのような支援が可能か？
i. Does this data or documentation vary between open-source and closed-source AI models and AI agent systems, and if so, how?	i. このデータや文書は、オープンソースとクローズドソースのAIモデルおよびAIエージェントシステム間で異なるのか。異なる場合、その違いは何か。
ii. What kinds of disclosures (if made mandatory or public) could potentially create new vulnerabilities?	ii. どのような開示（義務化または公開された場合）が新たな脆弱性を生み出す可能性があるか。
iii. How should such, if any, disclosures be kept secure between parties to protect system integrity?	iii. システム完全性を保護するため、そのような開示（存在する場合）を当事者間で安全に保持するにはどうすべきか。
(d) What is the state of practice for user-facing documentation of AI agent systems that support secure deployment?	(d) 安全な展開を支援するAIエージェントシステムのユーザー向け文書の現状はどうか。
4. Limiting, Modifying, and Monitoring Deployment Environments	4. 展開環境の制限、変更、監視
(a) AI agent systems may be deployed in a variety of environments, i.e., locations where the system's actions take place. In what manner and by what technical means could the access to or extent of an AI agent system's deployment environment be constrained?	(a) AIエージェントシステムは様々な環境、すなわちシステムの動作が行われる場所に展開される可能性がある。AIエージェントシステムの展開環境へのアクセスや範囲を、どのような方法と技術的手段で制限できるか？
(b) How could virtual or physical environments be modified to mitigate security threats, risks, or vulnerabilities affecting AI agent systems? What is the state of applied use in implementing undoes, rollbacks, or negations for unwanted actions or trajectories (sequences of actions) of a deployed AI agent system?	(b) AIエージェントシステムに影響を与えるセキュリティ脅威、リスク、脆弱性を緩和するため、仮想環境や物理環境をどのように変更できるか？展開済みAIエージェントシステムの望ましくない行動や軌跡（行動の連鎖）に対する取り消し、ロールバック、否定機能の実装における応用利用の現状はどうか？
(c) What is the state of managing risks associated with interactions between AI agent systems and counterparties? Practices, their adoption, and their relative maturity may differ according to the counterparty in the interaction, including:	(c) AIエージェントシステムと相手方との相互作用に関連するリスクマネジメントの現状はどうか？実践内容、その採用状況、相対的な成熟度は、相互作用における相手方によって異なる可能性がある。具体的には：
i. Interactions with humans who are not using the AI agent system directly;	i. AIエージェントシステムを直接使用していない人間との相互作用；
ii. Interactions with digital resources, including web services, servers, and legacy systems;	ii. ウェブサービス、サーバー、レガシーシステムを含むデジタルリソースとの相互作用
iii. Interactions with mechanical systems, machinery, or Internet-of-Things (IoT);	iii. 機械システム、機械装置、またはモノのインターネット（IoT）との相互作用
iv. Interactions with authentication mechanisms, operating system access, source code access, or similar network-level access vectors;	iv. 認証メカニズム、オペレーティングシステムへのアクセス、ソースコードへのアクセス、または類似のネットワークレベルアクセスベクトルとの相互作用
v. Interactions with other AI agent systems.	v. 他のAIエージェントシステムとの相互作用
(d) What methods could be used to monitor deployment environments for security threats, risks, or vulnerabilities?	(d) セキュリティ上の脅威、リスク、脆弱性に対して展開環境を監視するために、どのような方法が使用できるか？
i. What challenges exist to deploying traditional methods of monitoring threats, risks, or vulnerabilities?	i. 脅威、リスク、脆弱性を監視する従来の方法を展開する際に、どのような課題が存在するか？
ii. Are there legal and/or privacy challenges to monitoring deployment environments for security threats, risks, or vulnerabilities?	ii. セキュリティ上の脅威、リスク、脆弱性に対して展開環境を監視することに関して、法的および／またはプライバシー上の課題は存在するか？
iii. What is the maturity of these methods in research and practice?	iii. これらの方法は、研究および実践においてどの程度の成熟度にあるか？
(e) Are current AI agent systems widely deployed on the open internet, or in otherwise unbounded environments? How could the volume of traffic be tracked on the open internet or in otherwise unbounded environments over time?	(e) 現在のAIエージェントシステムは、オープンインターネットやその他の無制限環境に広く展開されているか？オープンインターネットやその他の無制限環境におけるトラフィック量を、時間経過とともに追跡する方法は何か？
5. Additional Considerations	5. 追加の考慮事項
(a) What methods, guidelines, resources, information, or tools would aid the AI ecosystem in the rapid adoption of security practices affecting AI agent systems and promoting the ecosystem of AI agent system security innovation?	(a) AIエージェントシステムに影響を与えるセキュリティ慣行の迅速な採用と、AIエージェントシステムセキュリティイノベーションのエコシステム促進に役立つ方法、ガイドライン、リソース、情報、またはツールは何か？
(b) In which policy or practice areas is government collaboration with the AI ecosystem most urgent or most likely to lead to improvements in the state of security of AI agent systems today and into the future?	(b) 政府とAIエコシステムとの連携が、現在および将来のAIエージェントシステムのセキュリティ状態の改善に最も緊急性が高く、あるいは最も効果的であると思われる政策または実践分野はどこか？
(c) In which critical areas should research be focused to improve the current state of security practices affecting AI agent systems?	(c) AIエージェントシステムに影響を与える現行のセキュリティ実践を改善するために、研究を集中させるべき重要な分野はどこか？
i. Where should future research be directed in order to unlock the benefits of adoption of secure and resilient AI agent systems?	i. 安全でレジリエンスのあるAIエージェントシステムの導入による利点を解き放つために、将来の研究はどこに向けるべきか？
ii. Which research approaches should be prioritized to advance the scientific understanding and mitigation of security threats, risks, and vulnerabilities affecting AI agent systems?	ii. AIエージェントシステムに影響するセキュリティ脅威、リスク、脆弱性の科学的理解と緩和を進めるため、どの研究アプローチを優先すべきか？
(d) How are other countries addressing these challenges and what are the benefits and drawbacks of their approaches?	(d) 他国はこれらの課題にどう対処しているか？そのアプローチの長所と短所は何か？
(e) Are there practices, norms, or empirical insights from fields outside of artificial intelligence and cybersecurity that might benefit our understanding or assessments of the security of AI agent systems?	(e) AIやサイバーセキュリティ以外の分野から、AIエージェントシステムのセキュリティ理解やアセスメントに有益な実践、規範、実証的知見は存在するか？
Footnotes	脚注
1. Technical Blog: Strengthening AI Agent Hijacking Evaluations, [web]	1. 技術ブログ：AIエージェント乗っ取り評価の強化、[web]
2. Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations (NIST AI 100-2e2025), [web]	2. 敵対的機械学習：攻撃と緩和策の分類と用語集（NIST AI 100-2e2025）、[web]
3. Artificial Intelligence Risk Management Framework (NIST AI 100-1), [pdf]	3. 人工知能リスクマネジメント枠組み（NIST AI 100-1）、 [pdf]
4. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1), [pdf]	4. 人工知能リスクマネジメント枠組み：生成的人工知能プロファイル（NIST AI 600-1）、[pdf]
5. Managing Misuse Risk for Dual-Use Foundation Models (NIST AI 800-1 2pd), [pdf]	5. 二重用途基盤モデルの悪用リスクマネジメント（NIST AI 800-1 2pd）、[pdf]
6. Secure Software Development Practices for Generative AI and Dual-Use Foundation Models: An SSDF Community Profile (NIST SP 800-218), [web]	6. 生成的AI及びデュアルユース基盤モデルのためのセキュアなソフトウェア開発実践：SSDFコミュニティプロファイル（NIST SP 800-218）、[web]。
7. Security and Privacy Controls for Information Systems and Organizations (NIST SP 800-53 Rev. 5), [web].	7. 情報システム及び組織のためのセキュリティ及びプライバシー管理（NIST SP 800-53 Rev. 5）、[web]。
Alicia Chambers,	アリシア・チェンバース
NIST Executive Secretariat.	NIST 事務局長
[FR Doc. 2026-00206 Filed 1-7-26; 8:45 am]	[FR Doc. 2026-00206 提出日 1-7-26; 午前8時45分]
BILLING CODE 3510-13-P	請求コード 3510-13-P

中国 パブコメ インターネットアプリケーション個人情報取得・利用規定 (2026.01.10)

こんにちは、丸山満彦です。

インターネットアプリケーション(App)（スマート端末にプリインストールされ、ダウンロード・インストールされるアプリケーションソフトウェア、及びアプリケーションソフトウェアのオープンプラットフォームインターフェースに基づいて開発され、インストール不要で使用可能なミニアプリ、クイックアプリ等を）における個人情報の取得・利用活動を規範化するものということのようです...

内容としては、

• 第 1 章 総則: 目的、適用範囲、基本原則など、規定全体の基本的な事項を規定
• 第 2 章 インターネットアプリケーション運営安全管理要求: App 運営者が遵守すべき具体的な安全管理要件を規定。告知と同意、最小限の取得、ユーザーの権利、SDK の管理など、App 運営者の義務が詳細に規定
• 第 3 章 ソフトウェア開発ツール包運営安全管理要求: SDK 運営者が遵守すべき安全管理要件を規定
• 第 4 章 アプリケーション配布プラットフォーム安全管理要求: アプリストアなどの配布プラットフォームが遵守すべき安全管理要件を規定
• 第 5 章 スマート端末安全管理要求: スマートフォンの製造業者などが遵守すべき安全管理要件を規定
• 第 6 章 監督管理: 監督管理部門の権限、App 運営者の協力義務など、監督管理に関する事項を規定
• 第 7 章 附則: 用語の定義、施行日など、規定の解釈・適用に関する補足的な事項を規定

このような規制を作る背景としては、App等を通じた過度な（不必要な）個人情報の取得（バックグラウンドでの情報取得含む）、強制的な同意（長ーい同意文を読ませて、同意しないとアプリを使わせないとか。。。）、個人データの違法な利用や越境移転、安全管理不足（暗号化しない）などの事案があったからのようです...

細かく決めているという点では日本よりも細かい欧州以上かもしれませんが、それでも中国は日本よりもどんどん新しい産業がでてきいるようにも思います。

日本でそのまま適用しても問題なさそうな感じかもですね...

● 国家互联网信息办公室（国家サイバースペース管理局）

・2026.01.10 

国家互联网信息办公室关于《互联网应用程序个人信息收集使用规定（征求意见稿）》公开征求意见的通知	国家サイバースペース管理局による「インターネットアプリケーション個人情報取得・利用規定（意見募集稿）」の公開意見募集に関する通知
互联网应用程序个人信息收集使用规定	インターネットアプリケーション個人情報取得・利用規定
（征求意见稿）	（意見募集稿）
第一章 总则	第一章 総則
第一条 为了规范互联网应用程序个人信息收集使用活动，保护个人信息权益，促进个人信息合理利用，根据《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规，制定本规定。	第一条 インターネットアプリケーションにおける個人情報の取得・利用活動を規範化し、個人情報の権利を保護し、個人情報の合理的な利用を促進するため、「中華人民共和国サイバーセキュリティ法」「中華人民共和国個人情報保護法」「ネットワークデータ安全管理条例」等の法律・法規に基づき、本規定を制定する。
第二条 在中华人民共和国境内运营互联网应用程序过程中收集使用个人信息，以及软件开发工具包、分发平台、智能终端等为互联网应用程序收集使用个人信息活动提供服务的，应当遵守相关法律法规和本规定的要求。	第二条 中華人民共和国国内においてインターネットアプリケーションを運営する際の個人情報の取得・利用、及びソフトウェア開発キット、配信プラットフォーム、スマート端末等がインターネットアプリケーションの個人情報取得・利用活動にサービスを提供する場合、関連法令及び本規定の要求を遵守しなければならない。
互联网应用程序在中华人民共和国境外收集使用中华人民共和国境内自然人个人信息的活动，符合《中华人民共和国个人信息保护法》第三条第二款规定情形的，适用本规定。	インターネットアプリケーションが中華人民共和国国外において中華人民共和国内の自然人の個人情報を取得・利用する活動は、「中華人民共和国個人情報保護法」第三条第二項に規定する状況に該当する場合、本規定を適用する。
第三条 收集使用个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式收集使用个人信息。	第三条 個人情報の取得及び利用は、合法性、正当性、必要性及び誠実性の原則に従わなければならない。誤解を招く行為、詐欺、脅迫等の方法による個人情報の取得及び利用は禁止される。
收集使用个人信息应当向个人信息主体充分告知收集使用规则，并取得个人信息主体同意；收集使用敏感个人信息的，应当取得个人信息主体的单独同意。法律、行政法规另有规定的，依照其规定。	個人情報の取得及び利用に際しては、個人情報主体に対し取得・利用規則を十分に告知し、その同意を得なければならない。機微な個人情報を取得・利用する場合は、個人情報主体の別途の同意を得なければならない。法律・行政法規に別段の定めがある場合は、その規定に従う。
收集使用个人信息应当采取对个人信息主体权益影响最小的方式，限于提供产品或者服务所必需，不得超范围收集使用个人信息。	個人情報の取得及び利用は、個人情報主体の権益への影響を最小限とする方法を採用し、製品またはサービスの提供に必要最小限の範囲に限定し、範囲を超えた取得及び利用をしてはならない。
不得以个人信息主体不同意收集使用其个人信息或者撤回同意为由，拒绝提供产品或者服务，个人信息属于提供产品或者服务所必需的除外。	個人情報主体が個人情報の取得及び利用に同意しないこと、または同意を撤回したことを理由として、製品またはサービスの提供を拒否してはならない。ただし、当該個人情報が製品またはサービスの提供に必要不可欠な場合はこの限りではない。
第四条 互联网应用程序、软件开发工具包运营者分别对所运营的互联网应用程序、软件开发工具包个人信息收集使用活动及安全保护承担主体责任。	第四条 インターネットアプリケーション及びソフトウェア開発キットの運営者は、それぞれが運営するインターネットアプリケーション及びソフトウェア開発キットにおける個人情報の取得・利用活動及び安全保護について主体責任を負う。
互联网应用程序运营者对嵌入的软件开发工具包、分发平台运营者对分发的互联网应用程序、智能终端厂商对预置的互联网应用程序依法履行审核义务。未能进行有效审核，对个人信息主体权益造成损害的，依法承担相应责任。	インターネットアプリケーション運営者は組み込まれたソフトウェア開発キットに対し、配布プラットフォーム運営者は配布するインターネットアプリケーションに対し、スマート端末メーカーはプリインストールされたインターネットアプリケーションに対し、法に基づき審査義務を履行する。有効な審査が行われず、個人情報主体の権益に損害を与えた場合、法に基づき相応の責任を負う。
第五条 互联网应用程序、软件开发工具包、分发平台运营者和智能终端厂商对汇聚、关联后属于国家秘密事项的个人信息，按照国家有关安全保密规定加强管理。	第五条　インターネットアプリケーション、ソフトウェア開発キット、配布プラットフォームの運営者及びスマート端末メーカーは、集約・関連付け後に国家機密事項に該当する個人情報について、国家の関連する安全保密規定に基づき管理を強化する。
互联网应用程序、软件开发工具包、分发平台运营者和智能终端厂商对掌握的属于通信秘密的个人信息，不得对内容进行检查，不得向第三方提供。法律、行政法规另有规定的，依照其规定。	インターネットアプリケーション、ソフトウェア開発キット、配布プラットフォームの運営者及びスマート端末メーカーは、保有する通信秘密に該当する個人情報について、内容の検査を行ってはならず、第三者に提供してはならない。法律・行政法規に別段の定めがある場合は、その規定に従う。
第六条 鼓励行业组织建立完善行业自律机制，制定个人信息保护行业规范和自律公约，指导会员单位依法依规开展个人信息收集使用活动，接受社会监督。	第六条 業界団体は、業界自律メカニズムの整備、個人情報保護に関する業界規範及び自律規約の制定を促進し、会員企業が法令に基づき個人情報の取得・利用活動を実施するよう指導し、社会の監督を受けることを推奨する。
第二章 互联网应用程序运营安全管理要求	第二章 インターネットアプリケーション運営の安全管理要件
第七条 互联网应用程序收集使用个人信息应当遵循公开、透明原则，制定公开个人信息收集使用规则，通过清晰易懂的语言真实、准确、完整、逐项列明下列事项：	第七条 インターネットアプリケーションが個人情報を取得・利用する際は、公開・透明性の原則に従い、個人情報の取得・利用規則を策定し、明確で理解しやすい言語を用いて、以下の事項を真実かつ正確に、完全かつ項目ごとに列挙しなければならない：
（一）运营者名称或者姓名和有效的联系方式；	（一）運営者の名称または氏名及び有効な連絡先
（二）以结构化清单形式列明每项功能服务收集使用个人信息的目的、方式、种类，调用权限名称、频度，收集使用敏感个人信息的必要性以及对用户权益的影响；	（二）構造化されたリスト形式で、各機能サービスにおける個人情報の取得・利用目的、方法、種類、呼び出し権限名、頻度、機微な個人情報の取得・利用の必要性及びユーザーの権益への影響を明記すること
（三）嵌入软件开发工具包的，应当以结构化清单形式列明嵌入的软件开发工具包名称（包名）、版本、主要功能、运营者名称或者姓名、收集使用个人信息的种类和完整的软件开发工具包个人信息收集使用规则链接；	（三）ソフトウェア開発キット（SDK）を組み込む場合、組み込まれたSDKの名称（パッケージ名）、バージョン、主要機能、運営者の名称または氏名、取得・利用する個人情報の種類、およびSDKの個人情報取得・利用規則への完全なリンクを構造化されたリスト形式で明記すること。
（四）个人信息保存期限和到期后的处理方式，保存期限难以确定的，应当明确保存期限的确定方法；	（四）個人情報の保存期間及び保存期間満了後の処理方法。保存期間が確定困難な場合は、保存期間の確定方法を明示すること。
（五）用户查阅、复制、转移、更正、补充、删除、限制处理个人信息以及注销账号、撤回同意的方法和途径等；	（五）ユーザーが個人情報の閲覧、複製、移転、訂正、補充、削除、処理制限、アカウント解約、同意撤回を行う方法及び手段等。
（六）法律、行政法规规定应当告知的其他事项。	（六）法律・行政法規で告知が義務付けられているその他の事項。
互联网应用程序对于前款所述重点内容，应当以加粗字体、放大字号、标记不同颜色等显著方式向用户提示。	インターネットアプリケーションは、前項に定める重点事項について、太字、拡大フォント、異なる色での表示など、目立つ方法でユーザーに提示しなければならない。
第八条 收集使用个人信息的目的、方式、种类、保存期限或者保存期限的确定方法，调用权限名称、频度和嵌入的软件开发工具包收集使用个人信息行为等情况发生变化的，互联网应用程序应当及时修订、更新个人信息收集使用规则。	第八条 個人情報の取得・利用の目的、方法、種類、保存期間または保存期間の確定方法、権限の呼び出し名称・頻度、組み込まれたソフトウェア開発キットによる個人情報の取得・利用行為などに変更が生じた場合、インターネットアプリケーションは速やかに個人情報取得利用規則を改訂・更新しなければならない。
注册用户5000万以上或者月活跃用户1000万以上，业务类型复杂的互联网应用程序依照前款规定修订、更新个人信息收集使用规则的，应当同步通过互联网应用程序首页、官方网站、公众号等途径公开征求意见，征求意见期限不少于7个工作日。	登録ユーザーが5000万人以上、または月間アクティブユーザーが1000万人以上で、業務タイプが複雑なインターネットアプリケーションが前項の規定に基づき個人情報取得利用規則を改訂・更新する場合、インターネットアプリケーションのホームページ、公式ウェブサイト、公式アカウント等の経路を通じて同時に意見募集を行い、意見募集期間は7営業日以上とする。
第九条 互联网应用程序应当在首次启动时，通过弹窗等显著方式向用户告知个人信息收集使用规则，并在用户充分知情的前提下，取得用户同意规则的明确表示。	第九条　インターネットアプリケーションは初回起動時、ポップアップ等の顕著な方法でユーザーに個人情報取得利用規則を告知し、ユーザーが十分に理解した上で規則への同意を明確に表明させるものとする。
互联网应用程序向第三方提供个人信息的，应当取得用户的单独同意。互联网应用程序应当在设置页面等醒目位置提供个人信息收集使用规则一键访问功能，方便用户查阅和保存。	インターネットアプリケーションが第三者に個人情報を提供する場合は、ユーザーの個別同意を取得しなければならない。インターネットアプリケーションは設定画面等の目立つ位置に個人情報取得利用規則へのワンクリックアクセス機能を提供し、ユーザーが閲覧・保存しやすいようにするものとする。
互联网应用程序更新个人信息收集使用规则，符合第八条第一款所列情形的，应当通过弹窗、消息推送等显著方式及时向用户告知更新的具体内容，并重新征得用户同意。	インターネットアプリケーションが個人情報取得・利用規則を更新し、第八条第一項に掲げる状況に該当する場合、ポップアップやメッセージプッシュ等の顕著な方法で更新内容を速やかにユーザーに通知し、改めてユーザーの同意を得なければならない。
第十条 互联网应用程序不得通过调用通讯录、通话记录、短信权限收集使用用户以外其他个人信息主体的个人信息，确需用于满足通讯联系、添加好友、数据备份的除外。	第十条 インターネットアプリケーションは、連絡先、通話記録、SMS権限を呼び出してユーザー以外の個人情報主体の個人情報を取得・利用してはならない。ただし、通信連絡、友達追加、データバックアップの目的で必要不可欠な場合はこの限りではない。
互联网应用程序收集使用前款个人信息，属于通信秘密的，应当符合本规定第五条第二款规定。	インターネットアプリケーションが前項の個人情報を取得・利用する場合、通信の秘密に該当するときは、本規定第五条第二項の規定に適合しなければならない。
第十一条 互联网应用程序应当提供基于功能场景的个人信息收集使用配置选项，允许用户根据需要，同意部分功能场景收集使用相关个人信息。	第十一条 インターネットアプリケーションは、機能シナリオに基づく個人情報の取得・利用設定オプションを提供し、ユーザーが必要に応じて一部の機能シナリオにおける関連個人情報の取得・利用に同意できるようにしなければならない。
第十二条 互联网应用程序应当在用户使用具体功能时方可索要对应的必要个人信息权限，并同步告知使用目的，不得提前索要。用户拒绝的，互联网应用程序不得频繁索要影响用户正常使用其他功能。	第十二条 インターネットアプリケーションは、ユーザーが具体的な機能を利用する際にのみ、対応する必要な個人情報権限を要求し、同時に利用目的を通知しなければならない。事前に要求してはならない。ユーザーが拒否した場合、インターネットアプリケーションは頻繁に要求してユーザーの他の機能の正常な使用に影響を与えてはならない。
第十三条 互联网应用程序不得在用户同意个人信息收集使用规则前收集使用个人信息，不得超出用户同意的目的、方式、种类、保存期限收集使用个人信息。	第十三条 インターネットアプリケーションは、ユーザーが個人情報の取得・利用規則に同意する前に個人情報を取得・利用してはならず、ユーザーの同意した目的、方法、種類、保存期間を超えて個人情報を取得・利用してはならない。
互联网应用程序调用权限需与当前功能场景直接相关，应当仅在用户使用具体功能时以所需的最低频度、最小范围收集个人信息。在当前功能场景不再需要权限时停止调用权限，不得收集非必要个人信息、调用非必要权限。	インターネットアプリケーションが権限を呼び出す必要がある場合、それは現在の機能シナリオと直接関連している必要があり、ユーザーが特定の機能を利用する際にのみ、必要な最小限の頻度と最小範囲で個人情報を取得しなければならない。当該機能シナリオで権限が不要となった時点で権限の呼び出しを停止し、不要な個人情報の取得や不要な権限の呼び出しを行ってはならない。
第十四条 互联网应用程序应当仅在用户主动选择使用拍照、发送语音、录音录像等功能时调用相机、麦克风权限，不得在用户停止使用相关功能或者无关场景调用相机、麦克风权限。	第十四条 インターネットアプリケーションは、ユーザーが自発的に写真撮影、音声送信、録音・録画等の機能を選択して使用する場合に限り、カメラやマイクの権限を呼び出すものとし、ユーザーが関連機能の使用を停止した場合や無関係なシナリオにおいてカメラやマイクの権限を呼び出してはならない。
互联网应用程序在地图导航、路径记录、外卖闪送、位置共享等需要实时定位的场景，持续调用位置权限的频率应当限于实现业务功能的最低频度；在添加地点、内容搜索、内容推荐、广告营销等需单次定位场景，应当仅在用户进入功能界面或者用户主动刷新时调用一次位置权限。除法律、行政法规另有规定或者所提供业务功能确需后台持续获取位置外，互联网应用程序不应索要后台访问用户位置信息权限。	インターネットアプリケーションは、地図ナビゲーション、経路記録、出前・宅配サービス、位置情報共有などリアルタイム位置情報が必要な場面において、位置情報権限を継続的に呼び出す頻度は業務機能を実現する最低限の頻度に限定しなければならない。場所の追加、コンテンツ検索、コンテンツ推薦、広告マーケティングなど単回位置情報が必要な場面では、ユーザーが機能画面に入った時またはユーザーが自ら更新した時にのみ位置情報権限を一度呼び出さなければならない。法律・行政法規に別段の定めがある場合、または提供する業務機能においてバックグラウンドでの継続的な位置情報の取得が真に必要な場合を除き、インターネットアプリケーションはバックグラウンドでの位置情報アクセス権限を要求してはならない。
用户选择使用上传或者发送图片、文件等功能，互联网应用程序可使用智能终端提供的存储访问框架实现的，不得索要手机相册、通讯录、短信、存储等权限。互联网应用程序通过提供文件编辑、文件备份等功能获得存储权限的，不得访问用户主动选择以外的文件。	ユーザーが画像・ファイルのアップロードや送信機能を利用する場合、インターネットアプリケーションはスマート端末が提供するストレージアクセスフレームワークを利用できる。この場合、携帯電話のアルバム・連絡先・SMS・ストレージなどの権限を要求してはならない。ファイル編集・バックアップ機能の提供を通じてストレージ権限を取得する場合、ユーザーが自ら選択したファイル以外へのアクセスは禁止される。
第十五条 互联网应用程序收集人脸、指纹、声纹等生物识别信息应当具有特定的目的和充分的必要性，采取对个人权益影响最小的方式，并实施严格的保护措施。	第十五条　インターネットアプリケーションが顔、指紋、声紋等の生体認証情報を取得する場合、特定の目的と十分な必要性を有し、個人の権益への影響を最小限とする方法を採用するとともに、厳格な保護措置を実施しなければならない。
除法律、行政法规另有规定或者取得用户单独同意外，互联网应用程序收集使用人脸、指纹、声纹等信息应当存储于生物识别设备内，不得通过互联网对外传输。除法律、行政法规另有规定外，生物识别信息的保存期限不得超过实现处理目的所必需的最短时间。	法律・行政法規に別段の定めがある場合、またはユーザーの個別同意を得た場合を除き、インターネットアプリケーションが顔、指紋、声紋等の情報を取得・利用する場合、当該情報は生体認証デバイス内に保存され、インターネット経由で外部に送信してはならない。法律・行政法規に別段の定めがある場合を除き、生体識別情報の保存期間は処理目的達成に必要な最短期間を超えてはならない。
第十六条 互联网应用程序运营者应当采取充分的管理措施和必要的技术措施，严格落实未成年人个人信息保护要求，切实防范未成年人个人信息泄露、篡改、丢失。	第十六条 インターネットアプリケーション運営者は、十分な管理措置及び必要な技術的措置を講じ、未成年者の個人情報保護要求を厳格に履行し、未成年者の個人情報の漏洩・改ざん・紛失を確実に防止しなければならない。
互联网应用程序收集使用不满十四周岁未成年人个人信息的，应当制定专门的个人信息收集使用规则，并取得未成年人父母或者其他监护人的同意。	インターネットアプリケーションが14歳未満の未成年者の個人情報を取得・利用する場合、専用の個人情報取得利用規則を策定し、未成年者の父母またはその他の保護者の同意を得なければならない。
第十七条 互联网应用程序通过自动化决策方式向用户进行信息推送、商业营销的，应当设置易于理解、便于访问和操作的个性化推荐关闭选项。	第十七条 インターネットアプリケーションが自動化された意思決定方式によりユーザーに情報プッシュや商業マーケティングを行う場合、理解しやすく、アクセスや操作が容易なパーソナライズド推薦の停止オプションを設定しなければならない。
用户关闭个性化推荐功能时，互联网应用程序应当停止将用户相关个人信息用于个性化推荐目的。	ユーザーがパーソナライズド推薦機能を停止した場合、インターネットアプリケーションは当該ユーザーの個人情報をパーソナライズド推薦目的に使用することを直ちに停止しなければならない。
第十八条 互联网应用程序应当为用户提供注销账号的便捷功能。用户注销账号的，除确有必要用于防范黑灰产、安全风控等情形，互联网应用程序不得要求用户新增提供人脸、手持身份证照片等超出互联网应用程序已收集范围以外的个人信息。	第十八条 インターネットアプリケーションは、ユーザーに対しアカウント削除の簡便な機能を提供しなければならない。ユーザーがアカウントを削除する場合、ブラックマーケット対策やセキュリティリスク管理など真に必要な場合を除き、インターネットアプリケーションは顔写真や身分証を手に持った写真など、既に取得済みの範囲を超える個人情報の追加提供をユーザーに要求してはならない。
用户注销账号的，互联网应用程序应当在15个工作日内完成账号注销，删除已收集的相关个人信息或者进行匿名化处理，法律、行政法规另有规定的除外。	ユーザーがアカウントを削除した場合、インターネットアプリケーションは15営業日以内にアカウント削除を完了し、取得済みの関連個人情報を削除または匿名化処理しなければならない。ただし、法律・行政法規に別段の定めがある場合は除く。
对于同一企业主体或者集团旗下多款互联网应用程序采用统一账号进行一体化管理的，应当允许用户选择注销其中一款互联网应用程序账号，或者允许用户选择关闭该账号在此互联网应用程序的使用权限，并删除仅用于此互联网应用程序的个人信息。	同一企業主体またはグループ傘下の複数インターネットアプリケーションが統一アカウントで統合管理されている場合、ユーザーが当該グループ内のいずれか一つのアプリケーションアカウントを削除するか、当該アカウントの当該アプリケーションにおける使用権限を停止することを選択できるようにし、かつ当該アプリケーション専用に利用されていた個人情報を削除しなければならない。
第十九条 互联网应用程序应当与嵌入的软件开发工具包约定收集使用个人信息的目的、方式、种类和安全保护责任及违约责任，并采取有效的技术措施对嵌入的软件开发工具包个人信息收集使用行为进行审核，确保软件开发工具包实际个人信息收集和权限调用行为与互联网应用程序个人信息收集使用规则中声明的软件开发工具包相关内容保持一致。	第十九条　インターネットアプリケーションは、組み込まれたソフトウェア開発キット（SDK）に対し、個人情報の取得・利用目的、方法、種類、安全保護責任及び違約責任を定め、組み込まれたSDKの個人情報取得・利用行為を審査するための有効な技術的措置を講じなければならない。これにより、SDKの実際の個人情報取得及び権限呼び出し行為が、インターネットアプリケーションの個人情報取得・利用規則に明記されたSDK関連内容と一致することを確保する。
用户向互联网应用程序提出查阅、复制、更正、补充、删除、限制处理其个人信息，或者注销账号、撤回同意等相关请求涉及软件开发工具包个人信息收集使用活动的，互联网应用程序应当将用户请求及时通知软件开发工具包，并督促软件开发工具包及时响应用户请求。	ユーザーがインターネットアプリケーションに対し、個人情報の閲覧・複製・訂正・補充・削除・処理制限、アカウント削除、同意撤回等の請求を行い、当該請求がSDKの個人情報取得・利用活動に関わる場合、インターネットアプリケーションは速やかにSDKにユーザー請求を通知し、SDKが速やかにユーザー請求に対応するよう促さなければならない。
第二十条 互联网应用程序就个人信息收集使用行为进行优化、改进，发布或者更新版本后，应当采取有效方式提醒用户进行版本升级，并对所有授权发布渠道的旧版本互联网应用程序进行更新替换。	第二十条　インターネットアプリケーションは、個人情報の取得・利用行為を最適化・改善し、バージョンをリリースまたは更新した後、効果的な方法でユーザーにバージョンアップを促すとともに、全ての認可リリースチャネルにおける旧バージョンのインターネットアプリケーションを更新・置換しなければならない。
第二十一条 鼓励互联网应用程序接入国家网络身份认证公共服务，用以支持用户使用网号、网证登记、核验真实身份信息。	第二十一条　インターネットアプリケーションは、国家ネットワーク身分認証公共サービスへの接続を推奨する。これにより、ユーザーがネットID・ネット証明書による登録・本人確認を行うことを支援する。
用户选择使用网号、网证登记、核验身份信息并通过验证的，互联网应用程序不得强制要求用户另行提供明文身份信息，法律、行政法规另有规定或者用户同意提供的除外。	ユーザーがネットID・ネット認証による登録・本人確認を選択し、かつ認証を通過した場合、インターネットアプリケーションはユーザーに対し平文の本人情報を別途提供するよう強制してはならない。ただし、法律・行政法規に別段の定めがある場合、またはユーザーが提供に同意した場合はこの限りではない。
第三章 软件开发工具包运营安全管理要求	第三章 ソフトウェア開発キットの運営安全管理に関する要求
第二十二条 软件开发工具包收集使用个人信息的，应当制定个人信息收集使用规则并在产品官方网站公开。	第二十二条 ソフトウェア開発キットが個人情報を取得・利用する場合、個人情報取得利用規則を策定し、製品公式サイトで公開しなければならない。
对于同时运营多个历史版本的，软件开发工具包应当在个人信息收集使用规则中列明不同版本个人信息收集使用行为。	複数の旧バージョンを同時に運用する場合、SDKは個人情報取得利用規則において各バージョンの個人情報の取得利用行為を明記しなければならない。
软件开发工具包收集使用个人信息的目的、方式、范围等发生变化的，应当同步更新相应的个人信息收集使用规则。	SDKが個人情報の取得利用目的、方法、範囲等を変更する場合、対応する個人情報取得利用規則を同時に更新しなければならない。
第二十三条 软件开发工具包不得超出收集使用规则声明的范围收集使用个人信息，不得超出实现业务功能的最小范围收集使用个人信息，不得超出实现业务功能的最低频度调用权限。	第二十三条 SDKは、取得利用規則で宣言した範囲を超えて個人情報を取得利用してはならない。業務機能を実現する最小範囲を超えて個人情報を取得利用してはならない。業務機能を実現する最低頻度を超えて権限を呼び出してはならない。
第二十四条 软件开发工具包应当提供基于功能的个人信息配置选项，允许互联网应用程序按照不同功能需要对软件开发工具包个人信息收集行为进行管理配置。	第二十四条 ソフトウェア開発キットは、機能に基づく個人情報設定オプションを提供し、インターネットアプリケーションが異なる機能ニーズに応じてソフトウェア開発キットの個人情報取得行為を管理設定できるようにしなければならない。
软件开发工具包通过自动化决策方式向用户进行信息推送、商业营销的，应当向互联网应用程序提供个性化推荐关闭选项，在关闭后停止将用户相关个人信息用于个性化推荐目的。	ソフトウェア開発キットが自動化された意思決定方式によりユーザーへ情報プッシュや商業マーケティングを行う場合、インターネットアプリケーションにパーソナライズド推薦の停止オプションを提供し、停止後はユーザー関連個人情報をパーソナライズド推薦目的に使用してはならない。
软件开发工具包应当及时响应互联网应用程序通知的用户个人信息查阅、复制、更正、补充、删除、限制处理等相关请求。	ソフトウェア開発キットは、インターネットアプリケーションから通知されたユーザーの個人情報閲覧、複製、修正、補充、削除、処理制限等の関連要求に速やかに応じるものとする。
第二十五条 软件开发工具包应当建立有效方式和途径，直接响应用户查阅、复制、转移、更正、补充、删除、限制处理个人信息的请求，相关方式和途径应当在个人信息收集使用规则中予以列明。	第二十五条 ソフトウェア開発キットは、ユーザーによる個人情報の閲覧、複製、移転、修正、補充、削除、処理制限の要求に直接応じる有効な方法及び手段を確立するものとする。関連する方法及び手段は、個人情報取得利用規則に明記するものとする。
第四章 应用程序分发平台安全管理要求	第四章 アプリケーション配信プラットフォームの安全管理要求
第二十六条 分发平台应当加强互联网应用程序上架审核，建立互联网应用程序收集使用个人信息规范性档案，在受理互联网应用程序发布及版本更新上架申请时，登记并核验互联网应用程序运营者的真实身份、联系方式等信息，记录互联网应用程序个人信息收集使用问题以及因违法违规收集使用个人信息被省级以上履行个人信息保护职责的部门通报或行政处罚的情况。对未提供相关信息或者提供虚假信息，互联网应用程序无个人信息收集使用规则、无账号注销功能或者删除个人信息途径的，不予上架。	第二十六条 配信プラットフォームは、インターネットアプリケーションの掲載審査を強化し、インターネットアプリケーションの個人情報取得・利用に関する規範的ファイルを構築しなければならない。インターネットアプリケーションの公開及びバージョン更新の掲載申請を受理する際には、インターネットアプリケーション運営者の実体、連絡先等の情報を登録・確認し、インターネットアプリケーションの個人情報取得・利用に関する問題及び違法・規制違反による個人情報取得・利用により省級以上の個人情報保護職責履行部門から通報または行政処分を受けた状況を記録しなければならない。関連情報を提供しない、虚偽の情報を提供する、インターネットアプリケーションに個人情報取得利用規則がない、アカウント削除機能や個人情報削除手段がない場合、掲載を認めない。
分发平台在上架审核中应根据互联网应用程序运营者获得个人信息保护认证和互联网应用程序安全认证的结果，予以优先展示推荐。	配信プラットフォームは掲載審査において、インターネットアプリケーション運営者が個人情報保護認証及びインターネットアプリケーションセキュリティ認証を取得した結果に基づき、優先的に表示・推奨するものとする。
分发平台应当自本规定生效之日起6个月内，完成对在架存量互联网应用程序的审核，审核不通过的予以清理下架。	配信プラットフォームは、本規定発効日より6ヶ月以内に、既に掲載されている既存インターネットアプリケーションの審査を完了し、審査に合格しないものは削除する。
第二十七条 分发平台应当在互联网应用程序分发、下载页面，清晰准确展示下列信息：	第二十七条 配信プラットフォームは、インターネットアプリケーションの配信・ダウンロードページにおいて、以下の情報を明確かつ正確に表示しなければならない：
（一）互联网应用程序运营者名称或者姓名、联系方式；	（一）インターネットアプリケーション運営者の名称または氏名、連絡先
（二）互联网应用程序主要功能介绍；	（二）インターネットアプリケーションの主な機能説明
（三）互联网应用程序运行所需具体权限列表；	（三）インターネットアプリケーションの動作に必要な具体的な権限リスト
（四）个人信息收集使用规则文本或者链接；	（四）個人情報の取得・利用に関する規則の本文またはリンク
（五）对因违法违规收集使用个人信息被省级以上履行个人信息保护职责的部门通报或行政处罚的互联网应用程序，应当自通报或处罚之日起6个月内，在分发、下载页面发布个人信息安全风险提示。	（五）法令違反による個人情報の取得・利用で省級以上の個人情報保護担当部門から通報または行政処分を受けたインターネットアプリケーションについては、通報または処分の日から6か月以内に、配布・ダウンロードページに個人情報セキュリティリスクに関する注意喚起を掲載しなければならない。
第二十八条 对履行个人信息保护职责的部门认定存在违法违规收集使用个人信息行为的互联网应用程序，分发平台应当积极配合采取警示、不予分发、暂停分发或者终止分发等处置措施。	第二十八条 個人情報保護職責を履行する部門が違法・違規な個人情報の取得・利用行為があると認定したインターネットアプリケーションに対し、配布プラットフォームは警告、配布拒否、配布停止または配布終了などの措置を積極的に協力して講じなければならない。
第五章 智能终端安全管理要求	第五章 スマート端末の安全管理要件
第二十九条 智能终端厂商在受理互联网应用程序预置申请时，应当登记并核验互联网应用程序运营者的真实身份、联系方式等信息，对未提供上述信息或者提供虚假信息，互联网应用程序无个人信息收集使用规则、无账号注销功能或者删除个人信息途径的，不予预置。	第二十九条 スマート端末メーカーは、インターネットアプリケーションのプリインストール申請を受理する際、当該アプリケーション運営者の実体情報、連絡先等の情報を登録・確認しなければならない。上記情報を提供しない、または虚偽情報を提供した場合、あるいは当該アプリケーションに個人情報の取得・利用に関する規則がなく、アカウント削除機能や個人情報の削除手段がない場合には、プリインストールを認めない。
第三十条 互联网应用程序索要日历、通话记录、相机、通讯录、位置、麦克风、电话、短信、存储、身体活动等权限时，智能终端操作系统应弹窗征得用户同意，根据权限特点提供可基于时间、频度、精度等精细化授权模式选项。	第三十条　インターネットアプリケーションがカレンダー、通話記録、カメラ、連絡先、位置情報、マイク、電話、SMS、ストレージ、身体活動等の権限を要求する場合、スマート端末のオペレーティングシステムはポップアップ表示でユーザーの同意を得るものとし、権限の特性に応じて時間、頻度、精度等に基づく詳細な許可モードの選択肢を提供しなければならない。
第三十一条 智能终端应当在屏幕顶部等显著位置，以易于理解的图标等显著标识，如实地向用户提示当前正在调用的麦克风、摄像头、位置等权限。	第三十一条 スマート端末は画面上部などの目立つ位置に、分かりやすいアイコンなどの明確な表示を用いて、現在使用中のマイク、カメラ、位置情報などの権限をユーザーに事実通り提示しなければならない。
第三十二条 智能终端应当如实记录并集中展示互联网应用程序调用日历、通话记录、相机、通讯录、位置、麦克风、电话、短信、存储、身体活动等权限情况；互联网应用程序后台静默期间自启动、关联启动情况；互联网应用程序通过智能终端收集剪切板、设备唯一标识、应用程序列表等个人信息行为。记录规则应当予以公开。	第三十二条 スマート端末は、インターネットアプリケーションによるカレンダー・通話記録・カメラ・連絡先・位置情報・マイク・電話・SMS・ストレージ・身体活動等の権限利用状況を正確に記録し集中表示しなければならない。また、インターネットアプリケーションのバックグラウンド静止期間における自動起動・関連起動状況、ならびにスマート端末を通じてクリップボード・デバイス固有識別子・アプリケーションリスト等の個人情報を取得する行為を記録しなければならない。記録ルールは公開されるべきである。
智能终端应当准确提示互联网应用程序调用权限可能带来的安全风险。	スマート端末は、インターネットアプリケーションが権限を呼び出すことで生じる可能性のあるセキュリティリスクを正確に通知しなければならない。
第六章 监督管理	第六章 監督管理
第三十三条 国家网信部门负责统筹协调和监督管理互联网应用程序、软件开发工具包、分发平台和智能终端个人信息保护工作。国务院电信主管部门、公安部门和其他有关机关依照有关法律法规和本规定的要求，在各自职责范围内负责互联网应用程序、软件开发工具包、分发平台和智能终端个人信息保护和监督管理工作。	第三十三条 国家サイバースペース管理局は、インターネットアプリケーション、ソフトウェア開発キット、配信プラットフォーム及びスマート端末における個人情報保護業務の統括調整及び監督管理を担当する。国務院電気通信主管部門、公安部門及びその他の関係機関は、関連法令及び本規定の要求に基づき、それぞれの職責の範囲内でインターネットアプリケーション、ソフトウェア開発キット、配信プラットフォーム及びスマート端末における個人情報保護及び監督管理業務を担当する。
地方网信部门负责统筹协调和监督管理本行政区域内互联网应用程序、软件开发工具包、分发平台和智能终端个人信息保护工作，地方电信管理部门、公安部门和其他有关机关依据各自职责做好本行政区域内互联网应用程序、软件开发工具包、分发平台和智能终端个人信息保护和监督管理工作。	地方ネット情報部門は、管轄区域内のインターネットアプリケーション、ソフトウェア開発キット、配布プラットフォーム及びスマート端末における個人情報保護業務の調整・監督管理を統括する。地方電気通信管理部門、公安部門及びその他の関係機関は、それぞれの職責に基づき、管轄区域内のインターネットアプリケーション、ソフトウェア開発キット、配布プラットフォーム及びスマート端末における個人情報保護及び監督管理業務を適切に実施する。
第三十四条 互联网应用程序、软件开发工具包运营者应当在产品官方网站、个人信息收集使用规则中提供有效的、易于访问的投诉举报渠道，健全投诉举报的受理、处置、反馈机制，在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处置个人信息相关投诉。	第三十四条　インターネットアプリケーション及びソフトウェア開発キットの運営者は、製品公式サイト及び個人情報取得利用規則において、有効かつ容易にアクセス可能な苦情申立窓口を提供し、苦情申立の受理・処理・フィードバックの仕組みを整備しなければならない。また、承諾した期限内（承諾期限は15営業日を超えてはならず、期限を承諾していない場合は15営業日を上限とする）に個人情報関連の苦情を受け付け処理する。
互联网应用程序运营者应当同时受理、处置、反馈关于嵌入的软件开发工具包相关个人信息问题举报，核验属实的，应当督促软件开发工具包运营者进行整改。分发平台运营者、智能终端厂商应当同时受理、处置、反馈关于分发和预置的互联网应用程序相关个人信息问题举报，核验属实的，应当督促互联网应用程序运营者进行整改。	インターネットアプリケーション運営者は、組み込まれたソフトウェア開発キットに関連する個人情報問題の通報についても同時に受理・処理・フィードバックを行うものとする。事実確認が取れた場合は、ソフトウェア開発キット運営者に対し是正を促さなければならない。配布プラットフォーム運営者及びスマート端末メーカーは、配布・プリインストールされたインターネットアプリケーションに関連する個人情報問題の通報についても同時に受理・処理・フィードバックを行うものとする。事実確認が取れた場合は、インターネットアプリケーション運営者に対し是正を促さなければならない。
第三十五条 互联网应用程序、软件开发工具包、分发平台运营者和智能终端厂商应当制定内部管理制度和操作规程，建立健全内部合规管理体系和问责机制，防止个人信息被用于电信网络诈骗等违法犯罪活动，充分保护用户个人信息。	第三十五条　インターネットアプリケーション、ソフトウェア開発キット、配信プラットフォーム運営者及びスマート端末メーカーは、内部管理制度と操作手順を策定し、内部コンプライアンス管理体制と責任追及メカニズムを整備し、個人情報が電信ネットワーク詐欺等の違法犯罪活動に利用されることを防止し、ユーザーの個人情報を十分に保護しなければならない。
互联网应用程序、软件开发工具包、分发平台运营者和智能终端厂商应当对履行个人信息保护职责的部门依法开展的个人信息保护监督检查予以配合，并提供必要的技术支持和协助。	インターネットアプリケーション、ソフトウェア開発キット、配布プラットフォームの運営者及びスマート端末メーカーは、個人情報保護の職責を履行する部門が法に基づき実施する個人情報保護監督検査に協力し、必要な技術支援と協力を提供しなければならない。
第三十六条 互联网应用程序、软件开发工具包运营者应当强化对个人信息查阅、复制、修改、删除等操作的权限管理，采取加密、去标识化等安全技术措施，防止个人信息泄露、丢失或者未经授权的访问。	第三十六条 インターネットアプリケーション及びソフトウェア開発キットの運営者は、個人情報の閲覧、複製、修正、削除等の操作に対する権限管理を強化し、暗号化、非識別化等の安全技術措置を講じ、個人情報の漏洩、紛失又は不正アクセスを防止しなければならない。
发生个人信息泄露、丢失的，互联网应用程序、软件开发工具包运营者应该将泄露个人信息的种类、原因、可能造成的危害、采取的补救措施等信息及时告知用户，并向履行个人信息保护职责的部门报告。	個人情報の漏洩・紛失が発生した場合、インターネットアプリケーション及びソフトウェア開発キットの運営者は、漏洩した個人情報の種類、原因、引き起こす可能性のある危害、講じた是正措置等の情報を速やかに利用者に通知し、個人情報保護の職責を履行する部門に報告しなければならない。
第三十七条 互联网应用程序、软件开发工具包、分发平台运营者和智能终端厂商违反本规定的，履行个人信息保护职责的部门依照《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等相关法律法规处理；构成犯罪的，依法追究刑事责任。	第三十七条　インターネットアプリケーション、ソフトウェア開発キット、配布プラットフォームの運営者及びスマート端末メーカーが本規定に違反した場合、個人情報保護の職責を履行する部門は『中華人民共和国サイバーセキュリティ法』『中華人民共和国個人情報保護法』『ネットワークデータ安全管理条例』等の関連法令に基づき処理する。犯罪を構成する場合は、法に基づき刑事責任を追及する。
第七章 附则	第七章 附則
第三十八条 本规定中下列用语的含义：	第三十八条 本規定における以下の用語の定義は次の通りである：
互联网应用程序（App），是指智能终端预置、下载安装的应用软件，以及基于应用软件开放平台接口开发的、无需安装即可使用的小程序、快应用等。	インターネットアプリケーション（App）とは、スマート端末にプリインストールされ、ダウンロード・インストールされるアプリケーションソフトウェア、及びアプリケーションソフトウェアのオープンプラットフォームインターフェースに基づいて開発され、インストール不要で使用可能なミニアプリ、クイックアプリ等を指す。
互联网应用程序运营者，是指互联网应用程序的开发者、所有者、管理者或者提供者。	インターネットアプリケーション運営者とは、インターネットアプリケーションの開発者、所有者、管理者又は提供者を指す。
软件开发工具包（SDK），是指协助软件开发的软件库。	ソフトウェア開発キット（SDK）とは、ソフトウェア開発を支援するソフトウェアライブラリを指す。
软件开发工具包运营者，是指软件开发工具包的开发者、所有者、管理者或者提供者。	ソフトウェア開発キット運営者とは、ソフトウェア開発キットの開発者、所有者、管理者または提供者を指す。
个人信息主体，是指个人信息所标识或者关联的自然人。	個人情報主体とは、個人情報が識別または関連付けられる自然人を指す。
用户，是指使用互联网应用程序相关功能服务的自然人。	ユーザーとは、インターネットアプリケーション関連機能サービスを利用する自然人を指す。
分发平台，是指通过互联网提供互联网应用程序发布、下载、动态加载等服务提供者，包括应用商店、应用市场、快应用中心、小程序平台等。	配布プラットフォームとは、インターネットを通じてインターネットアプリケーションの公開、ダウンロード、動的ロード等のサービスを提供する者を指し、アプリストア、アプリマーケット、クイックアプリセンター、ミニアプリプラットフォーム等を含む。
智能终端，是指能够接入公众网络、具有操作系统、可由用户自行安装和卸载应用软件的移动通信终端产品。	スマート端末とは、公衆ネットワークに接続可能で、オペレーティングシステムを備え、ユーザーが自らアプリケーションソフトウェアをインストール・アンインストールできる移動通信端末製品を指す。
必要个人信息，是指为了保障基本功能服务或者用户所选择使用的功能服务正常运行所必需的个人信息，缺少该信息无法向用户提供相应的功能服务。	必要個人情報は、基本機能サービスまたはユーザーが選択した機能サービスの正常な動作を保障するために必要な個人情報を指す。この情報が欠如すると、ユーザーに対応する機能サービスを提供できない。
可收集个人信息权限，是指智能终端操作系统向互联网应用程序开放的，具有收集个人信息功能的系统权限，包括日历、通话记录、相机、通讯录、位置、麦克风、电话、短信、存储、身体活动等，简称权限。	個人情報を取得できる権限とは、スマート端末のオペレーティングシステムがインターネットアプリケーションに開放する、個人情報を取得する機能を持つシステム権限を指す。これにはカレンダー、通話記録、カメラ、連絡先、位置情報、マイク、電話、SMS、ストレージ、身体活動などが含まれ、略して権限と呼ぶ。
第三十九条 本规定自 年 月 日起施行。	第三十九条　本規定は　年　月　日から施行する。

中国 サイバーセキュリティ法改正 (2025.12.29)

こんにちは、丸山満彦です。

2017年に施行された中华人民共和国网络安全法（サイバーセキュリティ法）が2025.10.28に全国人民代表大会常務委員会によって改正が決定

2025.12.29に公表されていました...

いわゆる中国サイバー三法（サイバー法、データ法、個人情報保護法）の最初のものです...

今回は、安全保障の重視、AI等のデジタル社会の進展、関連法との整合性を図るという意図で改訂されたのでしょうかね...

改訂のポイントとしては、

・サイバーセキュリティは共産党の指導を堅持し、サイバー強国になるということを新たに明記（第3条）

・AI等の新技術への対応（技術振興と安全監理の両立）（第20条）

・罰則の強化（第61条他）

・サプライチェーン規制（安全認証等を受けていないネットワーク重要機器等を販売・提供した場合の罰則
）の新設（第63条）

等々...

欧州のサイバーセキュリティ関連法制も追加追加で複雑性をましていますが、中国はさらに複雑なような気がします...　法令だけでなく、標準も実質的な技術要求となっていますし...

● 国家互联网信息办公室（国家サイバースペース管理局）

・2025.12.29 中华人民共和国网络安全法

中华人民共和国网络安全法	中華人民共和国サイバーセキュリティ法
（2016年11月7日第十二届全国人民代表大会常务委员会第二十四次会议通过　根据2025年10月28日第十四届全国人民代表大会常务委员会第十八次会议《关于修改〈中华人民共和国网络安全法〉的决定》修正）	（2016年11月7日 第12期全国人民代表大会常務委員会第24回会議で可決　2025年10月28日 第14期全国人民代表大会常務委員会第18回会議『中華人民共和国サイバーセキュリティ法改正に関する決定』に基づき修正）
目　　录	目　次
第一章　总　　则	第一章　総則
第二章　网络安全支持与促进	第二章　サイバーセキュリティの支援と促進
第三章　网络运行安全	第三章　ネットワーク運用セキュリティ
第一节　一般规定	第一節　一般規定
第二节　关键信息基础设施的运行安全	第二節　重要情報インフラの運用セキュリティ
第四章　网络信息安全	第四章　ネットワーク情報セキュリティ
第五章　监测预警与应急处置	第五章　監視・警報と緊急対応
第六章　法律责任	第六章　法的責任
第七章　附　　则	第七章　附則
第一章　总　　则	第一章　総則
第一条　为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，制定本法。	第一条　サイバーセキュリティを保障し、サイバースペース主権及び国家安全、社会公共利益を維持し、公民、法人及びその他の組織の合法的権益を保護し、経済社会の情報化健全な発展を促進するため、本法を制定する。
第二条　在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，适用本法。	第二条　中華人民共和国国内におけるネットワークの建設、運営、維持及び使用並びにサイバーセキュリティの監督管理には、本法を適用する。
第三条　网络安全工作坚持中国共产党的领导，贯彻总体国家安全观，统筹发展和安全，推进网络强国建设。	第三条　サイバーセキュリティ業務は中国共産党の指導を堅持し、総合的な国家安全観を貫徹し、発展と安全を統括し、ネットワーク強国建設を推進する。
第四条　国家坚持网络安全与信息化发展并重，遵循积极利用、科学发展、依法管理、确保安全的方针，推进网络基础设施建设和互联互通，鼓励网络技术创新和应用，支持培养网络安全人才，建立健全网络安全保障体系，提高网络安全保护能力。	第四条　国はサイバーセキュリティと情報化の発展を同等に重視し、積極的な利用、科学的な発展、法に基づく管理、安全の確保という方針に従い、ネットワークインフラの建設と相互接続を推進する。サイバーセキュリティ技術の革新と応用を奨励し、サイバーセキュリティ人材の育成を支援し、サイバーセキュリティ保障体系を整備・確立し、サイバーセキュリティ保護能力を高める。
第五条　国家制定并不断完善网络安全战略，明确保障网络安全的基本要求和主要目标，提出重点领域的网络安全政策、工作任务和措施。	第五条　国はサイバーセキュリティ戦略を策定し、絶えず改善する。サイバーセキュリティを保障するための基本要件と主要目標を明確にし、重点分野におけるサイバーセキュリティ政策、業務任務及び措置を提示する。
第六条　国家采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治网络违法犯罪活动，维护网络空间安全和秩序。	第六条　国は、中華人民共和国国内外に由来するサイバーセキュリティリスク及び脅威を監視、防御、対処するための措置を講じ、重要情報インフラを攻撃、侵入、妨害及び破壊から保護し、法に基づきネットワーク上の違法犯罪活動を処罰し、サイバー空間の安全と秩序を維持する。
第七条　国家倡导诚实守信、健康文明的网络行为，推动传播社会主义核心价值观，采取措施提高全社会的网络安全意识和水平，形成全社会共同参与促进网络安全的良好环境。	第七条　国は、誠実で信頼できる健全かつ文明的なネットワーク行動を提唱し、社会主義の中核的価値観の普及を推進し、全社会のサイバーセキュリティ意識と水準を高めるための措置を講じ、全社会が共同でサイバーセキュリティ促進に参加する良好な環境を形成する。
第八条　国家积极开展网络空间治理、网络技术研发和标准制定、打击网络违法犯罪等方面的国际交流与合作，推动构建和平、安全、开放、合作的网络空间，建立多边、民主、透明的网络治理体系。	第八条　国は、サイバー空間のガバナンス、ネットワーク技術の研究開発と標準策定、ネットワーク上の違法犯罪の取り締まりなどの分野における国際交流と協力を積極的に展開し、平和で安全、開放的かつ協力的なサイバー空間の構築を推進し、多国間的、民主的、透明なネットワークガバナンス体系を確立する。
第九条　国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。	第九条　国家サイバー空間管理部門は、サイバーセキュリティ業務及び関連する監督管理業務の統括調整を担当する。国務院電気通信主管部門、公安部門及びその他の関係機関は、本法及び関連する法律・行政法規の規定に基づき、それぞれの職責の範囲内でサイバーセキュリティ保護及び監督管理業務を担当する。
县级以上地方人民政府有关部门的网络安全保护和监督管理职责，按照国家有关规定确定。	県級以上の地方人民政府関係部門のサイバーセキュリティ保護及び監督管理職責は、国家の関連規定に従って定める。
第十条　网络运营者开展经营和服务活动，必须遵守法律、行政法规，尊重社会公德，遵守商业道德，诚实信用，履行网络安全保护义务，接受政府和社会的监督，承担社会责任。	第十条　ネットワーク運営者は、経営及びサービス活動を行うにあたり、法律・行政法規を遵守し、社会公徳を尊重し、商業道徳を遵守し、誠実かつ信用をもって行動し、サイバーセキュリティ保護義務を履行し、政府及び社会の監督を受け、社会的責任を負わなければならない。
第十一条　建设、运营网络或者通过网络提供服务，应当依照法律、行政法规的规定和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。	第十一条　ネットワークを建設・運営し、またはネットワークを通じてサービスを提供する場合、法律・行政法規の規定及び国家標準の強制的要件に基づき、技術的措置その他の必要な措置を講じ、ネットワークの安全かつ安定した運用を確保し、サイバーセキュリティインシデントに効果的に対応し、ネットワーク上の違法犯罪活動を防止し、ネットワークデータの完全性、機密性及び可用性を維持しなければならない。
第十二条　网络相关行业组织按照章程，加强行业自律，制定网络安全行为规范，指导会员加强网络安全保护，提高网络安全保护水平，促进行业健康发展。	第十二条　ネットワーク関連業界団体は、定款に基づき業界の自主規制を強化し、サイバーセキュリティ行動規範を制定し、会員に対しサイバーセキュリティ保護の強化を指導し、サイバーセキュリティ保護水準の向上を図り、業界の健全な発展を促進しなければならない。
第十三条　国家保护公民、法人和其他组织依法使用网络的权利，促进网络接入普及，提升网络服务水平，为社会提供安全、便利的网络服务，保障网络信息依法有序自由流动。	第十三条　国は、公民、法人及びその他の組織が法に基づきネットワークを利用する権利を保護し、ネットワーク接続の普及を促進し、ネットワークサービス水準を向上させ、社会に安全で便利なネットワークサービスを提供し、ネットワーク情報の法に基づく秩序ある自由な流通を保障する。
任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得危害网络安全，不得利用网络从事危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度，煽动分裂国家、破坏国家统一，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视，传播暴力、淫秽色情信息，编造、传播虚假信息扰乱经济秩序和社会秩序，以及侵害他人名誉、隐私、知识产权和其他合法权益等活动。	いかなる個人及び組織も、ネットワークを利用する際には憲法及び法律を遵守し、公共秩序を守り、社会道徳を尊重し、サイバーセキュリティを危害してはならず、ネットワークを利用して国家の安全、名誉及び利益を危害し、 国家政権の転覆や社会主義制度の打倒を扇動し、国家分裂や国家統一の破壊を煽り、テロリズムや過激主義を宣伝し、民族的憎悪や民族差別を煽り、暴力やわいせつな情報を流布し、虚偽の情報を捏造・流布して経済秩序や社会秩序を乱し、他人の名誉、プライバシー、知的財産権その他の合法的権益を侵害する活動を行ってはならない。
第十四条　国家支持研究开发有利于未成年人健康成长的网络产品和服务，依法惩治利用网络从事危害未成年人身心健康的活动，为未成年人提供安全、健康的网络环境。	第十四条　国は未成年者の健全な成長に資するネットワーク製品・サービスの研究開発を支援し、ネットワークを利用した未成年者の心身の健康を害する活動を法に基づき処罰し、未成年者に安全で健全なネットワーク環境を提供する。
第十五条　任何个人和组织有权对危害网络安全的行为向网信、电信、公安等部门举报。收到举报的部门应当及时依法作出处理；不属于本部门职责的，应当及时移送有权处理的部门。	第十五条　いかなる個人及び組織も、サイバーセキュリティを脅かす行為について、ネット情報、電気通信、公安等の部門に通報する権利を有する。通報を受けた部門は速やかに法に基づき処理を行うものとし、当該部門の職責に属さない場合は、速やかに権限を有する部門に移送しなければならない。
有关部门应当对举报人的相关信息予以保密，保护举报人的合法权益。	関係部門は通報者の関連情報を秘密に扱い、通報者の合法的権益を保護しなければならない。
第二章　网络安全支持与促进	第二章　サイバーセキュリティの支援と促進
第十六条　国家建立和完善网络安全标准体系。国务院标准化行政主管部门和国务院其他有关部门根据各自的职责，组织制定并适时修订有关网络安全管理以及网络产品、服务和运行安全的国家标准、行业标准。	第十六条　国はサイバーセキュリティ標準体系を確立し、整備する。国務院標準化行政主管部門及び国務院その他の関係部門は、それぞれの職責に基づき、サイバーセキュリティ管理及びネットワーク製品・サービス・運用安全に関する国家標準・業界標準の制定及び適時な改訂を組織する。
国家支持企业、研究机构、高等学校、网络相关行业组织参与网络安全国家标准、行业标准的制定。	国は、企業、研究機関、高等教育機関、ネットワーク関連業界団体がサイバーセキュリティ国家標準・業界標準の制定に参加することを支援する。
第十七条　国务院和省、自治区、直辖市人民政府应当统筹规划，加大投入，扶持重点网络安全技术产业和项目，支持网络安全技术的研究开发和应用，推广安全可信的网络产品和服务，保护网络技术知识产权，支持企业、研究机构和高等学校等参与国家网络安全技术创新项目。	第十七条　国務院及び省・自治区・直轄市人民政府は、総合的な計画を策定し、投資を拡大し、重点サイバーセキュリティ技術産業及びプロジェクトを支援し、サイバーセキュリティ技術の研究開発と応用を支援し、安全で信頼できるネットワーク製品・サービスの普及を促進し、サイバーセキュリティ技術の知的財産権を保護し、企業、研究機関、高等教育機関等が国家サイバーセキュリティ技術革新プロジェクトに参加することを支援する。
第十八条　国家推进网络安全社会化服务体系建设，鼓励有关企业、机构开展网络安全认证、检测和风险评估等安全服务。	第十八条　国はサイバーセキュリティの社会化サービス体系の構築を推進し、関連企業・機関がサイバーセキュリティ認証、検査、リスクアセスメント等の安全サービスを展開することを奨励する。
第十九条　国家鼓励开发网络数据安全保护和利用技术，促进公共数据资源开放，推动技术创新和经济社会发展。	第十九条　国はネットワークデータ安全保護及び利用技術の開発を奨励し、公共データ資源の開放を促進し、技術革新と経済社会の発展を推進する。
第二十条　国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，完善人工智能伦理规范，加强风险监测评估和安全监管，促进人工智能应用和健康发展。	第二十条　国は人工知能の基礎理論研究及びアルゴリズム等の重要技術研究開発を支援し、訓練データ資源、計算能力等のインフラ整備を推進し、人工知能倫理規範を整備し、リスク監視及びアセスメントを強化し、人工知能の応用と健全な発展を促進する。
国家支持创新网络安全管理方式，运用人工智能等新技术，提升网络安全保护水平。	国はサイバーセキュリティ管理方法の革新を支援し、人工知能等の新技術を活用してサイバーセキュリティ保護水準を向上させる。
第二十一条　各级人民政府及其有关部门应当组织开展经常性的网络安全宣传教育，并指导、督促有关单位做好网络安全宣传教育工作。	第二十一条　各級人民政府及びその関係部門は、定期的なサイバーセキュリティ啓発活動を組織し、関係機関に対しサイバーセキュリティ啓発活動の指導・監督を行う。
大众传播媒介应当有针对性地面向社会进行网络安全宣传教育。	大衆伝播媒体は、社会に向けて対象を絞ったサイバーセキュリティ啓発活動を行う。
第二十二条　国家支持企业和高等学校、职业学校等教育培训机构开展网络安全相关教育与培训，采取多种方式培养网络安全人才，促进网络安全人才交流。	第二十二条　国は、企業及び高等教育機関、職業学校等の教育訓練機関がサイバーセキュリティ関連の教育・訓練を実施することを支援し、多様な方法でサイバーセキュリティ人材を育成し、サイバーセキュリティ人材の交流を促進する。
第三章　网络运行安全	第三章　ネットワーク運用安全
第一节　一　般　规　定	第一節　一般規定
第二十三条　国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：	第二十三条　国はサイバーセキュリティ等級保護制度を実施する。ネットワーク運営者は、サイバーセキュリティ等級保護制度の要求に基づき、以下の安全保護義務を履行し、ネットワークが妨害、破壊または不正アクセスを受けないよう保障し、ネットワークデータの漏洩または窃取・改ざんを防止しなければならない：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；	（一）内部安全管理制度及び操作規程を制定し、ネットワークセキュリティ責任者を定め、ネットワークセキュリティ保護責任を履行すること；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；	（二）コンピュータウイルスやネットワーク攻撃、ネットワーク侵入などのサイバーセキュリティを脅かす行為を防ぐ技術的措置を講じること。
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；	（三）ネットワークの稼働状態やサイバーセキュリティインシデントを監視・記録する技術的措置を講じ、規定に従い関連するネットワークログを少なくとも6か月間保存すること。
（四）采取数据分类、重要数据备份和加密等措施；	（四）データ分類、重要データのバックアップ及び暗号化などの措置を講じること。
（五）法律、行政法规规定的其他义务。	（五）法律・行政法規で定めるその他の義務。
第二十四条　网络产品、服务应当符合相关国家标准的强制性要求。网络产品、服务的提供者不得设置恶意程序；发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。	第二十四条　ネットワーク製品・サービスは関連する標準の強制要求に適合しなければならない。ネットワーク製品・サービスの提供者は悪意のあるプログラムを設定してはならない。自社のネットワーク製品・サービスにセキュリティ上の欠陥や脆弱性などのリスクを発見した場合は、直ちに是正措置を講じ、規定に従い速やかに利用者に通知するとともに、関係主管部門に報告しなければならない。
网络产品、服务的提供者应当为其产品、服务持续提供安全维护；在规定或者当事人约定的期限内，不得终止提供安全维护。	ネットワーク製品・サービスの提供者は、自社の製品・サービスに対して継続的なセキュリティ保守を提供しなければならない。規定または当事者間で合意した期間内において、セキュリティ保守の提供を終了してはならない。
网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。	ネットワーク製品・サービスがユーザー情報収集機能を有する場合、提供者はユーザーに明示し同意を得なければならない。ユーザーの個人情報に関わる場合は、本法及び関連する法律・行政法規の個人情報保護に関する規定を遵守しなければならない。
第二十五条　网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。国家网信部门会同国务院有关部门制定、公布网络关键设备和网络安全专用产品目录，并推动安全认证和安全检测结果互认，避免重复认证、检测。	第二十五条　ネットワーク重要設備及びサイバーセキュリティ専用製品は、関連する標準の強制要求に基づき、資格を有する機関による安全認証合格または安全検査合格を得た後にのみ、販売または提供することができる。国家サイバー空間管理局は国務院関係部門と共同で、ネットワーク重要設備及びサイバーセキュリティ専用製品の目録を制定・公表し、安全認証及び安全検査結果の相互承認を推進し、重複認証・検査を回避する。
第二十六条　网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。	第二十六条　ネットワーク事業者がユーザーに対し、ネットワーク接続・ドメイン名登録サービスを提供する場合、固定電話・携帯電話等の回線加入手続きを行う場合、または情報発信・インスタントメッセージ等のサービスを提供する場合、ユーザーとの契約締結時またはサービス提供確認時に、ユーザーに対し実名情報の提供を求めるものとする。ユーザーが真実の身分情報を提供しない場合、ネットワーク運営者は関連サービスを提供してはならない。
国家实施网络可信身份战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之间的互认。	国はネットワーク信頼性身分戦略を実施し、安全で便利な電子身分認証技術の研究開発を支援し、異なる電子身分認証間の相互承認を推進する。
第二十七条　网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。	第二十七条　ネットワーク運営者はサイバーセキュリティ事象対応計画を策定し、システム脆弱性、コンピュータウイルス、ネットワーク攻撃、ネットワーク侵入等のセキュリティリスクを速やかに処理しなければならない。サイバーセキュリティを脅かす事象が発生した場合には、直ちに緊急対応計画を発動し、対応する補修措置を講じるとともに、規定に基づき関係主管部門に報告しなければならない。
第二十八条　开展网络安全认证、检测、风险评估等活动，向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息，应当遵守国家有关规定。	第二十八条　サイバーセキュリティ認証、検査、リスクアセスメント等の活動を実施し、システム脆弱性、コンピュータウイルス、ネットワーク攻撃、ネットワーク侵入等のサイバーセキュリティ情報を社会に公表する場合は、国家の関連規定を遵守しなければならない。
第二十九条　任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。	第二十九条　いかなる個人及び組織も、他人のネットワークへの不法侵入、他人のネットワークの正常な機能の妨害、ネットワークデータの窃取など、サイバーセキュリティを危害する活動に従事してはならない。ネットワークへの侵入、ネットワークの正常な機能及び防護措置の妨害、ネットワークデータの窃取など、サイバーセキュリティを危害する活動に専ら使用されるプログラムやツールを提供してはならない。他人がサイバーセキュリティを危害する活動に従事していることを知りながら、技術支援、広告宣伝、決済などの援助を提供してはならない。
第三十条　网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。	第三十条　ネットワーク運営者は、公安機関及び国家安全機関が国家安全の維持及び犯罪捜査活動を行う際に、技術的支援及び協力を提供しなければならない。
第三十一条　国家支持网络运营者之间在网络安全信息收集、分析、通报和应急处置等方面进行合作，提高网络运营者的安全保障能力。	第三十一条　国は、ネットワーク運営者間のサイバーセキュリティ情報収集、分析、通報及び緊急対応等の分野における協力を支援し、ネットワーク運営者の安全保障能力の向上を図る。
有关行业组织建立健全本行业的网络安全保护规范和协作机制，加强对网络安全风险的分析评估，定期向会员进行风险警示，支持、协助会员应对网络安全风险。	関連業界団体は、自業界のサイバーセキュリティ保護規範と協力メカニズムを整備し、サイバーセキュリティリスクのアセスメントを強化し、定期的に会員にリスク警告を行い、会員のサイバーセキュリティリスク対応を支援・協力する。
第三十二条　网信部门和有关部门在履行网络安全保护职责中获取的信息，只能用于维护网络安全的需要，不得用于其他用途。	第三十二条　ネット情報部門及び関係部門は、サイバーセキュリティ保護職責の履行において取得した情報を、サイバーセキュリティ維持の必要性のみに使用し、他の目的に使用してはならない。
第二节　关键信息基础设施的运行安全	第二節　重要情報インフラの運用安全
第三十三条　国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。	第三十三条　国は、公共通信・情報サービス、エネルギー、交通、水利、金融、公共サービス、電子政府等の重要業種・分野、及びその他、破壊・機能喪失・データ漏洩が発生した場合に国家安全保障、国民経済・民生、公共利益に重大な危害を及ぼすおそれのある重要情報インフラについて、サイバーセキュリティ等級保護制度を基礎として重点保護を実施する。重要情報インフラの具体的な範囲及び安全保護弁法は国務院が定める。
国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。	国は、重要情報インフラ以外のネットワーク運営者が自主的に重要情報インフラ保護システムに参加することを奨励する。
第三十四条　按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。	第三十四条　国務院が定めた職責分担に基づき、重要情報インフラの安全保護を担当する部門は、それぞれ自業界・自分野の重要情報インフラ安全計画を策定し実施するとともに、重要情報インフラの運用安全保護業務を指導・監督する。
第三十五条　建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。	第三十五条　重要情報インフラを建設する際には、業務の安定的かつ継続的な運用を支える性能を確保するとともに、安全技術措置の同時計画・同時建設・同時運用を保証しなければならない。
第三十六条　除本法第二十三条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：	第三十六条　本法第二十三条の規定に加え、重要情報インフラの運営者は以下の安全保護義務を履行しなければならない：
（一）设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；	（一）専門の安全管理機関及び安全管理責任者を設置し、当該責任者及び重要ポストの職員に対し安全背景審査を実施すること；
（二）定期对从业人员进行网络安全教育、技术培训和技能考核；	（二）従事者に対し、定期的にサイバーセキュリティ教育、技術研修及び技能評価を実施すること。
（三）对重要系统和数据库进行容灾备份；	（三）重要システム及びデータベースに対し、災害復旧用バックアップを実施すること。
（四）制定网络安全事件应急预案，并定期进行演练；	（四）サイバーセキュリティインシデント対応計画を策定し、定期的に訓練を実施すること。
（五）法律、行政法规规定的其他义务。	（五）法律・行政法規で定めるその他の義務。
第三十七条　关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。	第三十七条　重要情報インフラの運営者がネットワーク製品・サービスを購入する場合、国家安全保障に影響を及ぼす可能性があるときは、国家サイバーセキュリティ部門が国務院関係部門と共同で実施する国家安全保障審査を経なければならない。
第三十八条　关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订安全保密协议，明确安全和保密义务与责任。	第三十八条　重要情報インフラの運営者がネットワーク製品・サービスを購入する場合、規定に基づき提供者と安全保密契約を締結し、安全及び保密に関する義務と責任を明確にしなければならない。
第三十九条　关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。	第三十九条　重要情報インフラの運営者が中華人民共和国国内での運営において収集・生成した個人情報及び重要データは、国内に保存しなければならない。業務上必要により国外提供が不可避な場合、国家サイバー空間管理局が国務院関係部門と共同で定める弁法に基づきセキュリティ評価を実施しなければならない。法律・行政法規に別段の定めがある場合は、その規定に従う。
第四十条　关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。	第四十条　重要情報インフラの運営者は、自らまたはサイバーセキュリティサービス機関に委託して、自社のネットワークの安全性及び潜在リスクについて、少なくとも年1回セキュリティ評価を実施しなければならない。セキュリティ評価結果及び改善措置は、重要情報インフラの安全保護を担当する関連部門に報告する。
第四十一条　国家网信部门应当统筹协调有关部门对关键信息基础设施的安全保护采取下列措施：	第四十一条　国家サイバー空間管理部門は、重要情報インフラの安全保護に関して、関係部門を統括調整し、以下の措置を講じなければならない：
（一）对关键信息基础设施的安全风险进行抽查检测，提出改进措施，必要时可以委托网络安全服务机构对网络存在的安全风险进行检测评估；	（一）重要情報インフラのセキュリティリスクを抜き打ち検査し、改善措置を提案する。必要に応じて、サイバーセキュリティサービス機関に委託してネットワークのセキュリティリスクをアセスメントさせることができる。
（二）定期组织关键信息基础设施的运营者进行网络安全应急演练，提高应对网络安全事件的水平和协同配合能力；	（二）定期的に重要情報インフラの運営者に対し、サイバーセキュリティ緊急訓練を実施させ、サイバーセキュリティインシデントへの対応能力及び連携能力を向上させる。
（三）促进有关部门、关键信息基础设施的运营者以及有关研究机构、网络安全服务机构等之间的网络安全信息共享；	（三）関係部門、重要情報インフラの運営者、及び関連研究機関、サイバーセキュリティサービス機関等間のサイバーセキュリティ情報共有を促進する。
（四）对网络安全事件的应急处置与网络功能的恢复等，提供技术支持和协助。	（四）サイバーセキュリティインシデントへの緊急対応及びネットワーク機能の復旧等に対し、技術支援と協力を提供する。
第四章　网络信息安全	第四章　ネットワーク情報セキュリティ
第四十二条　网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。	第四十二条　ネットワーク運営者は、収集したユーザー情報を厳重に秘匿し、ユーザー情報保護制度を整備しなければならない。
网络运营者处理个人信息，应当遵守本法和《中华人民共和国民法典》、《中华人民共和国个人信息保护法》等法律、行政法规的规定。	ネットワーク運営者が個人情報を処理する場合、本法及び『中華人民共和国民法典』、『中華人民共和国個人情報保護法』等の法律・行政法規の規定を遵守しなければならない。
第四十三条　网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。	第四十三条　ネットワーク運営者は個人情報を収集・利用する際、合法・正当・必要の原則に従い、収集・利用規則を公開し、情報の収集・利用目的・方法・範囲を明示し、収集対象者の同意を得なければならない。
网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。	ネットワーク運営者は、提供するサービスと無関係な個人情報を収集してはならず、法律・行政法規の規定及び双方の合意に違反して個人情報を収集・利用してはならない。また、法律・行政法規の規定及びユーザーとの合意に基づき、保存する個人情報を処理しなければならない。
第四十四条　网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。	第四十四条　ネットワーク運営者は、収集した個人情報を漏洩、改ざん、毀損してはならない。収集対象者の同意を得ずに、個人情報を他人に提供してはならない。ただし、処理により特定個人を識別できず、かつ復元不可能な場合はこの限りではない。
网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。	ネットワーク運営者は、技術的措置その他の必要な措置を講じ、収集した個人情報の安全を確保し、情報の漏洩、毀損、紛失を防止しなければならない。個人情報の漏洩、毀損、紛失が発生した、または発生するおそれがある場合には、直ちに是正措置を講じ、規定に従い速やかに利用者に通知するとともに、関係主管部門に報告しなければならない。
第四十五条　个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息；发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正。	第四十五条　個人は、ネットワーク運営者が法律・行政法規の規定または双方の合意に違反して個人情報を収集・利用していることを発見した場合、当該ネットワーク運営者に対し個人情報の削除を要求する権利を有する。また、ネットワーク運営者が収集・保存した個人情報に誤りがあることを発見した場合、当該ネットワーク運営者に対し訂正を要求する権利を有する。ネットワーク運営者は削除または修正のための措置を講じなければならない。
第四十六条　任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。	第四十六条　いかなる個人及び組織も、個人情報を窃取その他の違法な方法で取得してはならず、個人情報を違法に販売または提供してはならない。
第四十七条　依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的个人信息、隐私和商业秘密严格保密，不得泄露、出售或者非法向他人提供。	第四十七条　法に基づきサイバーセキュリティ監督管理の職責を負う部門及びその職員は、職務遂行中に知り得た個人情報、プライバシー及び営業秘密を厳重に秘匿し、漏洩、販売または違法な提供を行ってはならない。
第四十八条　任何个人和组织应当对其使用网络的行为负责，不得设立用于实施诈骗，传授犯罪方法，制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组，不得利用网络发布涉及实施诈骗，制作或者销售违禁物品、管制物品以及其他违法犯罪活动的信息。	第四十八条　いかなる個人及び組織も、自らのネットワーク利用行為について責任を負わなければならない。詐欺の実行、犯罪方法の伝授、禁止物品・規制物品の製造・販売等の違法犯罪活動を行うためのウェブサイトや通信グループを設置してはならず、ネットワークを利用して詐欺の実行、禁止物品・規制物品の製造・販売その他の違法犯罪活動に関する情報を発信してはならない。
第四十九条　网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。	第四十九条　ネットワーク運営者は、ユーザーが公開する情報の管理を強化しなければならない。法律・行政法規で公開または送信が禁止されている情報を発見した場合は、直ちに当該情報の送信を停止し、削除等の措置を講じて情報の拡散を防止するとともに、関連記録を保存し、関係主管部門に報告しなければならない。
第五十条　任何个人和组织发送的电子信息、提供的应用软件，不得设置恶意程序，不得含有法律、行政法规禁止发布或者传输的信息。	第五十条　いかなる個人・組織も、送信する電子情報または提供するアプリケーションソフトに、悪意のあるプログラムを設定してはならず、法律・行政法規で公開または送信が禁止されている情報を含んではならない。
电子信息发送服务提供者和应用软件下载服务提供者，应当履行安全管理义务，知道其用户有前款规定行为的，应当停止提供服务，采取消除等处置措施，保存有关记录，并向有关主管部门报告。	電子情報送信サービス提供者とアプリケーションソフトウェアダウンロードサービス提供者は、安全管理義務を履行しなければならない。利用者が前項に規定する行為を行っていることを知った場合、サービス提供を停止し、削除等の措置を講じ、関連記録を保存し、関係主管部門に報告しなければならない。
第五十一条　网络运营者应当建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信息安全的投诉和举报。	第五十一条　ネットワーク運営者は、ネットワーク情報セキュリティに関する苦情・通報制度を確立し、苦情・通報方法等の情報を公表し、ネットワーク情報セキュリティに関する苦情・通報を適時に受理し処理しなければならない。
网络运营者对网信部门和有关部门依法实施的监督检查，应当予以配合。	ネットワーク運営者は、ネット情報部門及び関係部門が法に基づき実施する監督検査に協力しなければならない。
第五十二条　国家网信部门和有关部门依法履行网络信息安全监督管理职责，发现法律、行政法规禁止发布或者传输的信息的，应当要求网络运营者停止传输，采取消除等处置措施，保存有关记录；对来源于中华人民共和国境外的上述信息，应当通知有关机构采取技术措施和其他必要措施阻断传播。	第五十二条　国家ネット情報部門及び関係部門は、法に基づきネットワーク情報セキュリティ監督管理職責を履行し、法律・行政法規で禁止されている情報の公開または伝送を発見した場合、ネットワーク運営者に対し伝送停止、除去等の措置を講じ、関連記録を保存するよう要求しなければならない。中華人民共和国国外に由来する上記情報については、関係機関に対し技術的措置その他の必要な措置を講じて伝播を遮断するよう通知しなければならない。
第五章　监测预警与应急处置	第五章　監視・警報と緊急対応
第五十三条　国家建立网络安全监测预警和信息通报制度。国家网信部门应当统筹协调有关部门加强网络安全信息收集、分析和通报工作，按照规定统一发布网络安全监测预警信息。	第五十三条　国はサイバーセキュリティ監視警報及び情報通報制度を確立する。国家サイバーセキュリティ部門は関係部門を統括調整し、サイバーセキュリティ情報の収集・分析・通報業務を強化するとともに、規定に基づき統一的にサイバーセキュリティ監視警報情報を発表しなければならない。
第五十四条　负责关键信息基础设施安全保护工作的部门，应当建立健全本行业、本领域的网络安全监测预警和信息通报制度，并按照规定报送网络安全监测预警信息。	第五十四条　重要情報インフラの安全保護を担当する部門は、当該業界・分野におけるサイバーセキュリティ監視警報及び情報通報制度を整備・確立し、規定に基づきサイバーセキュリティ監視警報情報を報告しなければならない。
第五十五条　国家网信部门协调有关部门建立健全网络安全风险评估和应急工作机制，制定网络安全事件应急预案，并定期组织演练。	第五十五条　国家サイバー空間管理部門は関係部門を調整し、サイバーセキュリティリスクアセスメント及び緊急対応メカニズムを整備し、サイバーセキュリティインシデント対応計画を策定し、定期的に訓練を実施する。
负责关键信息基础设施安全保护工作的部门应当制定本行业、本领域的网络安全事件应急预案，并定期组织演练。	重要情報インフラの安全保護を担当する部門は、自業界・自分野のサイバーセキュリティインシデント対応計画を策定し、定期的に訓練を実施しなければならない。
网络安全事件应急预案应当按照事件发生后的危害程度、影响范围等因素对网络安全事件进行分级，并规定相应的应急处置措施。	サイバーセキュリティインシデント対応計画は、インシデント発生後の危害の程度、影響範囲等の要素に基づきインシデントを分類し、対応する緊急措置を規定しなければならない。
第五十六条　网络安全事件发生的风险增大时，省级以上人民政府有关部门应当按照规定的权限和程序，并根据网络安全风险的特点和可能造成的危害，采取下列措施：	第五十六条　サイバーセキュリティインシデント発生リスクが高まった場合、省級以上の人民政府関係部門は、定められた権限と手順に基づき、かつサイバーセキュリティリスクの特性及び引き起こし得る危害に応じて、以下の措置を講じるものとする：
（一）要求有关部门、机构和人员及时收集、报告有关信息，加强对网络安全风险的监测；	（一）関係部門・機関・関係者に対し、関連情報の迅速な収集・報告を求め、サイバーセキュリティリスクの監視を強化すること；
（二）组织有关部门、机构和专业人员，对网络安全风险信息进行分析评估，预测事件发生的可能性、影响范围和危害程度；	（二）関係部門・機関及び専門家を組織し、サイバーセキュリティリスク情報をアセスメントし、インシデント発生の可能性・影響範囲・危害程度を予測すること；
（三）向社会发布网络安全风险预警，发布避免、减轻危害的措施。	（三）社会に対しサイバーセキュリティリスク警報を発令し、危害を回避・軽減する措置を公表する。
第五十七条　发生网络安全事件，应当立即启动网络安全事件应急预案，对网络安全事件进行调查和评估，要求网络运营者采取技术措施和其他必要措施，消除安全隐患，防止危害扩大，并及时向社会发布与公众有关的警示信息。	第五十七条　サイバーセキュリティインシデントが発生した場合、直ちにサイバーセキュリティインシデント緊急対応計画を発動し、インシデントの調査・アセスメントを実施する。ネットワーク運営者に対し技術的措置その他の必要な措置を講じ、安全上の隠れた危険を除去し、危害の拡大を防止するよう要求するとともに、速やかに社会に対し公衆に関連する警戒情報を公表する。
第五十八条　省级以上人民政府有关部门在履行网络安全监督管理职责中，发现网络存在较大安全风险或者发生安全事件的，可以按照规定的权限和程序对该网络的运营者的法定代表人或者主要负责人进行约谈。网络运营者应当按照要求采取措施，进行整改，消除隐患。	第五十八条　省級以上の人民政府の関連部門は、サイバーセキュリティ監督管理職責を履行する過程で、ネットワークに重大な安全リスクが存在することまたは安全事件が発生したことを発見した場合、規定された権限と手続きに基づき、当該ネットワーク運営者の法定代表者または主要責任者に対して面談を行うことができる。ネットワーク運営者は要求に従い措置を講じ、是正を行い、リスクを排除しなければならない。
第五十九条　因网络安全事件，发生突发事件或者生产安全事故的，应当依照《中华人民共和国突发事件应对法》、《中华人民共和国安全生产法》等有关法律、行政法规的规定处置。	第五十九条　サイバーセキュリティ事件により突発事件または生産安全事故が発生した場合、『中華人民共和国突発事件対応法』、『中華人民共和国安全生産法』等の関連法律・行政法規の規定に基づき処理しなければならない。
第六十条　因维护国家安全和社会公共秩序，处置重大突发社会安全事件的需要，经国务院决定或者批准，可以在特定区域对网络通信采取限制等临时措施。	第六十条　国家安全及び社会公共秩序の維持、重大な突発的社会安全事件の処理の必要性に基づき、国務院の決定または承認を得て、特定区域においてネットワーク通信に対する制限等の臨時措置を講じることができる。
第六章　法　律　责　任	第六章　法　律　責　任
第六十一条　网络运营者不履行本法第二十三条、第二十七条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。	第六十一条　ネットワーク運営者が本法第二十三条及び第二十七条に定めるサイバーセキュリティ保護義務を履行しない場合、関係主管部門は是正を命じ、警告を与え、一万元以上五万元以下の罰金を科すことができる。是正を拒むか、サイバーセキュリティを危害する結果を招いた場合、五万元以上五十万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者には一万元以上十万元以下の罰金を科す。
关键信息基础设施的运营者不履行本法第三十五条、第三十六条、第三十八条、第四十条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处五万元以上十万元以下罚款；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。	重要情報インフラの運営者が本法第三十五条、第三十六条、第三十八条、第四十条に定めるサイバーセキュリティ保護義務を履行しない場合、関係主管部門は是正を命じ、警告を与え、五万元以上十万元以下の罰金を科すことができる。是正を拒むか、サイバーセキュリティを危害する結果を招いた場合、十万元以上百万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者に対し一万元以上十万元以下の罰金を科す。
有前两款行为，造成大量数据泄露、关键信息基础设施丧失局部功能等严重危害网络安全后果的，由有关主管部门处五十万元以上二百万元以下罚款，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款；造成关键信息基础设施丧失主要功能等特别严重危害网络安全后果的，处二百万元以上一千万元以下罚款，对直接负责的主管人员和其他直接责任人员处二十万元以上一百万元以下罚款。	前二項の行為により、大量のデータ漏洩、重要情報インフラの局部的機能喪失等の重大なサイバーセキュリティ危害を招いた場合、関係主管部門は五十万元以上二百万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者には五万元以上二十万元以下の罰金を科す。重要情報インフラの主要機能喪失等の特に深刻なサイバーセキュリティ危害を招いた場合、200万元以上1000万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者に対し20万元以上100万元以下の罰金を科す。
第六十二条　违反本法第二十四条第一款、第二款和第五十条第一款规定，有下列行为之一的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款：	第六十二条　本法第二十四条第一項、第二項及び第五十条第一項の規定に違反し、次の行為のいずれかを行った場合、関係主管部門は是正を命じ、警告を与える。是正を拒むか、またはサイバーセキュリティを危害する結果を招いた場合、五万元以上五十万元以下の罰金を科し、直接責任を負う主管者には一万元以上十万元以下の罰金を科す：
（一）设置恶意程序的；	（一）悪意のあるプログラムを設置した場合；
（二）对其产品、服务存在的安全缺陷、漏洞等风险未立即采取补救措施，或者未按照规定及时告知用户并向有关主管部门报告的；	（二）製品・サービスに存在する安全上の欠陥・脆弱性等のリスクに対し、直ちに是正措置を講じなかった場合、または規定に従い速やかにユーザーに通知し関係主管部門に報告しなかった場合
（三）擅自终止为其产品、服务提供安全维护的。	（三）製品・サービスに対する安全保守の提供を無断で終了した場合
有前款第一项、第二项行为，造成本法第六十一条第三款规定的后果的，依照该款规定处罚。	前項第一号・第二号の行為により、本法第六十一条第三項に規定する結果を生じたときは、同項の規定に基づき処罰する。
第六十三条　违反本法第二十五条规定，销售或者提供未经安全认证、安全检测或者安全认证不合格、安全检测不符合要求的网络关键设备和网络安全专用产品的，由有关主管部门责令停止销售或者提供，给予警告，没收违法所得；没有违法所得或者违法所得不足十万元的，并处二万元以上十万元以下罚款；违法所得十万元以上的，并处违法所得一倍以上五倍以下罚款；情节严重的，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。法律、行政法规另有规定的，依照其规定。	第六十三条　本法第二十五条の規定に違反し、安全認証・安全検査を受けていない、または安全認証不合格・安全検査不適合のネットワーク重要設備及びサイバーセキュリティ専用製品を販売または提供した者は、関係主管部門により販売・提供の停止を命じられ、警告を与えられ、違法所得を没収される。違法所得がない、または十万元未満の場合、二万元以上十万元以下の罰金を併科する。違法所得が十万元以上の場合、違法所得の1倍以上5倍以下の罰金を併科する。情状が重い場合、関連業務の一時停止、営業停止による改善、関連業務許可証の取消しまたは営業許可証の取消しを命ずることができる。法律・行政法規に別段の定めがある場合は、その規定による。
第六十四条　网络运营者违反本法第二十六条第一款规定，未要求用户提供真实身份信息，或者对不提供真实身份信息的用户提供相关服务的，由有关主管部门责令改正；拒不改正或者情节严重的，处五万元以上五十万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。	第六十四条　ネットワーク運営者が本法第二十六条第一項の規定に違反し、ユーザーに実名情報の提供を求めなかった場合、または実名情報を提供しないユーザーに関連サービスを提供した場合、関係主管部門は是正を命ずる。是正を拒むか、または情状が重い場合、五万元以上五十万元以下の罰金を科し、関連業務の停止、営業停止・改善、ウェブサイトまたはアプリケーションの閉鎖、関連業務許可証の取消しまたは営業許可証の取消しを命ずることができる。直接責任を負う主管者およびその他の直接責任者には一万元以上十万元以下の罰金を科す。
第六十五条　违反本法第二十八条规定，开展网络安全认证、检测、风险评估等活动，或者向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息的，由有关主管部门责令改正，给予警告，可以处一万元以上十万元以下罚款；拒不改正或者情节严重的，处十万元以上一百万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。	第六十五条　本法第二十八条の規定に違反し、サイバーセキュリティ認証、検査、リスクアセスメント等の活動を実施した場合、またはシステム脆弱性、コンピュータウイルス、ネットワーク攻撃、ネットワーク侵入等のサイバーセキュリティ情報を社会に公表した場合、関係主管部門は是正を命じ、警告を与え、一万元以上十万元以下の罰金を科すことができる。是正を拒むか、または情状が重い場合には、10万元以上100万元以下の罰金を科し、関連業務の一時停止、営業停止・改善、ウェブサイトまたはアプリケーションの閉鎖、関連業務許可証の取消しまたは営業許可証の取消しを命ずることができる。直接責任を負う主管者およびその他の直接責任者には1万元以上10万元以下の罰金を科す。
有前款行为，造成本法第六十一条第三款规定的后果的，依照该款规定处罚。	前項の行為により、本法第61条第3項に規定する結果を生じた場合には、同項の規定に基づき処罰する。
第六十六条　违反本法第二十九条规定，从事危害网络安全的活动，或者提供专门用于从事危害网络安全活动的程序、工具，或者为他人从事危害网络安全的活动提供技术支持、广告推广、支付结算等帮助，尚不构成犯罪的，由公安机关没收违法所得，处五日以下拘留，可以并处五万元以上五十万元以下罚款；情节较重的，处五日以上十五日以下拘留，可以并处十万元以上一百万元以下罚款。	第六十六条　本法第二十九条の規定に違反し、サイバーセキュリティを危害する活動に従事し、またはサイバーセキュリティ危害活動に専ら使用するプログラム・ツールを提供し、もしくは他人のサイバーセキュリティ危害活動に対し技術支援・広告宣伝・決済支援等を提供した場合、犯罪を構成しないときは、公安機関は違法所得を没収し、五日以下の拘留に処し、五万元以上五十万元以下の罰金を併科することができる。情状が重い場合は、5日以上15日以下の拘留に処し、10万元以上100万元以下の罰金を併科することができる。
单位有前款行为的，由公安机关没收违法所得，处十万元以上一百万元以下罚款，并对直接负责的主管人员和其他直接责任人员依照前款规定处罚。	前項の行為を法人が行った場合、公安機関は違法所得を没収し、10万元以上100万元以下の罰金を科す。また、直接責任を負う主管者及びその他の直接責任者に対し、前項の規定に基づき処罰する。
违反本法第二十九条规定，受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。	本法第二十九条の規定に違反し、治安管理処罰を受けた者は、5年間、サイバーセキュリティ管理及びネットワーク運営の重要ポストに就くことを禁止する。刑事処罰を受けた者は、終身、サイバーセキュリティ管理及びネットワーク運営の重要ポストに就くことを禁止する。
第六十七条　关键信息基础设施的运营者违反本法第三十七条规定，使用未经安全审查或者安全审查未通过的网络产品或者服务的，由有关主管部门责令限期改正、停止使用、消除对国家安全的影响，处采购金额一倍以上十倍以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。	第六十七条　重要情報インフラの運営者が本法第三十七条の規定に違反し、安全審査を受けていない、または安全審査に合格していないネットワーク製品またはサービスを使用した場合、関係主管部門は期限を定めて是正、使用停止、国家安全保障への影響の除去を命じ、調達金額の1倍以上10倍以下の罰金を科す。直接責任を負う主管者及びその他の直接責任者には1万元以上10万元以下の罰金を科す。
第六十八条　违反本法第四十八条规定，设立用于实施违法犯罪活动的网站、通讯群组，或者利用网络发布涉及实施违法犯罪活动的信息，尚不构成犯罪的，由公安机关处五日以下拘留，可以并处一万元以上十万元以下罚款；情节较重的，处五日以上十五日以下拘留，可以并处五万元以上五十万元以下罚款。关闭用于实施违法犯罪活动的网站、通讯群组。	第六十八条　本法第四十八条の規定に違反し、違法犯罪活動を実施するためのウェブサイトや通信グループを設置した場合、またはネットワークを利用して違法犯罪活動の実施に関わる情報を発信した場合で、まだ犯罪を構成しないときは、公安機関は五日以下の拘留を科し、一万元以上十万元以下の罰金を併科することができる。情状が重い場合は、五日以上十五日以下の拘留を科し、五万元以上五十万元以下の罰金を併科することができる。違法犯罪活動を実施するためのウェブサイト、通信グループを閉鎖する。
单位有前款行为的，由公安机关处十万元以上五十万元以下罚款，并对直接负责的主管人员和其他直接责任人员依照前款规定处罚。	前項の行為を単位が行った場合、公安機関は十万元以上五十万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者に対し前項の規定に基づき処罰する。
第六十九条　网络运营者违反本法第四十九条规定，对法律、行政法规禁止发布或者传输的信息未停止传输、采取消除等处置措施、保存有关记录、向有关主管部门报告，或者违反本法第五十二条规定，不按照有关部门的要求对法律、行政法规禁止发布或者传输的信息停止传输、采取消除等处置措施、保存有关记录的，由有关主管部门责令改正，给予警告、予以通报，可以处五万元以上五十万元以下罚款；拒不改正或者情节严重的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。	第六十九条　ネットワーク運営者が本法第四十九条の規定に違反し、法律・行政法規で禁止されている情報の送信を停止せず、削除等の措置を講じず、関連記録を保存せず、主管部門に報告しなかった場合、または本法第五十二条の規定に違反し、関係部門の要求に従って法律・行政法規で禁止されている情報の送信を停止せず、削除等の措置を講じず、関連記録を保存しなかった場合、主管部門は是正を命じ、警告・ 通報し、五万元以上五十万元以下の罰金を科すことができる。是正を拒むか、情状が重い場合には、五十万元以上二百万元以下の罰金を科し、関連業務の停止、営業停止・改善、ウェブサイトまたはアプリケーションの閉鎖、関連業務許可証または営業許可証の取消しを命じることができる。直接責任を負う主管者その他の直接責任者には五万元以上二十万元以下の罰金を科す。
有前款行为，造成特别严重影响、特别严重后果的，由有关主管部门处二百万元以上一千万元以下罚款，责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处二十万元以上一百万元以下罚款。	前項の行為により特に深刻な影響または結果を生じた場合、関係主管部門は200万元以上1000万元以下の罰金を科し、関連業務の一時停止、営業停止・改善、ウェブサイトまたはアプリケーションの閉鎖、関連業務許可証または営業許可証の取消しを命じ、直接責任を負う主管者およびその他の直接責任者に対し20万元以上100万元以下の罰金を科す。
电子信息发送服务提供者、应用软件下载服务提供者，不履行本法第五十条第二款规定的安全管理义务的，依照前两款规定处罚。	電子情報送信サービス提供者及びアプリケーションソフトウェアダウンロードサービス提供者が、本法第五十条第二項に定める安全管理義務を履行しない場合、前二項の規定に基づき処罰する。
第七十条　网络运营者违反本法规定，有下列行为之一的，由有关主管部门责令改正；拒不改正或者情节严重的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员，处一万元以上十万元以下罚款：	第七十条　ネットワーク運営者が本法の規定に違反し、次の行為のいずれかを行った場合、関係主管部門は是正を命じる。是正を拒むか、または情状が重い場合、五万元以上五十万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者に対し、一万元以上十万元以下の罰金を科す：
（一）拒绝、阻碍有关部门依法实施的监督检查的；	（一）関係部門が法に基づき実施する監督検査を拒否し、または妨害した場合
（二）拒不向公安机关、国家安全机关提供技术支持和协助的。	（二）公安機関、国家安全機関に対し技術支援及び協力を提供することを拒んだ場合
第七十一条　有下列行为之一的，依照有关法律、行政法规的规定处理、处罚：	第七十一条　次の行為のいずれかを行った者は、関連する法律・行政法規の規定に基づき処理・処罰される：
（一）发布或者传输本法第十三条第二款和其他法律、行政法规禁止发布或者传输的信息的；	（一）本法第十三条第二項及びその他の法律・行政法規が公表または送信を禁止する情報を公表または送信した場合
（二）违反本法第二十四条第三款、第四十三条至第四十五条规定，侵害个人信息权益的；	（二）本法第二十四条第三項、第四十三条から第四十五条の規定に違反し、個人情報の権益を侵害した場合
（三）违反本法第三十九条规定，关键信息基础设施的运营者在境外存储个人信息和重要数据，或者向境外提供个人信息和重要数据的。	（三）本法第三十九条の規定に違反し、重要情報インフラの運営者が個人情報や重要データを国外に保存し、または国外に提供した場合。
违反本法第四十六条规定，窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，由公安机关依照有关法律、行政法规的规定处罚。	本法第四十六条の規定に違反し、窃取その他の不法な手段で個人情報を取得し、不法に売却または他人に提供した場合で、犯罪を構成しないときは、公安機関が関連法律・行政法規の規定に基づき処罰する。
第七十二条　有本法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案，并予以公示。	第七十二条　本法に規定する違法行為があった場合、関連する法律・行政法規の規定に基づき信用記録に記録し、公示する。
第七十三条　违反本法规定，但具有《中华人民共和国行政处罚法》规定的从轻、减轻或者不予处罚情形的，依照其规定从轻、减轻或者不予处罚。	第七十三条　本法の規定に違反したが、「中華人民共和国行政処罰法」に規定する処罰を軽減、免除する事情がある場合、その規定に基づき処罰を軽減、免除する。
第七十四条　国家机关政务网络的运营者不履行本法规定的网络安全保护义务的，由其上级机关或者有关机关责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。	第七十四条　国家機関の政務ネットワークの運営者が本法に定めるサイバーセキュリティ保護義務を履行しない場合、その上級機関または関係機関は是正を命じ、直接責任を負う主管者その他の直接責任者に対して法に基づき処分を与える。
第七十五条　网信部门和有关部门违反本法第三十二条规定，将在履行网络安全保护职责中获取的信息用于其他用途的，对直接负责的主管人员和其他直接责任人员依法给予处分。	第七十五条　ネット情報部門及び関係部門が本法第三十二条の規定に違反し、サイバーセキュリティ保護職責の履行において取得した情報を他の目的に使用した場合、直接責任を負う主管者その他の直接責任者に対して法に基づき処分を与える。
网信部门和有关部门的工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。	サイバーセキュリティ部門及び関係部門の職員が職務怠慢、職権乱用、私情による不正行為を行い、犯罪を構成しない場合、法に基づき処分する。
第七十六条　违反本法规定，给他人造成损害的，依法承担民事责任。	第七十六条　本法の規定に違反し、他人に損害を与えた場合、法に基づき民事責任を負う。
违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。	本法の規定に違反し、治安管理違反行為を構成する場合、法に基づき治安管理処罰を与える。犯罪を構成する場合、法に基づき刑事責任を追及する。
第七十七条　境外的机构、组织、个人从事危害中华人民共和国网络安全的活动的，依法追究法律责任；造成严重后果的，国务院公安部门和有关部门并可以决定对该机构、组织、个人采取冻结财产或者其他必要的制裁措施。	第七十七条　国外の機関、組織、個人が中華人民共和国のサイバーセキュリティを危害する活動に従事した場合、法律責任を追及する。重大な結果を生じた場合、国務院公安部門及び関係部門は当該機関、組織、個人に対し、財産の凍結その他の必要な制裁措置を決定することができる。
第七章　附　　则	第七章　附則
第七十八条　本法下列用语的含义：	第七十八条　本法における以下の用語の定義は次の通りである：
（一）网络，是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。	（一）ネットワークとは、コンピュータその他の情報端末及び関連設備により構成され、一定の規則と手順に従って情報を収集、保存、伝送、交換、処理するシステムを指す。
（二）网络安全，是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。	（二）サイバーセキュリティとは、必要な措置を講じてネットワークに対する攻撃、侵入、妨害、破壊、不正使用及び事故を防止し、ネットワークを安定かつ確実に稼働させる状態を維持するとともに、ネットワークデータの完全性、機密性、可用性を保障する能力を指す。
（三）网络运营者，是指网络的所有者、管理者和网络服务提供者。	（三）ネットワーク運営者とは、ネットワークの所有者、管理者及びネットワークサービス提供者を指す。
（四）网络数据，是指通过网络收集、存储、传输、处理和产生的各种电子数据。	（四）ネットワークデータとは、ネットワークを通じて収集、保存、伝送、処理され、生成される各種電子データを指す。
（五）个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。	（五）個人情報とは、電子的その他の方法で記録され、単独または他の情報と組み合わせて自然人の個人を識別できる各種情報を指す。これには自然人の氏名、生年月日、身分証明書番号、個人生体認証情報、住所、電話番号などが含まれるが、これらに限定されない。
第七十九条　存储、处理涉及国家秘密信息的网络的运行安全保护，除应当遵守本法外，还应当遵守保密法律、行政法规的规定。	第七十九条　国家機密情報に関わるネットワークの保存・処理における安全保護は、本法に加え、秘密保持に関する法律・行政法規の規定を遵守しなければならない。
第八十条　军事网络的安全保护，由中央军事委员会另行规定。	第八十条　軍事ネットワークの安全保護については、中央軍事委員会が別途規定する。
第八十一条　本法自2017年6月1日起施行。	第八十一条　本法は2017年6月1日から施行する。

改訂時...

・2025.10.28 

全国人民代表大会常务委员会关于修改《中华人民共和国网络安全法》的决定	全国人民代表大会常務委員会による『中華人民共和国サイバーセキュリティ法』改正に関する決定
（2025年10月28日第十四届全国人民代表大会常务委员会第十八次会议通过）	（2025年10月28日 第十四期全国人民代表大会常務委員会第十八回会議にて可決）
第十四届全国人民代表大会常务委员会第十八次会议决定对《中华人民共和国网络安全法》作如下修改：	第十四期全国人民代表大会常務委員会第十八回会議は、『中華人民共和国サイバーセキュリティ法』を以下の通り改正することを決定した：
一、增加一条，作为第三条：“网络安全工作坚持中国共产党的领导，贯彻总体国家安全观，统筹发展和安全，推进网络强国建设。”	一、新たに第三条を追加する：「サイバーセキュリティ業務は中国共産党の指導を堅持し、総合的な国家安全観を貫徹し、発展と安全を統一的に考慮し、ネットワーク強国建設を推進する。」
二、将第十八条改为第十九条，删去第二款。	二、第十八条を第十九条とし、第二項を削除する。
三、增加一条，作为第二十条：“国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，完善人工智能伦理规范，加强风险监测评估和安全监管，促进人工智能应用和健康发展。	三、新たに条文を追加し、第二十条とする：「国は人工知能の基礎理論研究及びアルゴリズム等の重要技術の研究開発を支援し、訓練データ資源、計算能力等のインフラ整備を推進し、人工知能の倫理規範を整備し、リスク監視及びアセスメントを強化し、人工知能の応用と健全な発展を促進する。
“国家支持创新网络安全管理方式，运用人工智能等新技术，提升网络安全保护水平。”	国はサイバーセキュリティ管理方法の革新を支援し、人工知能等の新技術を活用して、サイバーセキュリティ保護水準の向上を図る。」
四、将第四十条改为第四十二条，增加一款，作为第二款：“网络运营者处理个人信息，应当遵守本法和《中华人民共和国民法典》、《中华人民共和国个人信息保护法》等法律、行政法规的规定。”	四、第四十条を第四十二条とし、新たに第二項を追加する：「ネットワーク運営者が個人情報を処理する場合、本法及び『中華人民共和国民法典』、『中華人民共和国個人情報保護法』等の法律・行政法規の規定を遵守しなければならない。」
五、将第五十九条改为第六十一条，修改为：“网络运营者不履行本法第二十三条、第二十七条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。	五、 第五十九条を第六十一条に改め、次のように修正する：「ネットワーク運営者が本法第二十三条及び第二十七条に定めるサイバーセキュリティ保護義務を履行しない場合、関係主管部門は是正を命じ、警告を与え、一万元以上五万元以下の罰金を科すことができる。是正を拒むか、サイバーセキュリティ危害等の結果を招いた場合、五万元以上五十万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者には一万元以上十万元以下の罰金を科す。
“关键信息基础设施的运营者不履行本法第三十五条、第三十六条、第三十八条、第四十条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处五万元以上十万元以下罚款；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。	重要情報インフラの運営者が本法第三十五条、第三十六条、第三十八条、第四十条に定めるサイバーセキュリティ保護義務を履行しない場合、関係主管部門は是正を命じ、警告を与え、五万元以上十万元以下の罰金を科すことができる。是正を拒むか、サイバーセキュリティを危害する結果を招いた場合、十万元以上百万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者に一万元以上十万元以下の罰金を科す。
“有前两款行为，造成大量数据泄露、关键信息基础设施丧失局部功能等严重危害网络安全后果的，由有关主管部门处五十万元以上二百万元以下罚款，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款；造成关键信息基础设施丧失主要功能等特别严重危害网络安全后果的，处二百万元以上一千万元以下罚款，对直接负责的主管人员和其他直接责任人员处二十万元以上一百万元以下罚款。”	前項二項の行為により、大量のデータ漏洩、重要情報インフラの局部的機能喪失等の重大なサイバーセキュリティ危害を招いた場合、関係主管部門は五十万元以上二百万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者には五万元以上二十万元以下の罰金を科す。重要情報インフラの主要機能喪失等の特に深刻なサイバーセキュリティ危害を招いた場合、200万元以上1000万元以下の罰金を科し、直接責任を負う主管者及びその他の直接責任者に対し20万元以上100万元以下の罰金を科す。」
六、将第六十条改为第六十二条，增加一款，作为第二款：“有前款第一项、第二项行为，造成本法第六十一条第三款规定的后果的，依照该款规定处罚。”	六、第六十条を第六十二条とし、新たに一項を追加して第二項とする：「 前項第一号及び第二号の行為により、本法第六十一条第三項に規定する結果を生じた場合、同項の規定に基づき処罰する。」
七、增加一条，作为第六十三条：“违反本法第二十五条规定，销售或者提供未经安全认证、安全检测或者安全认证不合格、安全检测不符合要求的网络关键设备和网络安全专用产品的，由有关主管部门责令停止销售或者提供，给予警告，没收违法所得；没有违法所得或者违法所得不足十万元的，并处二万元以上十万元以下罚款；违法所得十万元以上的，并处违法所得一倍以上五倍以下罚款；情节严重的，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。法律、行政法规另有规定的，依照其规定。”	七、新たに一条を追加し、第六十三条とする：「本法第二十五条の規定に違反し、安全認証・安全検査を受けていない、又は安全認証不合格・安全検査不適合のネットワーク重要設備及びサイバーセキュリティ専用製品を販売又は提供した場合、関係主管部門は販売又は提供の停止を命じ、警告を与え、違法所得を没収する。違法所得がないか、違法所得が10万元未満の場合は、2万元以上10万元以下の罰金を併科する。違法所得が10万元以上の場合は、違法所得の1倍以上5倍以下の罰金を併科する。情状が重い場合は、関連業務の一時停止、営業停止による改善、関連業務許可証の取消しまたは営業許可証の取消しを命ずることができる。法律・行政法規に別段の定めがある場合は、その規定による。」
八、将第六十一条改为第六十四条，其中的“并可以由有关主管部门责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照”修改为“并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照”。	八、第六十一条を第六十四条とし、その中の「関係主管部門は関連業務の停止、営業停止による改善、ウェブサイトの閉鎖、関連業務許可証の取消しまたは営業許可証の取消しを命ずることができる」を「関係主管部門は関連業務の停止、営業停止による改善、ウェブサイトまたはアプリケーションの閉鎖、関連業務許可証の取消しまたは営業許可証の取消しを命ずることができる」に改める。
九、将第六十二条改为第六十五条，修改为：“违反本法第二十八条规定，开展网络安全认证、检测、风险评估等活动，或者向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息的，由有关主管部门责令改正，给予警告，可以处一万元以上十万元以下罚款；拒不改正或者情节严重的，处十万元以上一百万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。	九、第六十二条を第六十五条に改め、次のように修正する。「本法第二十八条の規定に違反し、サイバーセキュリティ認証、検査、リスクアセスメント等の活動を実施した場合、またはシステム脆弱性、コンピュータウイルス、ネットワーク攻撃、ネットワーク侵入等のサイバーセキュリティ情報を社会に公表した場合、関係主管部門は是正を命じ、警告を与え、一万元以上十万元以下の罰金を科すことができる。是正を拒むか、または情状が重い場合には、10万元以上100万元以下の罰金を科し、関連業務の一時停止、営業停止・改善、ウェブサイトまたはアプリケーションの閉鎖、関連業務許可証の取消しまたは営業許可証の取消しを命ずることができる。直接責任を負う主管者およびその他の直接責任者には1万元以上10万元以下の罰金を科す。
“有前款行为，造成本法第六十一条第三款规定的后果的，依照该款规定处罚。”	「前項の行為により、本法第61条第3項に規定する結果を生じた場合には、同項の規定に基づき処罰する。」
十、将第六十五条改为第六十七条，修改为：“关键信息基础设施的运营者违反本法第三十七条规定，使用未经安全审查或者安全审查未通过的网络产品或者服务的，由有关主管部门责令限期改正、停止使用、消除对国家安全的影响，处采购金额一倍以上十倍以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。”	十、第六十五条を第六十七条に改め、次のとおり修正する。「重要情報インフラの運営者が本法第三十七条の規定に違反し、安全審査を受けていない、または安全審査に合格していないネットワーク製品またはサービスを使用した場合、関係主管部門は期限を定めて是正、使用停止、国家安全への影響の除去を命じ、調達金額の1倍以上10倍以下の罰金を科し、直接責任を負う主管者その他の直接責任者には1万元以上10万元以下の罰金を科す。」
十一、将第六十八条、第六十九条第一项合并，作为第六十九条，修改为：“网络运营者违反本法第四十九条规定，对法律、行政法规禁止发布或者传输的信息未停止传输、采取消除等处置措施、保存有关记录、向有关主管部门报告，或者违反本法第五十二条规定，不按照有关部门的要求对法律、行政法规禁止发布或者传输的信息停止传输、采取消除等处置措施、保存有关记录的，由有关主管部门责令改正，给予警告、予以通报，可以处五万元以上五十万元以下罚款；拒不改正或者情节严重的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。	十一、 第六十八条及び第六十九条第一項を統合し、第六十九条として次のように改正する。「ネットワーク運営者が本法第四十九条の規定に違反し、法律・行政法規で禁止されている情報の送信を停止せず、削除等の措置を講じず、関連記録を保存せず、関係主管部門に報告しなかった場合、または本法第五十二条の規定に違反し、関係部門の要求に従って法律・行政法規で禁止されている情報の送信を停止せず、削除等の措置を講じず、関連記録を保存しなかった場合、 関係主管部門は是正を命じ、警告を与え、通報するとともに、5万元以上50万元以下の罰金を科すことができる。是正を拒む場合または情状が重い場合には、50万元以上200万元以下の罰金を科し、関連業務の停止、営業停止・改善、ウェブサイトまたはアプリケーションの閉鎖、関連業務許可証または営業許可証の取消しを命ずることができる。直接責任を負う主管者その他の直接責任者には5万元以上20万元以下の罰金を科す。
“有前款行为，造成特别严重影响、特别严重后果的，由有关主管部门处二百万元以上一千万元以下罚款，责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处二十万元以上一百万元以下罚款。	前項の行為により特に重大な影響または特に重大な結果を生じた場合、関係主管部門は二百万元以上一千万元以下の罰金を科し、関連業務の停止、営業停止・改善、ウェブサイトまたはアプリケーションの閉鎖、関連業務許可証の取消しまたは営業許可証の取消しを命じ、直接責任を負う主管者その他の直接責任者に対し二十万元以上百万元以下の罰金を科す。
“电子信息发送服务提供者、应用软件下载服务提供者，不履行本法第五十条第二款规定的安全管理义务的，依照前两款规定处罚。”	「電子情報送信サービス提供者及びアプリケーションソフトウェアダウンロードサービス提供者が、本法第五十条第二項に定める安全管理義務を履行しない場合、前二項の規定に基づき処罰する。」
十二、将第六十四条、第六十六条、第七十条合并，作为第七十一条，修改为：“有下列行为之一的，依照有关法律、行政法规的规定处理、处罚：	十二、第六十四条、第六十六条及び第七十条を統合し、第七十一条として次のように改正する：「次の行為のいずれかを行う者は、関連する法律・行政法規の規定に基づき処理・処罰する：
“（一）发布或者传输本法第十三条第二款和其他法律、行政法规禁止发布或者传输的信息的；	「（一）本法第十三条第二項及びその他の法律・行政法規で禁止されている情報を発信または伝送した場合；
“（二）违反本法第二十四条第三款、第四十三条至第四十五条规定，侵害个人信息权益的；	「（二）本法第二十四条第三項、第四十三条から第四十五条の規定に違反し、個人情報の権益を侵害した場合；
“（三）违反本法第三十九条规定，关键信息基础设施的运营者在境外存储个人信息和重要数据，或者向境外提供个人信息和重要数据的。	「（三）本法第三十九条の規定に違反し、重要情報インフラの運営者が個人情報や重要データを国外に保存、または国外に提供した場合。
“违反本法第四十六条规定，窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，由公安机关依照有关法律、行政法规的规定处罚。”	「本法第46条の規定に違反し、個人情報を窃取し、その他の不法な方法で取得し、不法に売却し、または不法に他人に提供した場合で、犯罪を構成しないときは、公安機関は関連する法律・行政法規の規定に基づき処罰する。」
十三、增加一条，作为第七十三条：“违反本法规定，但具有《中华人民共和国行政处罚法》规定的从轻、减轻或者不予处罚情形的，依照其规定从轻、减轻或者不予处罚。”	十三、新たに一条を追加し、第七十三条とする：「本法の規定に違反したが、『中華人民共和国行政処罰法』に規定される情状酌量の事由、減軽事由または処罰免除事由に該当する場合は、その規定に基づき情状酌量、減軽または処罰を免除する。」
十四、将第七十五条改为第七十七条，修改为：“境外的机构、组织、个人从事危害中华人民共和国网络安全的活动的，依法追究法律责任；造成严重后果的，国务院公安部门和有关部门并可以决定对该机构、组织、个人采取冻结财产或者其他必要的制裁措施。”	十四、第七十五条を第七十七条とし、次のように改める：「国外の機関、組織、個人が中華人民共和国のサイバーセキュリティを危害する活動に従事した場合、法に基づき法的責任を追及する。重大な結果を招いた場合、国務院公安部門及び関係部門は当該機関、組織、個人に対し、財産の凍結その他の必要な制裁措置を決定することができる。」
本决定自2026年1月1日起施行。	本決定は2026年1月1日から施行する。
《中华人民共和国网络安全法》根据本决定作相应修改并对条文顺序作相应调整，重新公布。	『中華人民共和国サイバーセキュリティ法』は本決定に基づき相応の修正を加え、条文順序を調整した上で、改めて公布する。

ちょっとした情報提供...

・2026.01.05 因势而谋系统推进网络安全立法迈入新阶段

因势而谋系统推进网络安全立法迈入新阶段	情勢に応じて計画を立て、サイバーセキュリティ法制を体系的に推進し新たな段階へ
网络安全作为国家安全的重要组成部分，对国家经济发展和安全具有全局性、基础性支撑作用。《中华人民共和国网络安全法》是我国网络立法的重要里程碑，不仅切实回应了保障网络安全、促进信息化健康发展的现实需求，也对我国网络法治建设具有重要意义。2025年10月28日，十四届全国人大常委会第十八次会议表决通过《全国人民代表大会常务委员会关于修改〈中华人民共和国网络安全法〉的决定》，自2026年1月1日起施行。此次修改立足于数字时代发展方位，把握信息革命演进大势，坚持因势而谋、应势而动、顺势而为，贯彻落实总体国家安全观，科学设置不同类型违法行为法律责任，系统引导人工智能发展与安全，对于深入推进依法治网、进一步筑牢国家网络安全屏障具有重要意义。	サイバーセキュリティは国家安全保障の重要な構成要素であり、国家の経済発展と安全に対して全体的かつ基礎的な支えとなる役割を果たす。『中華人民共和国サイバーセキュリティ法』はわが国のネットワーク立法における重要なマイルストーンであり、サイバーセキュリティの保障と情報化の健全な発展を促進するという現実的なニーズに確実に応えるだけでなく、わが国のネットワーク法治建設にとって重要な意義を持つ。2025年10月28日、第十四期全国人民代表大会常務委員会第十八回会議は「全国人民代表大会常務委員会による『中華人民共和国サイバーセキュリティ法』改正に関する決定」を採択し、2026年1月1日より施行される。今回の改正はデジタル時代の発展段階に立脚し、情報革命の進展の大勢を把握し、情勢に応じて策を講じ、情勢に応じて行動し、情勢に順応することを堅持し、総合的な国家安全観を貫徹し、異なる類型違法行為の法的責任を科学的に設定し、人工知能の発展と安全を体系的に導くものであり、法に基づくネットワーク統治を深く推進し、国家のサイバーセキュリティ障壁をさらに強固にする上で重要な意義を持つ。
全面认识网络安全法的实施成效	サイバーセキュリティ法の実施効果を全面的に認識する
网络安全形势伴随技术产业发展动态变化，我国网络安全法律制度也适应不同互联网发展阶段与时俱进。其中，网络安全法作为我国第一部全面规范网络安全和信息化的基础性法律，对于落实总体国家安全观，维护国家网络空间主权、安全和发展利益具有十分重要的意义，为推进网络强国建设提供了重要法律保障。	サイバーセキュリティ情勢は技術産業の発展に伴い動的に変化し、わが国のサイバーセキュリティ法制度もインターネット発展の異なる段階に適応して時代と共に進歩してきた。その中で、サイバーセキュリティ法はわが国初のサイバーセキュリティと情報化を包括的に規範化する基礎的法律として、総合的な国家安全保障観の実現、国家のサイバースペース主権・安全・発展利益の維持に極めて重要な意義を持ち、ネットワーク強国建設の推進に重要な法的保障を提供している。
自2017年6月1日施行以来，网络安全法不仅为我国网络安全领域构筑起坚实的制度保障，更全面推动我国网络法治建设迈入规范化、系统化发展阶段。一方面，网络安全法与相关法律法规共同构成有机整体。网络安全法既在横向上联动《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等网络领域专门立法及《中华人民共和国民法典》《中华人民共和国刑法》《中华人民共和国未成年人保护法》等相关领域立法，协同构建网络领域立法顶层设计；又在纵向上为《关键信息基础设施安全保护条例》等行政法规提供法律依据，形成系统完备的网络安全法律制度体系。另一方面，网络安全法加速推进我国网络法治建设进程。网络安全法施行以来，推动我国网络法律体系不断健全、网络法治实施持续深化、网络法治意识和素养全面提升、网络法治国际交流合作持续推进，网络法治建设各方面取得历史性成就，网络强国建设迈上新台阶。	2017年6月1日の施行以来、サイバーセキュリティ法は我が国のサイバーセキュリティ分野に堅固な制度的保障を構築しただけでなく、我が国のネットワーク法治建設を規範化・体系化の発展段階へと全面的に推進した。一方で、サイバーセキュリティ法は関連法規と有機的な全体を構成している。サイバーセキュリティ法は、横方向では『中華人民共和国データ安全法』『中華人民共和国個人情報保護法』などのネットワーク分野の専門立法や、『中華人民共和国民法典』『中華人民共和国刑法』『中華人民共和国未成年者保護法』などの関連分野の立法と連携し、ネットワーク分野の立法におけるトップダウン設計を共同で構築している。また縦方向では『重要情報インフラ安全保護条例』などの行政法規に法的根拠を提供し、体系的で完備されたサイバーセキュリティ法制度体系を形成している。一方で、サイバーセキュリティ法はわが国のネットワーク法治建設プロセスを加速させている。同法施行以来、わが国のネットワーク法体系は絶えず健全化され、ネットワーク法治の実施は持続的に深化し、ネットワーク法治意識と素養は全面的に向上し、ネットワーク法治の国際交流協力は継続的に推進され、ネットワーク法治建設の各方面で歴史的成果を収め、ネットワーク強国建設は新たな段階へと進んだ。
准确理解新形势下网络安全法的新调整	新たな情勢下におけるサイバーセキュリティ法の新たな調整を正確に理解する
世界正经历百年未有之大变局，国际力量格局深刻调整、新一轮科技革命和产业变革加速演进。在此背景下，网络安全法的修改适应网络安全新形势新要求，回应人工智能等战略性技术取得的新发展，重点强化网络安全法律责任，加强与相关法律的衔接协调，彰显了网络空间对国家经济发展和安全的战略意义。	世界は百年に一度の大変革期を経験しており、国際力学構造は深く調整され、新たな科学技術革命と産業変革が加速している。この背景のもと、サイバーセキュリティ法の改正はサイバーセキュリティの新たな情勢と要求に適応し、人工知能などの戦略的技術が新たな発展を遂げたことに対応し、特にサイバーセキュリティの法的責任を強化し、関連法律との連携・調整を強化し、サイバー空間が国家経済発展と安全にとって持つ戦略的意義を明らかにしている。
（一）贯彻落实总体国家安全观，充实网络安全工作指导原则。当前，网络空间已成为继陆、海、空、天之后的第五疆域，网络空间安全风险也已成为影响国家安全的重大变量。近年来，网络安全风险进一步凸显，利用网络从事网络入侵、网络攻击、传播违法信息等违法行为屡有发生，给国家安全带来新的挑战。网络安全法修改以总体国家安全观为根本遵循，深刻把握发展与安全的辩证统一关系。本次修改新增了第三条，将“坚持党的领导”写入指导原则，同时将“网络强国建设”首次写入法律，是习近平总书记关于网络强国的重要思想的直接体现，进一步推动了网络强国战略等重大部署法律化，为新时代网络安全工作提供了根本遵循。	（一）総合的な国家安全観を貫徹し、サイバーセキュリティ業務の指導原則を充実させる。現在、サイバー空間は陸・海・空・宇宙に次ぐ第五の領域となり、サイバー空間のリスクは国家安全保障に影響を与える重大な変数となっている。近年、サイバーセキュリティリスクは一層顕在化し、ネットワークを利用した侵入・攻撃・違法情報拡散などの違法行為が頻発し、国家安全保障に新たな挑戦をもたらしている。サイバーセキュリティ法改正は、総合的な国家安全保障観を根本的な指針とし、発展と安全の弁証法的統一関係を深く把握している。今回の改正では新たに第三条が追加され、「党の指導を堅持する」ことが指導原則に明記されると同時に、「サイバー強国建設」が初めて法律に盛り込まれた。これは習近平総書記のサイバー強国に関する重要な思想を直接反映したものであり、サイバー強国戦略などの重要施策の法制化をさらに推進し、新時代のサイバーセキュリティ業務に根本的な指針を提供している。
（二）适应技术应用发展新形势，增加促进人工智能安全与发展内容。人工智能技术快速发展，正引领新一轮科技革命和产业变革，深刻改变人类生产生活方式。人工智能等新技术具有“双刃剑”效应，既是引发网络安全风险挑战的新变量，也是提升网络安全保护水平的新增量。新修改的网络安全法积极回应当前人工智能健康发展和安全治理的需要，新增人工智能专门条款。这是我国首次在法律层面规定人工智能专条，既回应了人工智能算法安全、训练数据泄露等新挑战，又通过“运用人工智能等新技术，提升网络安全保护水平”条款，实现技术治理的闭环，实现了“以发展促安全、以安全保发展”的制度导向。	（二）技術応用発展の新たな情勢に適応し、人工知能の安全と発展を促進する内容を追加した。人工知能技術は急速に発展し、新たな科学技術革命と産業変革を牽引し、人類の生産・生活様式を深く変えている。人工知能などの新技術は「両刃の剣」効果を持ち、サイバーセキュリティリスクの新たな変数であると同時に、サイバーセキュリティ保護水準を高める新たな増分でもある。改正されたサイバーセキュリティ法は、現在の人工知能の健全な発展と安全ガバナンスの必要性に積極的に応え、人工知能に関する特別条項を新設した。これはわが国が初めて法律レベルで人工知能の特別条項を規定したものであり、人工知能アルゴリズムの安全性や訓練データの漏洩といった新たな課題に対応すると同時に、「人工知能などの新技術を活用してサイバーセキュリティ保護レベルを向上させる」という条項を通じて、技術ガバナンスの閉ループを実現し、「発展によって安全を促進し、安全によって発展を保障する」という制度的指向を実現した。
（三）提升网络安全法律体系协同性，加强相关法律间的有机衔接。网络安全法构建了网络运行安全、网络数据安全、个人信息保护等基础制度。2021年以来，数据安全法、个人信息保护法等网络安全相关立法相继制定实施，《中华人民共和国行政处罚法》修订出台，对相关法律制度作出细化完善。新修改的网络安全法加强与相关法律有机衔接，推动法律体系形成合力。其一，新增规定明确网络运营者处理个人信息的法律适用，完善了与民法典、个人信息保护法等法律、行政法规的衔接。其二，将侵害个人信息权益行为、违法向境外提供重要数据行为等情形的法律责任改为衔接性规定，科学优化相关网络安全法律责任制度。其三，统筹考虑网络安全法和行政处罚法的适用关系，推动实现网络安全领域执法工作的精细化。	（三）サイバーセキュリティ法体系の連携性を高め、関連法律間の有機的接続を強化する。サイバーセキュリティ法はネットワーク運用安全、ネットワークデータ安全、個人情報保護などの基礎制度を構築した。2021年以降、データ安全法、個人情報保護法などのサイバーセキュリティ関連立法が相次いで制定・施行され、『中華人民共和国行政処罰法』の改正が公布され、関連法律制度が詳細化・改善された。改正されたサイバーセキュリティ法は関連法律との有機的接続を強化し、法体系の相乗効果形成を推進する。第一に、新たに規定を追加し、ネットワーク運営者が個人情報を処理する際の法律適用を明確化し、民法典や個人情報保護法などの法律・行政法規との連携を改善した。第二に、個人情報権益侵害行為や重要データの違法な国外提供行為などの状況における法的責任を連携規定に変更し、関連するサイバーセキュリティの法的責任制度を科学的に最適化した。第三に、サイバーセキュリティ法と行政処罰法の適用関係を総合的に考慮し、サイバーセキュリティ分野における法執行業務の精密化を実現するよう推進した。
（四）回应监管执法实践新需求，针对性健全重点领域安全法律责任。随着国内外网络安全形势不断发展变化、网络安全相关立法相继制定实施，网络安全法既有法律责任条款的适应性问题日渐凸显。新修改的网络安全法聚焦解决突出重点问题，通过提高违法成本、完善处罚机制等方式，有效增强了法律的威慑力。一方面，结合实践中危害网络安全后果的情况，增加了对造成大量数据泄露、导致关键信息基础设施丧失功能等违法行为的处罚；另一方面，对销售或者提供不符合要求的网络关键设备和网络安全专用产品的行为，增加法律责任规定，有效保障网络领域供应链安全。	（四）監督執行実務の新たなニーズに応え、重点分野の安全責任を重点的に整備した。国内外のサイバーセキュリティ情勢が絶えず変化し、関連立法が相次いで制定・施行される中、現行サイバーセキュリティ法の責任規定の適応性が次第に顕在化していた。改正されたサイバーセキュリティ法は、突出した重点問題の解決に焦点を当て、違法コストの引き上げや処罰メカニズムの改善などを通じて、法律の抑止力を効果的に強化した。一方で、実務におけるサイバーセキュリティ危害の結果を踏まえ、大量のデータ漏洩を引き起こす行為や重要情報インフラの機能喪失を招く行為などに対する処罰を追加した。他方で、要求を満たさないネットワーク重要設備やサイバーセキュリティ専用製品を販売または提供する行為に対する法的責任規定を追加し、ネットワーク分野のサプライチェーン安全を効果的に保障した。
（五）坚持过罚相当分类施策原则，精准设置不同类型违法行为法律责任。科学合理的法律责任设置，是持续优化营商环境、促进稳预期强信心有力保障。尤其在人工智能、大数据等新技术新业态加速发展的背景下，更需要避免“一刀切”式的处罚方式挫伤市场主体的积极性和创新活力，为新技术新业态新模式的健康发展预留充足空间。新修改的网络安全法针对网络运行安全违法行为、网络信息安全违法行为设置阶梯式的处罚措施，根据一般性违法，拒不改正或者情节严重的，造成特别严重影响、特别严重后果等不同情形分类施策，科学合理设置宽严相济的法律责任，切实保障网络执法既有力度又有温度。	（五）過罰相当の分類施策原則を堅持し、異なる類型違法行為の法的責任を精密に設定する。科学的かつ合理的な法的責任設定は、ビジネス環境の持続的最適化と安定的な期待・信頼の促進を強力に保障する。特に人工知能やビッグデータなどの新技術・新業態が加速的に発展する背景において、「画一的な」処罰方式が市場主体の積極性や革新活力を損なうことを避け、新技術・新業態・新モデルの健全な発展に十分な余地を残す必要がある。改正されたサイバーセキュリティ法は、ネットワーク運用安全違反行為やネットワーク情報安全違反行為に対し段階的な処罰措置を設け、一般的な違反、是正を拒む場合や情状が重い場合、特に深刻な影響や結果をもたらした場合など、異なる状況に応じて分類した対応を取る。寛厳相済の法的責任を科学的に合理的に設定し、ネットワーク法執行が力強さと温かみを兼ね備えることを確実に保障する。
更好发挥法治的引领、规范、保障作用	法の支配の先導・規範・保障機能をより良く発揮する
网络安全法的修改是我国顺应信息时代发展要求、筑牢国家安全屏障的重要举措，集中体现了我国统筹高质量发展和高水平安全的理念，对于深化推进网络空间法治化进程意义深远。2026年1月1日，修改后的网络安全法正式施行，标志着我国网络安全法治建设进入新阶段。以此为契机，应扎实推进法律贯彻实施，全面推进国家网络安全体系和能力现代化，更好发挥法治对改革发展稳定的引领、规范、保障作用，为数字经济高质量发展、网络强国建设稳步推进提供更加坚实的法治保障。（作者：中国信息通信研究院互联网法律研究中心主任 何波）	サイバーセキュリティ法の改正は、我が国が情報時代の発展要求に応え、国家安全保障の障壁を強化する重要な措置であり、高品質な発展と高水準の安全を統合的に推進する理念を集中的に体現している。これはサイバー空間の法治化プロセスを深化させる上で、極めて深い意義を持つ。2026年1月1日、改正サイバーセキュリティ法が正式施行され、わが国のサイバーセキュリティ法治建設が新たな段階に入ったことを示す。これを契機に、法律の着実な実施を推進し、国家サイバーセキュリティ体系と能力の近代化を全面的に推進し、法治が改革・発展・安定に対して果たす指導的・規範的・保障的役割をより良く発揮させ、デジタル経済の高品質発展とサイバー強国建設の着実な推進により強固な法治的保障を提供すべきである。（筆者：中国情報通信研究院インターネット法律研究センター所長 何波）

各国代表の新年の挨拶 2026年

こんにちは、丸山満彦です。

年頭あいさつシリーズ...

国・地域	政府トップ	表題
日本	高市早苗 首相	高市内閣総理大臣　令和８年　年頭所感
中国	習近平 国家主席	国家主席习近平发表二〇二六年新年贺词
米国	ドナルド・トランプ 大統領	不明
欧州委員会（EC）	ウルズラ・フォン・デア・ライエン委員長	不明
英国	キア・スターマー 首相	The Prime Minister's New Year’s Message: 31 December 2025
ドイツ	フリードリヒ・メルツ 首相	The Federal Chancellor’s New Year address
フランス	エマニュエル・マクロン 大統領	Vœux aux Français pour 2026.
イタリア	ジョルジャ・メローニ 首相	End-of-year message from the President of the Republic, Sergio Mattarella
カナダ	マーク・カーニー 首相	Statement by Prime Minister Carney to mark the New Year
オーストラリア	アンソニー・アルバニージー 首相	不明

3つのAIによる要約...

日本： 高市早苗 内閣総理大臣	危機を突破し、技術と改革の力で再び強く前へ進む。	「『分水嶺』を越える意志と、国家戦略としての『危機管理投資』」	「丙午の分水嶺」で、技術投資と人材力を軸とした『強い経済』への構造転換を断行する。
	高市首相は就任からの77日間を振り返り、物価高騰への対応として経済対策の策定と補正予算編成、所得税減税を含む税制改正大綱の決定、次年度予算の閣議決定まで一気に走り抜けたと強調する。外交面ではASEAN関連首脳会議、AZEC首脳会合、日米首脳会談、APEC、G20、中央アジア＋日本首脳会合など多国間・二国間の場で日本の存在感を示したことに言及し、目の前の課題に「懸命に駆け抜けた」一年だったと述べる。首相官邸ホームページ+1一方で、青森県東方沖地震など相次ぐ国内災害に触れ、被災者への哀悼と支援継続の決意を示し、日本の長い歴史と固有の文化、美しい自然、互助的な社会を次世代へ引き継ぐ使命を強調する。干支の丙午を「昨年からのエネルギーが一段と発展する年」と位置づけ、ガソリン税など暫定税率の廃止に象徴される前向きな改革をさらに加速させ、「やればできる」を合言葉に困難な改革にも果敢に挑戦する年にしたいと国民に呼びかけた。首相官邸ホームページ+2	高市首相の演説は、日本特有の慎重さをかなぐり捨て、強烈な「突破力」を前面に押し出した内容です。干支の「丙午（ひのえうま）」を引用し、停滞する空気を打破する「エネルギー」の重要性を説いた点は、国民のデフレマインド払拭を狙う心理的ショック療法とも読めます。 特筆すべきは、経済政策の主軸を従来の漠然とした成長戦略から、「危機管理投資」という安全保障と経済をリンクさせた概念へ明確にシフトさせた点です。半導体や「フィジカルAI」といった特定技術領域への巨額投資を、単なる産業振興ではなく「他国に依存しないための生存戦略」と定義付けました。 また、財政規律を意識しつつも「必要な分野には大胆に」と断言し、減税と賃上げの好循環を約束する姿勢は、実利と理念を巧みに組み合わせたポピュリズムとリアリズムのハイブリッド型リーダーシップを感じさせます。「世界に打って出る」という言葉からは、国際社会における日本のプレゼンスを、調整役から「戦略的プレイヤー」へと引き上げる強い野心が透けて見えます。	高市総理の年頭挨拶は「丙午（ひのえうま）の年」という易学的フレーミングで日本を歴史的転換点に位置づけ、人口減少という「静かな非常事態」を「分水嶺」として語り直した。政策は三層構造で、第一に AI・半導体・宇宙開発といった戦略分野に10兆円以上の公的支援を投じ50兆円超の官民投資を促す「危機管理投資」、第二に現役世代への所得税減税と教育無償化による「人材力」強化、第三に日米同盟深化とインド太平洋主導権確保である。能登地震の被災地での経験から「国民の底力」を引き出すことを強調し、ボトムアップの市民活動とトップダウン指導性のバランスを取ろうとしている。技術革新を通じた経済成長で「希望」を創出する戦略であるが、米国関係の変化やロシア・北朝鮮の脅威に対する安全保障政策の詳細な道筋は示されておらず、急速に変動する国際秩序への適応力の検証が課題である。
中国： 習近平 国家主席	歴史の大勢に従い、統一と発展を不可逆の力で押し進める。	「『歴史の必然』としての現代化と、揺るぎなき自信の誇示」	「十四五」成果を列挙し、世界的混乱の中での「中国の前進」を強調、制度の正当性を再確認する。
	習主席は新年の挨拶で、2025年の中国経済が約140兆元規模となり、政府目標である成長率約5％を達成できる見通しだと述べ、「圧力の中でも強い回復力と活力を示した」と自賛する。経済運営では「質の高い発展」と「有効な質的向上と合理的な量的成長」を掲げ、2026年により積極的なマクロ政策を講じる方針を示し、イノベーションやグリーン技術を通じた長期的成長への道筋を語った。The Hindu+1同時に、人工知能や半導体、宇宙・軍事技術など戦略分野での躍進を強調し、技術強国としての自信と、国防・安全保障面での近代化を「中国式現代化」の中核として位置づける。対台湾については「祖国統一は時代の大勢であり、止められない」と述べ、統一の意思は揺らがないとの姿勢を改めて表明しつつ、両岸同胞は「血は水よりも濃い」存在だと情緒的な表現も織り込み、歴史的使命と民族感情を結びつける語り方で国民の結束を訴えた。AOL+1全体として、経済・技術・統一という三つの柱を貫き、「自信」と「不可逆的な流れ」というキーワードで中国の進路を正当化する構成になっている。	習主席のメッセージは、世界的な地政学的混乱を「変乱交織」と認めつつも、中国はその嵐の中で着実に前進しているという「体制の優位性」を内外に誇示するものです。「中国式現代化」の成果として、グリーン技術や宇宙開発、独自イノベーションを列挙し、第15次五カ年計画への接続を強調することで、国民に対し「路線の正しさ」を再確認させています。 特筆すべきは、台湾統一について「歴史の大勢」という言葉で断固たる意志を改めて示した点です。これは、外部からの圧力に対する一切の妥協拒否を意味します。一方で、国内向けには「枝葉の情」といった表現で民生への配慮を見せ、経済減速に伴う社会的不満を、国家への忠誠心とナショナリズムで包み込もうとする意図が見て取れます。 全体として、欧米主導の秩序が揺らぐ中、中国こそが「歴史の正しい側」に立ち、グローバル・サウスを牽引する安定した極であるという、強烈な自負と戦略的持続性が貫かれた演説です。	習主席の年頭挨拶は「十四五」（2021-2025年）最終年の成果と「十五五」（2026-2030年）への展望を圧倒的な自信をもって語り、GDP140万億元達成と経済・科技・国防・総合国力の「四つの台階を上った」との成果列挙型で、世界経済の不確実性が増す中での「中国は前進している」というメッセージを前面に掲げた。AI大模型・芯片自主研発・衛星産業といった科技革新と非物質文化遺産・古韵国風といった伝統文化の融合を強調し、文化的自信を表現すると同時に、「人類命運共同体」と「全球治理倡議」を通じて世界秩序再編における中国の主導性を暗に主張し、台湾統一の「歴史的必然性」と「一国二制」の堅持を明言した。ただし「乱」（世界の混乱）への危機認識は最小限で、国内の南北格差や世代間葛藤への言及も限定的であり、危機認識よりも制度正当性の強調が優先されている。テクノロジー競争での優位維持が党の統治正当性を支える不可欠な要件との診断が背後にある。
英国： キア・スターマー 首相	希望と実務の力で、分断と停滞から確かな再建へと歩み出す。	「幻想を排し、崩れた礎石を積み直す『現実的な希望』」	「国民の苦しみを理解し、2026年には確実な変化が感じられる」——対話型で生活改善を約束する。
	スターマー首相はメッセージの冒頭で「英国では厳しい状況が続き、多くの人にとって生活は本来より苦しい」と率直に認め、生活費危機が国民生活に与えた打撃に言及する。国民が「少し余裕のある財布」「外食や休暇」「家族の特別な時間をより特別にしたい」と願っていると述べ、そのささやかな希望こそ政治が支えるべき対象だと位置づける。GOV.UK2026年には、政府が行ってきた選択の結果として、光熱費や生活費、地域社会、保健医療サービスにおいて「前向きな変化」を実感できる人が増えると約束し、「再生（renewal）」という言葉で時代の方向性を示す。具体的には、3月までに警察官を増員し、地域の治安回復に取り組むほか、NHSの立て直しなど公共サービス改善を通じて「本来の英国の姿が再び輝き始める」年にすると誓う。GOV.UK+1メッセージ全体は、派手なレトリックよりも現実の厳しさを認めた上で「希望」と「確かな実務」を結びつける構成で、「分断と衰退ではなく、着実な再建の道を選ぶ」として自らの政権の路線を正当化している。	スターマー首相の言葉には、派手なスローガンやナショナリズムの昂揚はありません。その代わりに、生活費危機や公共サービスの劣化に喘ぐ国民に対し、「魔法の杖はない」という冷徹な現実認識と、だからこそ信頼に足る「着実な修復」を約束する誠実さが溢れています。 「刷新（Renewal）」を掲げつつも、その中身はNHS（国民保健サービス）の待機時間短縮や警察官の増員、光熱費の抑制といった、市民生活の「足元」を固める実務的な課題に集中しています。これは、長年の保守党政権下で傷んだ社会インフラと信頼を回復することが、英国再生の唯一の道であるという確信に基づくものでしょう。 政治不信が極まる中、「政治は人々の生活を良くするための奉仕である」という原点回帰を訴え、分断を煽るポピュリズムに対して「安定と実績」で対抗しようとする姿勢は、地味ながらも強靭な民主主義の復元力を感じさせます。	スターマー首相の年頭メッセージは「物事は難しかった。多くの人がまだ苦しんでいる」という現状認識から入り、「2026年には変化が感じられ始める」と約束する極度に簡潔で生活者志向の対話型説得戦略である。3月までの警察増員、4月のエネルギー料金引き下げと医療ハブ拡充、鉄道料金・処方箋料・燃料税凍結という限定的かつ即座的な政策を提示し、公共サービスの劣化と生活費危機が最大課題であることが如実である。国際的脅威（ウクライナ、中東）への言及がないため英国の地政学的後退を示唆しつつ、「政治が再び機能することの重要性」を強調することで、労働党政権が直面する民主主義制度への信頼喪失からの回復を図ろうとしている。評価すべきは国内の停滞を認めた上で「小さくても実現する改革」の積み重ねの重要性を示唆した点だが、構造的な国力衰退への処方箋は乏しい。
ドイツ： フリードリヒ・メルツ 連邦首相	危機の時代を恐れず、自信と責任をもって欧州の未来を切り拓く。	「『依存』からの決別と、自立した欧州強国への覚醒」	「歴史的転換期」の多層的脅威に対し、防衛・改革を同時推進し自律性を再奪取する。
	メルツ首相は年頭演説で、2025年という一年を、個々人にとっても国家にとっても「成功と挫折、新しさと喪失が交錯した年」と総括し、年の瀬は個人と国全体の双方にとって「決算」の時だと語りかける。2月の連邦議会選挙で国民がドイツの進路を選択し、新政権が「決然とした行動と明確なコンパス」で国の針路を定める役割を担うことになったと述べ、新政府への信任を訴える。Die Bundesregierung+1世界的な危機や不安定な国際情勢、ウクライナ戦争などに触れつつ、ドイツは「偉大な国」であり、2026年も自国の力を信じ、勇気と自信（Zuversicht）を持って前進すべきだと強調する。内政では社会保障制度の改革や経済の競争力回復に取り組む決意を示し、「勤勉」「自助」といった保守的価値観をにじませながら、財政規律と投資の両立を図る方針を打ち出す。Die Bundesregierung+1同時に、欧州防衛や対ロシア政策をめぐり、米国動向に左右されず「自らの安全保障を自らの手で確保する欧州」の必要性を訴え、ウクライナ支援継続にコミットした。全体として、危機の時代を「転換点」として受け止め、悲観を打ち消すための強いレトリックと、地に足のついた改革アジェンダを組み合わせた演説となっている。Die Bundesregierung+2	メルツ首相の演説は、戦後ドイツの平和主義的・経済中心的な姿勢からの決定的かつ不可逆的な転換（Zeitenwendeの深化）を告げるものです。米国政治の不透明化を背景に、欧州の安全保障を他国に委ねる時代の終わりを宣言し、国防費の大幅増額（GDP比3.5%目標の堅持）や経済構造改革を、国民に「痛み」を伴う努力として要求しています。 「自信（Zuversicht）」という言葉を繰り返し使いながらも、それは根拠なき楽観ではなく、勤勉さと自己改革によってのみ得られるものであると説く姿は、厳格な父親像を想起させます。社会保障改革や規制撤廃への言及は、ドイツ経済の錆びついたエンジンを再起動させるための「ショック療法」の必要性を示唆しています。 「大国の駒にはならない」という強い意志は、ドイツが再び欧州の戦略的自律の中核として、経済力だけでなく軍事・政治力においてもリーダーシップを行使する覚悟を決めたことを世界に伝えています。	ショルツ首相の年頭演説は「我々は歴史的転換期（epochal shift）を目撃している」との冷徹な現実主義の診断から、ロシアのウクライナ侵略、米国の戦略転換、保護主義の台頭、中国・北朝鮮の軍事拡張といった複層的脅威を列挙して対応策の必要性を強調した。防衛予算の大幅増加、基本法改正による国防財政の制度化、志願兵制度導入、国家安全保障評議会設置という防衛力強化と同時に、社会保障制度の根本改革（市民給付廃止、年金制度改革）と産業競争力強化（規制緩和、税制軽減）を並行推進する二重の改革を志向している。特異な点は「我々は外部環境の被害者ではなく、自らの力で対応できる」との主体性を強調し、戦後ドイツが相対的に依存的だった安全保障体制からの転換を宣言した点であり、欧州統合深化と米国依存軽減の両立を目指す中で、ドイツが欧州防衛の「脊椎」たることを甘受する戦略的転換を示している。
フランス： エマニュエル・マクロン 大統領	団結と主権の力で、無秩序の世界に立ち向かい欧州を導く。	「帝国の復活に抗う、欧州主権と共和主義の『抵抗』」	「統一・独立・希望」の三願いで、欧州防衛の自立化とウクライナ支援、国内改革を同時推進する。
	マクロン大統領はまず、治安部隊、消防士、医療従事者、ボランティアなど「国家の継続性を支える人々」への感謝を表し、孤立や困窮、病にある市民にも思いを寄せると語り、連帯の感覚を前面に出す。演説の柱として、国内外の「脅威に晒されたヨーロッパ」、終末期医療（fin de vie）やインターネット規制などの社会的課題、そして2027年大統領選を控えた「行動の最後の年」という時間軸を提示する。Actu.fr+2対外的には、ウクライナ戦争やロシアの脅威に言及し、フランスと欧州が「力（force）」と「独立（主権）」を取り戻し、無秩序や帝国主義的衝動に対抗する必要性を訴える。国内政策では、教育・医療・治安・農業支援など、日々の生活を支える分野の再建を掲げ、特に若者の機会、公教育の基礎学力回復、農村や郊外の治安問題への対応を優先課題として位置づける。CNEWS+1演説全体のキーワードとして、大統領自ら「三つの願い」として掲げた「統一（unit é）・力（force）・希望（espérance）」が繰り返され、分断と疲弊が進む社会に対し、「諦めずに抵抗し続ける共和国」のイメージを再構築しようとしている。	マクロン大統領のメッセージは、単なる年頭挨拶を超え、文明論的な警告と戦闘宣言の様相を呈しています。「帝国の復活」や「世界の無秩序」に対し、フランスと欧州が生き残る道は「主権の確立」以外にないという切迫感が全体を支配しています。 「統一、独立、希望」という三つの願いは、国内の極右勢力による分断圧力と、国外の権威主義的圧力に対する二重の「防波堤」構築を意図しています。防衛、技術、農業における「パワー・ヨーロッパ（力ある欧州）」構想を加速させ、ウクライナ支援や独自の外交イニシアチブを通じて、米中対立の狭間で埋没しない「第三の極」としての欧州を確立しようとする執念が感じられます。 「諦めてはならない」という繰り返しのフレーズは、疲弊する国民を鼓舞すると同時に、共和国の普遍的価値（自由・平等・博愛）こそが、混沌とする世界における唯一の羅針盤であるという哲学的確信に基づいています。	マクロン大統領の年頭演説は「統一」「独立」「希望」という三つの願いで構成された高度に構造化された哲学的・共和主義的なメッセージで、外交・防衛から教育・医療・地方自治まで広範な政策領域に触れながらも、重心は欧州防衛と戦略的自立にある。ウクライナ支援の具体化（1月6日パリ平和サミット）、防衛産業強化、AI・量子・宇宙分野での欧州的独立性確保を強調し、同時に農業保護と治安・教育改革により国内基盤を堅実にする戦略を示唆している。興味深いのは2027年大統領選不出馬を宣言しながらも「最後の秒まで働く」と覚悟を示した点で、フランスの危機認識が戦争・経済不安定性・社会分裂の複合であり、その処方箋が「再度の欧州的リーダーシップ」にあるとの診立てが明確である。ただし国内の政治的分裂（極右の台頭など）への直接的対処は限定的で、外交的活動による信頼回復が優先されている。
イタリア： セルジョ・マッタレッラ 大統領	人間の尊厳と平和を守るため、イタリアは対話と倫理の力で世界に向き合う。	「歴史の重みを鏡とし、精神の武装解除を説く『良心の守護者』」	共和国80年の歴史から、民主主義と平和の価値を再確認し、若い世代への責任的呼びかけを行う。
	マッタレッラ大統領は「決して容易ではなかった一年が終わろうとしている」と切り出し、その最大の背景として、ウクライナの都市の住居やエネルギーインフラ破壊、ガザの壊滅と乳児までが凍死する惨状を描き出し、平和への切実な希求を語る。こうした現実を前に、「力で優位に立つ者が平和を拒むことは、ますます理解し難く、忌まわしい（ripugnante）」と厳しく批判し、国際社会、とりわけ欧州と大西洋同盟の責任を問いかける。Quirinale+1国内に向けては、イタリア共和国の歩みを振り返りつつ、女性の権利、若者の将来、社会的包摂といったテーマを挙げ、民主共和国の価値は日々の選択と連帯によって守られると説く。若者には「諦めてはならない、自らの未来を自分で選び取れ」と呼びかけ、市民一人ひとりの倫理的責任と公共心を強調する姿勢は、父性的かつ道徳的なレトリックの特徴が色濃い。TGCOM24+1全体として、具体的な政策羅列よりも、人間の尊厳と平和の倫理を軸に、イタリア社会が内外の危機にどう向き合うべきかを静かに、しかし力強く諭すメッセージとなっている。	マッタレッラ大統領の演説は、政治的な政策論争を超越し、国家の道徳的支柱としての役割を全うする格調高いものです。共和国建国80周年という歴史的節目を「フォトアルバム」として提示し、ファシズムやテロリズムを乗り越えてきたイタリアの民主主義の強靭さを、分断されがちな現代社会に再提示しています。 ウクライナやガザでの悲劇を念頭に、「平和とは単なる休戦ではなく、他者を尊重する精神のあり方である」と説き、言葉の暴力や憎悪の連鎖（「言葉の武装解除」）に警鐘を鳴らす姿は、欧州における「賢人」としての存在感を示しています。 若者に対し「批判的であれ、情熱的であれ」と呼びかけ、社会参加を促す姿勢は、政治不信に対する解毒剤としての「市民的責務」を強調するものです。激動の時代において、変わらぬ価値観と人間性を守り抜くことこそが最大の防衛策であるという、静かなる闘志が込められています。	マッタレッラ大統領の年頭メッセージは共和国80年の歴史的スパンから現在を位置づけ、戦争と暴力への強い拒否、民主主義価値の再確認、若い世代への期待と責任感の喚起を中核としている。極右勢力の台頭、EU内での政治的対立、南北経済格差といったイタリアが直面する各種危機に対して、制度的民主主義の堅持と市民的連帯による対抗を志向し、共和国という理念への立ち返りを危機打開の鍵とする戦略である。この手法は、イタリアの政治的脆弱性（政権交代の頻繁さ、地域分裂、制度的不安定性）を前にした、ある種の「理想的自己確認」とも言え、歴史的フォトアルバムとしての共和国の価値を国民に想起させることで、現在の政治的混乱を超越的な枠組みで理解させようとしている。民主主義制度そのものへの脅威が高まる中での、制度防衛的で理想主義的なメッセージとして機能している。

---

● まるちゃんの情報セキュリティきまぐれ日記

・2024.01.08 各国代表の新年の挨拶 2024年

・2023.01.03 各国代表の新年の挨拶 2023年

・2022.02.04 バイデン大統領夫妻の旧正月に寄せたメッセージ. - 米国が競争しているのは、中国ではなく中国共産党政府なんでしょうね。。。

・2022.01.02 各国代表の新年の挨拶 2022年

東京都産業労働局 中小企業向けサイバーセキュリティ対策の極意 Ver.4.0 (2025.12.23)

こんにちは、丸山満彦です。

東京都産業労働局の中小企業向けサイバーセキュリティ対策のガイドが更新されていました...

サプライチェーン上重要な中小企業が存在し、その中小企業がランサムウェアにより業務が停止したり、その中小企業を足場によりよりTierの高い企業への侵入につながったり、その中小企業から重要な情報が窃盗されたりすると、国の経済活動に多大な影響がでることがあり得る。

そのため、中小企業全部とは言わないが、企業の規模に関わらず経済活動にとって重要な企業はすべてサイバーセキュリティ対策を実施しておくことが必要となる。

ところが大企業に比較すると中小企業はリソースが限られている。サイバーセキュリティ対策は規模の経済が働く面が大きく、大企業と同じレベルのセキュリティ対策を中小企業が実施しようとすると、経済的になりたたなくなる。

と言う背景もあり、日本のみならず、世界各国で中小企業のサイバーセキュリティ対策というのは重要な政策課題となっています。（少なくとも2003年に経産省でサイバーセキュリティ戦略の議論をしている時からそうでした）。また、個人情報保護法のガイドラインを策定する際にも安全管理措置の面でもその議論はでました。

サイバー以外も含めてですが、J-SOXの議論の時も中小企業（ベンチャー）のIT内部統制の評価についても議論がありました。

規模の経済という構造的な問題なので、対策としては、

・「中小企業がまとまって」対策をする

・「コストを変動費にできる」対策をする

ということしかないと考えています。

お助け隊サービスはどちかというと前者の対策。クラウドサービスの利用は前者かつ後者ともいえると思います。と考えていくと、中小企業はセキュリティ対策を起点としても、クラウドシフトを加速することになります。

結果的に国の産業のクラウド依存が高まっていくことを意味します。欧州、英国、オーストラリア、（最近ではカナダ）ではソブリンクラウドのための制度づくりをしていますよね。。。（米国クラウドベンダーを締め出すのではなく、ソブリンクラウドの要件を決め、それに従っているサービスであれば採用をする一方で、欧州のクラウドベンダーの育成もしていく）

政府、重要インフラ以外にも多くの事業者がクラウドベンダーに依存していくと、集中リスクというのはあり得ますね...

この辺りは少し先の課題かもしれません...

ということで、話を元に戻して、東京都産業労働局の中小企業向けサイバーセキュリティ対策の極意 Ver.4.0 の紹介です。劇場風漫画形式となっています(^^)

●東京都 - 産業労働局 - 中小企業向けサイバーセキュリティ対策の極意ポータルサイト

・2025.12.23 [PDF]  Ver.4.0

---

日本の中小企業セキュリティガイドのようなもの...

発行元	タイトル	発行/更新年	概要
NISC（内閣サイバーセキュリティセンター、政府機関）	小さな中小企業とNPO向け 情報セキュリティハンドブック（インターネットの安全・安心ハンドブックに統合）	2023年 （Ver.5.00）	小規模事業者向けに基本的なセキュリティ対策をハンドブック形式でまとめたもの。パスワード管理や脅威対策を中心に。
総務省（政府機関）	中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）（第3版）	2022年 （第3版）	セキュリティ専任担当がいない中小企業等を対象に、テレワーク時の最低限のセキュリティ対策をチェックリスト形式で提供。テレワーク方式確認、脅威カテゴリ別の対策、緊急対応を含む。
IPA（独立行政法人情報処理推進機構）	中小企業の情報セキュリティ対策ガイドライン	2023年 （第3.1版）	経営者向け指針と実践的な対策手法をステップバイステップで説明。付録にチェックリストを含む。
東京都産業労働局	中小企業向けサイバーセキュリティ対策の極意	2025年 （Ver.3.0a）	漫画形式でわかりやすく、サイバー攻撃の現状と必須対策、事故対応を解説。Web版とPDF版あり。
愛知県	経済安全保障 中小企業向け 入門ガイド	2023年	経済安全保障の観点からサイバーセキュリティ対策を含む。従業員意識向上と体制整備を重点。
ITコンソーシアム京都（京都府関連、地方自治体支援）	セキュリティマニュアル	不明 （最新版参照）	京都府内中小企業向けにサイバー相談件数推移と対策をまとめたマニュアル。相談窓口情報あり。

---

米国、欧州、英国、オーストラリア、カナダ等の主に中小企業向けのセキュリティガイドのようなもの...

国・地域	組織	発行元	タイトル	発行/ 更新年	概要
米国	連邦政府機関	CISA	Cyber Guidance for Small Businesses	2024年	小規模事業者向けの行動計画。CEO、セキュリティマネージャー、ITリーダーの役割ごとに分かれ、MFA導入やバックアップなどの対策を説明。実際の攻撃に基づく。
米国	連邦政府機関	CISA	Cyber Essentials	2023年	小規模事業者や地方自治体リーダー向けのガイド。アクショナブルな理解を促進し、サイバーハイジーンを強調。
米国	連邦政府機関	FTC	Cybersecurity for Small Business	継続（最新2025年）	サイバー攻撃から事業を守るツール。NIST CSF 2.0 Quick Start Guideを基に、ガバナンスとリスク管理を解説。
米国	連邦政府外郭	NIST	Small Business Cybersecurity Corner	継続（最新2025年）	寄稿者からのドキュメントとリソース集。小規模事業者のサイバーセキュリティニーズに対応。
米国	連邦政府機関	SBA	Strengthen your Cybersecurity	2024年	脅威の概要と保護方法。CISAのスキャニングサービスなどを紹介。
米国	連邦政府機関	FCC	Cybersecurity for Small Businesses	継続（最新2025年）	Small Biz Cyber Planner 2.0を提供。カスタマイズされたサイバーセキュリティ計画作成ツール。
米国	連邦政府機関	DoD Office of Small Business Programs	Cybersecurity Resources	継続（最新2025年）	意識向上とコンプライアンスのためのツールとトレーニングプラットフォーム。
米国	州政府機関	California Attorney General	Guide for Small Businesses to Protect Against Cyber Attacks	2014年	従業員と顧客のリスク低減のための具体的な推奨事項。
米国	州政府機関	New York Attorney General	Small Business Guide to Cybersecurity in New York State	不明（最新2023年）	NY州中小企業向けのデータセキュリティガイド。
米国	州政府機関	New York Attorney General	Data Security Guide	2023年	効果的なデータセキュリティ対策の採用を支援。
米国	州政府機関	Texas State Securities Board	Are You Secure?	継続（最新2025年）	サイバーリスクの特定と手順の確立のための計画ガイド。
欧州	連合機関	ENISA	Cybersecurity Guide for SMEs - 12 Steps to Securing Your Business	2021年	COVID-19後のデジタル移行を考慮した12のハイレベルステップ。システムと事業のセキュリティ向上。
欧州	連合機関	ENISA	Cybersecurity for SMEs - Challenges and Recommendations	2021年	SMEの課題と推奨事項。加盟国がSMEを支援するための提案を含む。
欧州	連合外郭	European DIGITAL SME Alliance	Guide to ISO/IEC 27001 for SMEs	継続（最新2025年）	ISO 27001の実装のためのハンディガイド。
ドイツ	連邦政府機関	BSI	Small and Medium-Sized Enterprises Guidance	継続（最新2025年）	サイバーセキュリティの基本要素と短い動画。情報セキュリティのキーアスペクトをカバー。
フランス	政府機関	ANSSI	Digital Security Best Practices for Business Travellers	2019年	出張中のデジタルセキュリティベストプラクティス。
フランス	政府機関	ANSSI	Controlling the Digital Risk	不明（最新2025年）	組織のデジタルリスク管理ガイド。
イタリア	政府機関	ACN	Practical Guides for SMEs on Cyber Risks	2025年	SME向けの実用的ガイド。サイバーリスクの特定と管理。
イタリア	政府機関	Cyber 4.0	Vademecum on Cybersecurity for SMEs	継続（最新2025年）	ENISAの12ステップを基にしたSME向けガイド。
スペイン	政府機関	INCIBE	Spanish National Guidelines for Reporting and Managing Cyber Incidents	2020年	サイバーインシデントの報告と管理のためのガイドライン。
スペイン	政府機関	INCIBE	Cybersecurity for SMEs and Freelancers	2023年	デジタル世界での事業保護。セクター別のアドバイスを含む。
英国	政府機関	NCSC	Small Business Guide: Cyber Security	継続（最新2025年）	5つの簡単ステップ（バックアップ、マルウェア対策、モバイルセキュリティ、パスワード、フィッシング）。時間とお金を節約。
英国	政府機関	NCSC	Cyber Security: Small Business Guide (PDF Version)	継続（最新2025年）	一般的な攻撃からの保護のための低コストでシンプルなテクニックのまとめ。
英国	政府機関	GOV.UK	Cyber Security Guidance for Business	継続（最新2025年）	オンラインセキュリティ向上のためのガイダンス。無料の30分セッションを含む。
英国	地方	NI Cybersecurity Centre	Basic Steps to Cyber Security – Small Organisation Guide	継続（最新2025年）	5つの簡単ステップでセキュリティ向上。評判保護に焦点。
英国	市政府	Bury Council	Cyber Security Guide For Small Businesses	継続（最新2025年）	攻撃の兆候、保護方法、無料リソースのリンク。
英国	市政府	Wandsworth Council	Cyber Security: Small Business Guide	継続（最新2025年）	バックアップ、パスワードポリシー、アクセス制御の決定。
英国	地方関係	Northwest Cyber Resilience Centre	Cyber Security Guide for Small Businesses	継続（最新2025年）	北西地域の小規模事業者向け。基本、ランサムウェアなどカバー。
豪州	政府機関	ACSC	Small Business Cyber Security Guide	2023年（最新2025年）	基本的なセキュリティ対策を説明。サイバー脅威からの保護に焦点を当て、チェックリストを含む。
豪州	政府機関	ACSC	Small Business Cloud Security Guides	2022年（最新2025年）	Essential Eightをクラウド環境に適用したガイド。Microsoft 365、Google Workspaceなどの具体例。
豪州	政府機関	Business.gov.au	Cyber Security and Your Business	継続（最新2025年）	サイバー脅威の種類と被害対応。ACSCのリソースを統合した一般ガイド。
豪州	州自治体	NSW Government	7 Steps to Cybersecurity for Small Businesses	継続（最新2025年）	小規模事業者向けの7ステップガイド。脅威認識から回復計画まで。
豪州	州自治体	NSW Small Business Commissioner	Cyber Security Awareness	継続（最新2025年）	マルウェア対策とバックアップの基本。ACSCガイドを補完。
豪州	州自治体	Business Victoria	Manage Cybersecurity in Your Business	2025年	サイバー犯罪の理解と保護方法。報告手順を含む。
豪州	州自治体	Business Victoria	The Essential Small Business Guide to Cybersecurity	2021年	一般的な脅威と安全策。ACSCに基づく。
豪州	州自治体	Business Queensland	Keeping Your Business Cyber Secure	2025年	Cyber Wardensプログラムを含む対策。脅威防止の短いコース。
豪州	州自治体	Business Queensland	Cyber Security Self-Help Toolkit for Mentors	2021年	メンター向けツールキット。事業者のリスク管理支援。
豪州	州自治体	Small Business Development Corporation	Cyber Security	継続（最新2025年）	情報保護の簡単で効果的な方法。サイバー犯罪者からの防御。
豪州	州自治体	Small Business Development Corporation	Six Cyber Security Habits to Protect Your Business	継続（最新2025年）	悪い習慣の修正と6つの積極的ステップ。
カナダ	政府機関	CCCS	Baseline Cyber Security Controls for Small and Medium Organizations	2020年	低コストの13セキュリティコントロール。リスク低減と対応力向上。
カナダ	政府機関	CCCS	Cyber Security for Small Business	2020年	基本コントロールの実装支援。サイバー敵対者からの保護。
カナダ	政府機関	Get Cyber Safe	Get Cyber Safe Guide for Small and Medium Businesses	2022年	リスク理解と対策ステップ。中小企業オーナー向け。
カナダ	政府機関	Get Cyber Safe	Get Cyber Safe Guide for Small Businesses	2024年	脅威軽減のためのステップ。デバイス、ネットワーク、データ保護。
カナダ	政府機関	Get Cyber Safe	Quick Guide to Cyber Security for Small Business	2024年	6つの簡単ステップ：在庫管理から従業員トレーニングまで。
カナダ	政府機関	CyberSecure Canada	CyberSecure Canada	継続（最新2025年）	ベストプラクティスを使用したプログラム。SMEのセキュリティ強化。
カナダ	省自治体	Ontario Government	Cyber Security	2021年	サイバーセキュリティの基本と役割。
カナダ	省自治体	Alberta Government	Government of Alberta Cybersecurity Strategy 2024	2024年	脅威情報とリソース提供。SMEを含むデジタル資産保護。
カナダ	省自治体	British Columbia Government	CyberBC	2025年	公共セクターのセキュリティ向上。SME支援のためのコラボレーション。

英国 政府サイバー行動計画 (2026.01.06)

こんにちは、丸山満彦です。

英国は2022年にサイバーセキュリティ戦略を制定しておりますが、政府サイバー行動計画が発表されていますので、紹介。

4つの戦略目標...

サイバーセキュリティとレジリエンスリスクの可視性向上	政府全体のデータソースを活用し、真に政府全体および各省庁のサイバーリスクを理解するため、重要な要素を測定する。可視性の向上は行動の基盤となり、最大の影響を与えられる分野の優先順位付けを支援する。
深刻かつ複雑なリスクへの対応	政府全体にわたる深刻かつ複雑なリスクを特定・評価し、各省庁が単独で対処できない分野については、中央のレバレッジと能力向上への投資を通じて是正を図る。
急速に変化する事象への対応力向上	急速に進化するサイバー・デジタルレジリエンス上の脅威、脆弱性、インシデントに対し、より効果的に対応する能力を統合・強化する。準備態勢の強化により復旧時間が短縮され、被害が軽減される。
政府全体のサイバーレジリエンスの急速な向上	各省庁及び公共団体は、高品質な中央サービスと支援を通じてレジリエンス能力を変革する。レガシー技術など最も重大な脆弱性の是正に注力し、システム全体での知識共有と継続的改善を運用化する。

中央集権的なサイバー対応をしようということのようです。

中心機関の政府サイバーユニットは、戦略設定、予算管理、進捗監視、評価・報告を担い、国全体のサイバーリスク低減に向けて各省庁や機関と協働するということですね。日本のNCOと比較すると権限が強い感じです。

2004年に当時のNISCを作る際の議論ですが、やはり日本の内閣制度では司令塔はつくれても、政府全体を統括する実行部隊はつくれないということでしたね...もし、英国的な内閣制度にするのであれば、法改正が必要となりますが、思想的な変換を要するので時間がかかるでしょうね...

また、NCOになるときに、安全保障との関係を強め、有事においての司令塔機能が明確化されたわけですが、平時においては調整機能中心ということは変わらないですね...

ただ、今回の英国の政府サイバー行動計画から学ぶべきことは多くあるようにも思います。今後の日本政府のサイバーセキュリティ行動計画を立案する際には、参考にすると良いかもですね...

第３章から第７章の概要...

	概要	目的
第3章：説明責任	政府のあらゆるレベルにおけるサイバーリスクは、積極的に所有され効果的に管理されなければならない。責任者は効果的な管理について説明責任を負う。本項目では、責任と説明責任のメカニズムを明確にし、その履行を確保する。	・サイバーリスクの可視性向上：説明責任メカニズムと報告を通じて政府全体のサイバーリスクの可視性を高める
		・深刻かつ複雑なリスクへの対応：各部門や組織が合理的に管理できないリスクについて、中央集権的な説明責任を確立する
第4章：サポート	政府組織は、サイバーセキュリティとレジリエンスの責任を果たすために必要な能力・スキル・キャパシティを保有していない。本セクションでは、このギャップを埋めるための支援の提供方法・優先順位・アクセス方法を定める。	・英国政府のサイバーセキュリティとレジリエンスの強化：共通支援により政府・公共部門組織が要件をより迅速かつ容易に実施可能とする
		・深刻かつ複雑なリスク管理の改善：政府組織が最も重大な政府横断的リスクに対処するための的を絞ったサポート
第5章：サービス	政府組織はサイバーセキュリティとレジリエンスの課題に直面しているが、これを大規模に対処できるサービスはほとんど存在せず、存在するサービスも十分に理解・活用されていない。本章では、この課題に対処するため、大規模なサイバーサービスをどのように開発・提供・利用するかについて概説する。	・政府全体のリスク可視性の向上：政府レベルでのリスク可視性を大規模に変革できる新たな中央サービスの開発を優先する。
		・英国政府のサイバーセキュリティ及びデジタルレジリエンスの強化：中央サービス調整の確立により、中央サービス提供とアクセスを一元化する。
		・急速に展開する事象への対応力向上：脅威を検知し脆弱性を管理する能力を大規模に強化する。
第6章：対応と復旧	政府はリスクを積極的に低減するだけでなく、インシデント発生時に迅速かつ効果的に管理できる必要がある。本項目では、あらゆるレベルにおけるサイバーセキュリティ及びレジリエンス関連のインシデント対応責任を明確化し、影響を最小限に抑えるための共同対応を可能とする。	・急速に展開する事象への対応力向上：責任範囲の明確化と全レベルでの能力強化を通じ、政府及び公共部門が重大インシデントへの対応と復旧を改善する。
		・政府全体のリスク可視性の向上：大規模なインシデント及び脆弱性データを活用し、システム的リスクの理解を深め、防御を強化し、レジリエンス成果を向上させる。
第7章：スキル	政府全体におけるサイバーセキュリティ及びレジリエンスに関する理解とスキルの需要は、利用可能な人材の供給を上回る速度で増加している。リーダー、専門職、一般職員の多くがサイバーリスクと事業影響の理解を欠いている。本章では、政府サイバー専門職の確立を概説する。これは政府サイバー専門家の誘致、スキル向上、定着、支援を目的とする。	・英国政府のサイバー・デジタルレジリエンス強化：サイバー・デジタルレジリエンス人材の誘致、スキル向上、定着、支援を通じ、公共部門を専門家にとって魅力的な雇用主とする
		・深刻かつ複雑なリスクマネジメントの改善：認識・理解・活動の向上と適切な資金確保により、政府のリスクマネジメント手法を変革する

● GOV.UK

・2026.01.06 New cyber action plan to tackle threats and strengthen public services

・2026.01.06 Government Cyber Action Plan

・[HTML] Government Cyber Action Plan

・[PDF] 

目次...

Foreword	まえがき
Ministerial Foreword	大臣まえがき
Chapter 1: Introduction	第1章：はじめに
Introduction	はじめに
Chapter 2: Approach	第2章：アプローチ
Scope	範囲
Objectives	目的
Delivery strands	実施の柱
Delivery phases	実施段階
Cultural change	文化変革
Chapter 3: Accountability	第3章：説明責任
Accountability overview	説明責任概要
Cyber risk	サイバーリスク
Government-wide cyber risk	政府全体のサイバーリスク
Organisational cyber risk	組織のサイバーリスク
Lead government department model	主導政府部門モデル
Priority next steps	優先する次のステップ
Chapter 4: Support	第4章：サポート
Support overview	サポート概要
Support offer	サポート提供
Support access	サポートアクセス
Priority next steps	優先する次のステップ
Chapter 5: Services	第5章：サービス
Services overview	サービス概要
Service coordination	サービス調整
Service access	サービスアクセス
Service development	サービス開発
Priority next steps	優先する次のステップ
Chapter 6: Response and Recovery	第6章：対応と復旧
Response and recovery overview	対応と復旧概要
Prepare	準備
Detect	検知
Respond and recover	対応と復旧
Learn and improve	学習と改善
Priority next steps	優先する次のステップ
Chapter 7: Skills	第7章：スキル
Skills overview	スキル概要
Profession	専門職
Attract and upskill	人材確保とスキル向上
Retain and support	人材維持と支援
Leadership and workforce	リーダーシップと労働力
Priority next steps	優先する次のステップ
Chapter 8: The Government Cyber Unit	第8章：政府サイバーユニット
Central functions	中核機能
Function interactions	機能間の連携
Chapter 9: Implementation	第9章：実施
Implementation targets	実施目標
Implementation phases	実施段階
Phase 1 – Building (by March 2027)	第1段階 – 構築（2027年3月まで）
Phase 2 – Scaling (April 2027–2029)	第2段階 – 拡大（2027年4月～2029年）
Phase 3 – Improving (April 2029 and beyond)	第3段階 – 改善（2029年4月以降）
Glossary	用語集
Glossary	用語集

大臣まえがきから２章まで...

Chapter 1: Introduction	第1章：序論
The Prime Minister has been clear that the government exists to unite the country behind a shared purpose: to protect citizens, back public services, and secure opportunities for every family. In that spirit, this document sets out the practical, measurable steps we will take to rapidly improve the cyber security and resilience of the government and the public sector, to keep the British people safe and confident in digital government.	首相は政府の存在意義を明確に示している。国民を防御し、公共サービスを支援し、全ての家庭に機会を保障するという共通の目的のもとに国を結束させるためである。この精神に基づき、本報告書は政府及び公共部門のサイバーセキュリティとレジリエンスを迅速に強化し、英国国民がデジタル政府を安全かつ確信を持って利用できるよう、実践的かつ測定可能な措置を提示する。
The digitisation of public services offers huge advantages to the UK: we can deliver services that are more efficient, convenient and better value for money for taxpayers. However, realising these benefits relies on securing public services so that they are trustworthy and resilient. Without achieving this, increasing digitisation exposes us to increasing levels of cyber and digital resilience risk.	公共サービスのデジタル化は英国に多大な利点をもたらす： より効率的で利便性が高く、納税者にとって費用対効果に優れたサービスを提供できる。しかし、これらの利点を実現するには、公共サービスを信頼性とレジリエンスのある状態に保つことが不可欠である。これを達成できなければ、デジタル化の進展はサイバーリスクとデジタルレジリエンスリスクの増大を招く。
The Government Cyber Action Plan defines how we will secure public services so they are trustworthy and resilient, as part of the broader Roadmap for a Modern Digital Government.	政府サイバー行動計画は、より広範な「現代的デジタル政府ロードマップ」の一環として、公共サービスを信頼性とレジリエンスのある状態に保つ方法を定義している。
The scale of the challenge	課題の規模
As the National Security Strategy 2025 sets out, protecting the UK and promoting British interests is becoming more difficult. We are increasingly targeted by state threats and organised crime groups who seek to exploit our vulnerabilities. The UK has experienced repeated, systemic failures in our digital resilience and we know from experience that they pose unacceptable costs to UK citizens, from compromised personal data, to loss of access to basic public services.	国家安全保障戦略2025が示す通り、英国を防御し英国の利益を促進することはますます困難になっている。我々は国家レベルの脅威や組織犯罪集団から標的とされる機会が増加しており、彼らは我々の脆弱性を悪用しようとする。英国はデジタルレジリエンスにおいて繰り返される体系的な失敗を経験しており、個人データの侵害から基本的な公共サービスへのアクセス喪失に至るまで、それらが英国市民に許容できないコストをもたらすことを経験から知っている。
When digital systems fail, whether through a malicious cyber attack or a non-malicious outage, the impacts are immediate and profound. The cyber attack on Synnovis, which halted blood testing and forced the cancellation of surgeries across London, demonstrated how quickly a digital disruption can escalate into a major healthcare emergency. Similarly, ransomware incidents affecting local councils have incapacitated social care systems, leaving frontline workers unable to access vital information to protect vulnerable individuals. These failures are not hypothetical risks, they are recurring realities that result in service breakdown, harm to the public and erosion of trust in these services by the communities who rely on them.	デジタルシステムが機能不全に陥ると、悪意あるサイバー攻撃であれ非悪意の障害であれ、その影響は即時的かつ深刻だ。ロンドン全域で血液検査を停止させ手術の中止を余儀なくしたSynnovisへのサイバー攻撃は、デジタル障害がいかに急速に重大な医療危機へと発展しうるかを示した。同様に、地方自治体を狙ったランサムウェアインシデントは社会福祉システムを機能停止に陥らせ、最前線の職員が脆弱な個人を防御するための重要情報にアクセスできなくした。こうした失敗は仮定上のリスクではなく、サービスの崩壊、市民への危害、そしてそれらに依存する地域社会によるサービスへの信頼の喪失をもたらす繰り返される現実だ。
Since launching the Government Cyber Security Strategy (GCSS) in 2022, we have taken important steps to understand complex government systems and reduce cyber risk.[footnote 1] We established the Government Cyber Coordination Centre (GC3) to enable a single, whole of government response to incidents, threats and vulnerabilities. Our Secure by Design approach builds resilience into implementing future government digital services.[footnote 2] Our new assurance framework, GovAssure, has, for the first time, given us an objective picture of resilience levels across government systems.[footnote 3] These initiatives have delivered real improvements and given us the tools to understand the scale of the challenge we face.	2022年に政府サイバーセキュリティ戦略（GCSS）を開始して以来、我々は複雑な政府システムを理解しサイバーリスクを低減するための重要な措置を講じてきた。[footnote 1] 政府サイバー調整センター（GC3）を設立し、インシデント・サイバー脅威・脆弱性への政府全体の統一対応を可能にした。我々の「セキュア・バイ・デザイン」アプローチは、将来の政府デジタルサービス実装にレジリエンスを組み込むものである。[footnote 2] 新たな保証枠組み「GovAssure」は、政府システム全体のレジリエンスレベルを客観的に把握する初の手段となった。[footnote 3] これらの取り組みは実質的な改善をもたらし、我々が直面する課題の規模を理解するツールを提供した。
That challenge is significant, and cyber risk to the public sector is currently critically high. The State of Digital Government Review in January 2025 identified the systemic challenges underpinning our current resilience status as:	その課題は重大であり、公共部門に対するサイバーリスクは現在極めて高い水準にある。2025年1月の「デジタル政府の現状レビュー」は、現在のレジリエンス状況の根底にある体系的な課題を以下のように特定した：
・institutionalised fragmentation	・制度化された分断
・persistent legacy, cyber security and resilience risk	・持続的なレガシー、サイバーセキュリティ、レジリエンスリスク
・siloed data	・サイロ化されたデータ
・under-digitisation	・デジタル化の遅れ
・inconsistent leadership	・一貫性のないリーダーシップ
・a digital skills shortfall	・デジタルスキルの不足
・diffuse buying power	・分散した購買力
・outdated funding models	・時代遅れの資金調達モデル
GovAssure’s first year results found significant gaps in departments’ cyber security and resilience, including widespread low maturity in fundamental controls such as asset management, protective monitoring, and response planning. Nearly a third (28%) of the government technology estate is estimated to be legacy technology, and therefore highly vulnerable to attack.	GovAssureの初年度調査結果は、各省庁のサイバーセキュリティとレジリエンスに重大な欠陥があることを明らかにした。資産管理、保護監視、対応計画といった基本統制の成熟度が全体的に低い状態が広範に見られた。政府のテクノロジー資産のほぼ3分の1（28%）がレガシー技術と推定され、攻撃に対して極めて脆弱な脆弱性がある。
In addition, the UK Government’s ability to defend against threats is not keeping pace with an ever evolving threat environment. The National Audit Office has highlighted the challenge of defending our digital estate from sophisticated cyber threats by nation states and organised crime groups, and the National Cyber Security Centre’s (NCSC) Annual Review 2025 sets out the evolution of the threat environment and the continued targeting of the public sector by both state and criminal actors.[footnote 5] Malicious cyber attacks and non-malicious digital resilience failures alike continue to disrupt government as demonstrated by the 2023 British Library ransomware attack and 2024 CrowdStrike outage respectively.	さらに、英国政府の脅威防御能力は、絶えず進化する脅威環境に対応しきれていない。国家監査局は、国家や組織犯罪グループによる高度なサイバー脅威からデジタル資産を防御する難しさを指摘している。また、国家サイバーセキュリティセンター（NCSC）の2025年度年次レビューは、脅威環境の進化と、国家・犯罪者双方が公共部門を標的とし続けている実態を明らかにしている。[脚注5] 悪意あるサイバー攻撃と非悪意のデジタルレジリエンス障害の両方が政府機能を混乱させ続けている。2023年の大英図書館ランサムウェア攻撃と2024年のCrowdStrikeサービス停止がそれぞれその実例だ。
A radical shift	抜本的な転換
Given this context, we now recognise that the target set out in the GCSS for all government organisations to be resilient to known vulnerabilities and attack methods is not achievable by the original target date of 2030.	こうした状況を踏まえ、我々は今、GCSSで定められた「全ての政府組織が既知の脆弱性や攻撃手法に耐性を持つ」という目標が、当初の目標年である2030年までに達成不可能であることを認識している。
To protect our critical national infrastructure, defend public institutions and maintain public confidence in essential public services, we must achieve a radical shift in approach and a step change in pace.	重要国家インフラを防御し、公共機構を守り、必須公共サービスへの国民の信頼を維持するためには、アプローチの根本的転換とペースの飛躍的加速が不可欠である。
We’ve learned from international and industry partners that a strong, centralised approach, with clear direction and active leadership can make a huge national impact. We have worked with departments and NCSC to define and pilot what this will look like for the UK public sector.	国際的・産業的パートナーから学んだ教訓として、明確な方向性と積極的なリーダーシップを備えた強力で中央集権的なアプローチは、国家レベルで多大な効果をもたらし得る。我々は各省庁及びNCSCと連携し、英国公共部門におけるその具体像を定義し、試験運用を進めてきた。
The Government Cyber Action Plan sets out a new way forward. It was developed by the Department for Science, Innovation and Technology (DSIT), in close consultation with departments, public sector organisations, industry partners and the Government Cyber Advisory Board (GCAB).	政府サイバー行動計画は新たな道筋を示す。科学技術革新省（DSIT）が各省庁、公共機関、産業界パートナー、政府サイバー諮問委員会（GCAB）と緊密に協議して策定したものである。
It builds on the outcomes and approach of the GCSS by setting clear expectations of how government organisations of all kinds should manage cyber security and resilience through more measurable objectives and outcomes. These are set out at a high level in the ‘Who is responsible for what’ section at the beginning of each chapter.	本計画は、GCSSの成果と手法を基盤としつつ、あらゆる政府組織がサイバーセキュリティとレジリエンスを管理すべき方法について、より測定可能な目標と成果を通じて明確な期待値を設定している。これらは各章冒頭の「責任の所在」セクションで概要が示されている。
Chapter 2: Approach	第2章：アプローチ
Scope	範囲
The Government Cyber Action Plan sets out how the whole of government will operate differently to manage the cyber security and resilience threat we face, enabled by a strong, active centre in the Government Cyber Unit.	政府サイバー行動計画は、政府全体が直面するサイバーセキュリティとレジリエンスの脅威に対処するため、政府サイバーユニットという強力で積極的な中核組織によって、政府全体の運営をどのように変革するかを定めている。
Central functions	中核機能
Department for Science Innovation and Technology (DSIT): the government department responsible for driving forward a modern digital government for the benefit of its citizens. The DSIT Permanent Secretary owns cross-government technology risk, including cyber risk. DSIT supports the DSIT Permanent Secretary in managing this risk.	科学技術革新省（DSIT）：市民の利益のために現代的なデジタル政府を推進する責任を負う政府部門である。DSIT事務次官は、サイバーリスクを含む政府横断的な技術リスクを統括する。DSITは事務次官のリスクマネジメントを支援する。
The Government Cyber Unit: the central unit within DSIT responsible for driving cyber security and resilience transformation across government and the public sector. The Government Cyber Unit is led by the Government Chief Information Security Officer (CISO), and will be the strong, active, centre that drives this action plan through clear direction, stronger accountability, and targeted support to departments. The Government Cyber Unit will manage government-wide cyber risk on behalf of the DSIT Permanent Secretary.	政府サイバーユニット：DSIT内の中核組織であり、政府及び公共部門全体におけるサイバーセキュリティとレジリエンスの変革を推進する責任を負う。政府サイバーユニットは政府最高情報セキュリティ責任者（CISO）が統括し、明確な指示、強化された説明責任、各省庁への的を絞った支援を通じて本行動計画を推進する強力かつ積極的な中核となる。政府サイバーユニットは、DSIT事務次官に代わって政府全体のサイバーリスクを管理する。
Government Cyber Coordination Centre (GC3): part of the Government Cyber Unit, and jointly sponsored with the National Cyber Security Centre. It coordinates the cross‐government response to cyber threats, vulnerabilities and incidents. Its role is primarily operational, and enables cyber teams across government to defend as one.	政府サイバー調整センター（GC3）：政府サイバーユニットの一部であり、国家サイバーセキュリティセンターと共同で運営される。政府全体のサイバー脅威、脆弱性、インシデントへの対応を調整する。その役割は主に運用面であり、政府全体のサイバーチームが一体となって防御することを可能にする。
Government Security Group (GSG): part of the Cabinet Office responsible for the oversight, coordination and delivery of protective security across government. The Government Cyber Unit will work closely with GSG to ensure a coherent approach.	政府保安グループ（GSG）：内閣府の一部であり、政府全体の防御保安に関する監督、調整、実施を担当する。政府サイバーユニットはGSGと緊密に連携し、一貫したアプローチを確保する。
National Cyber Security Centre (NCSC): the UK’s National Technical Authority (NTA) for cyber security. NCSC is the authoritative voice on technical cyber security and threat assessment, providing expert advice and guidance. It coordinates the majority of nationally significant cyber incidents and supports the defence of the UK’s most critical systems. NCSC will work alongside the Government Cyber Unit, providing specialist expertise and guidance to support government-wide cyber security and resilience.	国家サイバーセキュリティセンター（NCSC）：英国のサイバーセキュリティに関する国家技術機関（NTA）である。NCSCは技術的サイバーセキュリティと脅威評価における権威ある機関として、専門的な助言と指針を提供する。国家的に重大なサイバーインシデントの大半を調整し、英国最重要システムの防御を支援する。NCSCは政府サイバーユニットと連携し、政府全体のサイバーセキュリティとレジリエンスを支える専門的知見と指針を提供する。
The UK’s other NTAs, the National Protective Security Authority (NPSA) for physical and personnel security and the UK National Authority for Counter-Eavesdropping (UK NACE) for technical security, may also contribute to government cyber security and resilience. Where they do, it is broadly expected that they would follow the model outlined for NCSC, and it will be explicitly called out where this is not the case.	英国のその他のNTAである、物理的・職員のセキュリティを担当する国家保護保安庁（NPSA）および技術的セキュリティを担当する英国国家盗聴対策庁（UK NACE）も、政府のサイバーセキュリティとレジリエンスに貢献する可能性がある。貢献する場合、これらは概ねNCSC向けに示されたモデルに従うことが期待され、そうでない場合は明示的に指摘される。
Departments: organisations accountable to UK Ministers responsible for putting government policy into practice, which may be ministerial or non-ministerial. Departments remain accountable for their own cyber security and resilience.[footnote 5] Most departments also have ‘lead government department’ responsibility for other organisations, sectors, or systems. Wherever this is the case, they are accountable for the cyber security and resilience of those too. Departments must also contribute to government-wide cyber security and resilience.	省庁：政府政策の実行を担う英国の大臣に対して説明責任を負う組織であり、省庁系・非省庁系を問わない。各省庁は自らのサイバーセキュリティとレジリエンスについて説明責任を負い続ける[脚注5]。大半の省庁は、他の組織・分野・システムに対する「政府主導省庁」としての責任も有する。この責任を負う場合、部門はそれらの組織・部門・システムのサイバーセキュリティとレジリエンスについても責任を負う。部門は政府全体のサイバーセキュリティとレジリエンスにも貢献しなければならない。
The Government Cyber Unit will work directly with departments to ensure they are able to meet all of these responsibilities. This will include clarifying how these responsibilities should be met in practice, as well as offering support and services, in collaboration with NCSC and other partners.	政府サイバーユニットは各省庁と直接連携し、これら全ての責任を果たせるよう支援する。具体的には、NCSCや他機関と連携し、責任の実践的履行方法の明確化や支援・サービスの提供を行う。
Arm’s-length bodies (ALBs): a category of public bodies that are a critical delivery arm of the government, providing public services and goods across the United Kingdom. ALBs are closely aligned, but distinct from, the ministerial departments which sponsor them, their ‘lead government department’ (LGD). This includes executive agencies, non-departmental bodies, and non-ministerial departments, which will be collectively referred to as ‘ALBs’.	独立行政機関（ALB）：政府の中核的実施機関として、英国全域で公共サービスや財を提供する公的団体のカテゴリーである。ALBは、スポンサーとなる政府機関（主担当政府機関：LGD）と密接に連携するが、それとは別個の組織である。これには執行機関、非政府機関、非政府部門が含まれ、総称して「ALB」と呼ぶ。
ALBs are accountable for their own cyber security and resilience to their LGDs via pre-existing sponsorship mechanisms. The Government Cyber Unit will generally work through sponsor departments to ensure that ALBs are able to meet their cyber security and resilience responsibilities, but where it makes sense to do so The Government Cyber Unit may work directly with ALBs in alignment with LGD activity.	ALBは既存の後援メカニズムを通じて、自らのサイバーセキュリティとレジリエンスについてLGDに対して説明責任を負う。政府サイバーユニットは通常、後援省庁を通じてALBがサイバーセキュリティとレジリエンスの責任を果たせるよう支援するが、必要に応じてLGDの活動と連携しつつALBと直接連携する場合もある。
Wider public sector organisations: organisations publicly funded to deliver services, usually at a local or regional level, for example NHS trusts or local authorities.	広義の公共部門組織：公的資金で運営され、通常は地方・地域レベルでサービスを提供する組織。例：NHSトラストや地方自治体。
Wider public sector organisations are accountable for their own cyber security and resilience to the LGDs for their sector via pre-existing sponsorship mechanisms, for example the Department of Health and Social Care is the LGDs for the health and care sector.	広義の公共部門組織は、既存のスポンサーシップ機構を通じて、各セクターのLGDに対し自らのサイバーセキュリティとレジリエンスについて説明責任を負う。例：保健・社会ケア省は保健・ケアセクターのLGDである。
LGDs are accountable for sector-wide cyber security and resilience. The Government Cyber Unit will work with LGDs to ensure sector-wide cyber security and resilience is appropriately managed, and where it makes sense to do so, may work directly with wider public sector organisations in alignment with LGD activity.	LGDはセクター全体のサイバーセキュリティとレジリエンスについて説明責任を負う。政府サイバーユニットはLGDと連携し、セクター全体のサイバーセキュリティとレジリエンスが適切に管理されるよう確保する。また、合理的と判断される場合には、LGDの活動と整合させつつ広範な公共セクター組織と直接連携する場合がある。
Departments, ALBs, and wider public sector organisations will be referred to collectively throughout this document as ‘government organisations’.	本文書では、省庁、ALB、広範な公共セクター組織を総称して「政府組織」と呼称する。
Devolved governments: While cyber security - within the wider remit of national security - is a reserved matter, within Scotland, Wales and Northern Ireland, certain devolved public services are the responsibility of the respective governments.	地方分権政府：サイバーセキュリティは国家安全保障の広範な権限内において留保事項であるが、スコットランド、ウェールズ、北アイルランドにおいては、特定の地方分権化された公共サービスは各政府の責任である。
Devolved governments will seek to ensure that the providers of public services for which they have oversight are resilient to cyber risks and will collaborate with UK Government on UK-wide cyber security and resilience issues.	地方分権政府は、自らの監督下にある公共サービスプロバイダがサイバーリスクに対して強靭であることを確保するよう努め、英国全体のサイバーセキュリティ及びレジリエンス問題について英国政府と協力する。
The UK Government recommends that devolved governments support and align with the ambitions of the Government Cyber Action Plan. Devolved governments will consider this where it does not affect their ability to exercise devolved powers and functions as they see fit. UK Government will continue to lead on national security and collective issues which are reserved, collaborating with devolved governments.	英国政府は、地方分権政府に対し、政府サイバー行動計画の目標を支援し整合させることを推奨する。地方分権政府は、自らの裁量で分権化された権限と機能を行使する能力に影響を与えない範囲でこれを検討する。英国政府は、留保された国家安全保障及び集団的問題について主導を継続し、地方分権政府と協力する。
UK Government and devolved governments will proactively collaborate and share relevant information (as permitted by law) in order to effectively manage the UK’s cyber security.	英国政府と地方分権政府は、英国のサイバーセキュリティを効果的に管理するため、積極的に連携し、関連情報を（法律で認められる範囲で）共有する。
Strategic suppliers: designated as government’s ‘strategic suppliers’ due to the scale and/or criticality of the services they provide to the government. The government takes a joined-up approach to strategic suppliers in order to act as a single customer and ensure a single and strategic view of the government’s needs is communicated. The Government Cyber Unit will establish formal ‘strategic partnerships’ with strategic suppliers with cyber security and resilience requirements built into them, enabling the Government Cyber Unit to hold strategic suppliers to account for management of the government-wide cyber risk they hold.	戦略的サプライヤー：政府に提供するサービスの規模や重要性から、政府の「戦略的サプライヤー」に指定されている。政府は戦略的サプライヤーに対し、単一の顧客として行動し、政府のニーズを単一かつ戦略的な視点で伝達するため、連携したアプローチを取る。政府サイバーユニットは、サイバーセキュリティとレジリエンシー要件を組み込んだ正式な「戦略的パートナーシップ」を戦略的サプライヤーと確立し、政府全体のサイバーリスクマネジメントについて戦略的サプライヤーに説明責任を求めることを可能とする。
All suppliers: every supplier that delivers for government holds some cyber risk. Government organisations are responsible for managing the cyber risk posed by suppliers they use. This document will set out clear expectations for how suppliers should interact with their government customers around cyber security and resilience.	全てのサプライヤー：政府向けにサービスを提供する全てのサプライヤーは、何らかのサイバーリスクを抱えている。政府機関は、自らが利用するサプライヤーがもたらすサイバーリスクを管理する責任を負う。本文書は、サプライヤーが政府顧客とサイバーセキュリティ及びレジリエンスに関してどのように連携すべきかについて、明確な期待を示すものである。
Objectives	目的
The ultimate goal of the Government Cyber Action Plan is to achieve the aim set out within the Digital and AI Roadmap of ‘securing public services so they are trustworthy and resilient’. In order to achieve this within the current challenging threat and resilience context, we have identified 4 strategic objectives.	政府サイバー行動計画の究極の目標は、デジタル・AIロードマップに掲げられた「公共サービスを信頼性とレジリエンスを備えたものとする」という目的を達成することである。現在の厳しい脅威とレジリエンスの環境下でこれを達成するため、我々は4つの戦略的目標を識別した。
These objectives will guide our action and help us to prioritise where we can have the greatest systemic impact on the current unacceptable level of cyber security and resilience risk faced by government.	これらの目標は我々の行動を導き、政府が直面する現在の容認できないレベルのサイバーセキュリティとレジリエンスリスクに対して、最大の体系的影響を与えられる分野を優先する助けとなる。
Better visibility of cyber security and resilience risk	サイバーセキュリティとレジリエンスリスクの可視性向上
We will measure what matters, using data sources from across the government to truly understand government-wide and departmental cyber risks. Better visibility will underpin action and help us to prioritise where we can have the greatest impact.	政府全体のデータソースを活用し、真に政府全体および各省庁のサイバーリスクを理解するため、重要な要素を測定する。可視性の向上は行動の基盤となり、最大の影響を与えられる分野の優先順位付けを支援する。
Addressing severe and complex risks	深刻かつ複雑なリスクへの対応
We will identify and assess severe and complex risks across government, and invest in central levers and capability improvements to remediate where these cannot be addressed by departments acting individually.	政府全体にわたる深刻かつ複雑なリスクを特定・評価し、各省庁が単独で対処できない分野については、中央のレバレッジと能力向上への投資を通じて是正を図る。
Improving responsiveness to fast moving events	急速に変化する事象への対応力向上
We will integrate and enhance our capability to respond more effectively to rapidly evolving cyber and digital resilience threats, vulnerabilities, and incidents. Better preparedness will improve recovery times and reduce harm.	急速に進化するサイバー・デジタルレジリエンス上の脅威、脆弱性、インシデントに対し、より効果的に対応する能力を統合・強化する。準備態勢の強化により復旧時間が短縮され、被害が軽減される。
Rapidly increasing government-wide cyber resilience	政府全体のサイバーレジリエンスの急速な向上
Departments and public bodies will transform their resilience capabilities through high-quality central services and support. We will focus on remediating our most significant vulnerabilities, such as our legacy technology, and will operationalise knowledge sharing and continuous improvement across the system.	各省庁及び公共団体は、高品質な中央サービスと支援を通じてレジリエンス能力を変革する。レガシー技術など最も重大な脆弱性の是正に注力し、システム全体での知識共有と継続的改善を運用化する。
Achieving these objectives will deliver tangible benefits. The public will see faster service recovery and better communication when things go wrong. Departments will get more hands-on support and practical guidance. This will include a central governance model, a wider services offer, routine cross-government exercises, and a clearer system for recruiting, attracting, and retaining cyber staff through career pathways, apprenticeships, secondments, and industry partnerships.	これらの目標達成により具体的な効果が得られる。市民は、問題発生時のサービス復旧の迅速化と情報伝達の改善を実感するだろう。各省庁は、より実践的な支援と具体的な指針を得られる。これには、中央ガバナンスモデル、幅広いサービス提供、政府横断的な定期演習、キャリアパス・徒弟制度・出向・産業界との連携を通じたサイバー人材の採用・誘致・定着のための明確なシステムが含まれる。
This is not just a technical transformation. It is a cultural and operational shift in how the government views resilience. Every leader, every public sector organisation, every supplier has a role to play. Together, with clarity of purpose and shared accountability, we can deliver a government that is more secure, more resilient, and able to protect the services on which citizens depend.	これは単なる技術的変革ではない。政府がレジリエンスを捉える方法における文化的・運営上の転換である。全てのリーダー、公共部門組織、サプライヤーが役割を担う。目的の明確化と責任の共有のもと、連携してより安全でレジリエンスな政府を実現し、市民が依存するサービスを防御できるのだ。
Delivery strands	実施分野
The Government Cyber Unit will drive progress towards these strategic objectives by working with NCSC, departments, devolved governments, and suppliers across 5 delivery strands:	政府サイバーユニットは、NCSC、各省庁、地方分権政府、サプライヤーと連携し、以下の5つの実施分野を通じて戦略目標の達成を推進する：
・Accountability	・説明責任
・Support	・サポート
・Services	・サービス
・Response and recovery	・対応と復旧
・Skills	・スキル
Accountability	説明責任
Cyber risks at all levels of government must be actively owned and effectively managed, with those responsible held to account for effective management. This strand sets out responsibilities and accountability mechanisms to ensure they are met.	政府のあらゆるレベルにおけるサイバーリスクは、積極的に所有され効果的に管理されなければならない。責任者は効果的な管理について説明責任を負う。この分野では、責任と説明責任のメカニズムを明確にし、その履行を確保する。
Support	サポート
Government organisations do not have access to the capability, skills and capacity needed to meet their cyber security and resilience responsibilities. This strand sets out how support will be provided, prioritised, and accessed to bridge this gap.	政府組織は、サイバーセキュリティとレジリエンスの責任を果たすために必要な能力、スキル、キャパシティを保有していない。この分野では、このギャップを埋めるための支援の提供方法、優先順位付け、アクセス方法を定める。
Services	サービス
Government organisations face cyber security and resilience challenges that could be addressed at scale, there are few services to enable this and those that do are not well understood or accessed. This strand outlines how scaled cyber services will be developed, delivered, and accessed to address this.	政府機関は、大規模に対応可能なサイバーセキュリティとレジリエンスの課題に直面しているが、これを可能にするサービスは少なく、存在するサービスも十分に理解されず、利用されていない。この分野では、この課題に対処するための大規模サイバーサービスの開発、提供、利用方法を概説する。
Response and recovery	対応と復旧
As well as proactively reducing risk, government must be able to quickly and effectively manage incidents when they occur. This strand sets out the responsibilities for cyber security and resilience incidents at all levels, that will enable us to collectively minimise their impact.	政府は、リスクを積極的に低減するだけでなく、インシデント発生時に迅速かつ効果的に管理できなければならない。本項目では、あらゆるレベルにおけるサイバーセキュリティ・レジリエンスインシデントの責任分担を明確にし、影響を最小限に抑えるための共同対応を可能とする。
Skills	スキル
The demand for cyber security and resilience skills across government is growing faster than the supply of available talent. Leaders, functional professionals, and the wider workforce lack understanding of cyber risks and business impact. This strand outlines the establishment of the first Government Cyber Profession, which will attract, upskill, retain, and support government cyber professionals.	政府全体におけるサイバーセキュリティ・レジリエンススキルの需要は、人材供給を上回る速度で増加している。リーダー、機能専門職、一般職員の多くが、サイバーリスクと事業への影響を理解していない。本項目では、政府初のサイバー専門職制度の確立を概説する。これにより政府サイバー専門職の採用、スキル向上、定着、支援を推進する。
Delivery phases	実施段階
The system-wide transformation for government cyber security and resilience requires a system-level response and all government organisations will have a role in the delivery of the new operating model.	政府のサイバーセキュリティとレジリエンスにおけるシステム全体の変革には、システムレベルの対応が必要であり、全ての政府組織が新たな運用モデルの実現に役割を担う。
The Government Cyber Unit will lead cross-government delivery in the key phases, outlined below.	政府サイバーユニットは、以下に概説する主要段階において、政府横断的な実施を主導する。
Phase 1: Building	フェーズ1：構築
By April 2027, we will build a new model for government cyber by:	2027年4月までに、政府サイバーの新たなモデルを構築する。具体的には：
building critical functions to establish the Government Cyber Unit	政府サイバーユニットを確立するための重要機能を構築する
establishing refreshed accountability and governance for government cyber risk	政府サイバーリスクに対する新たな説明責任とガバナンスを確立する
standing up prioritised central services and support functions	優先順位付けされた中央サービスと支援機能を立ち上げる
setting clear targets and standards for government organisations	政府機関向けの明確な目標と標準を設定する
launching a new cyber profession for government	政府向けの新たなサイバー専門職を立ち上げる
directing action across government in response to fast-moving events, through structures defined in a Government Cyber Incident Response Plan	政府サイバーインシデント対応計画で定義された構造を通じて、急速に展開する事象への対応として政府全体の行動を指揮する
Phase 2: Scaling	フェーズ2：拡大
By April 2029, we will scale and leverage this new model by:	2029年4月までに、この新たなモデルを拡大・活用する。具体的には：
using government-wide cyber risk visibility to make data-driven decisions and a compelling investment case for managing severe and complex cyber risks	政府全体のサイバーリスク可視化を活用し、深刻かつ複雑なサイバーリスク管理のためのデータ駆動型意思決定と説得力のある投資根拠を確立する
delivering a pipeline of cyber support and services to help departments meet their responsibilities	各省庁が責任を果たすためのサイバー支援・サービス提供パイプラインを構築する
scaling and maturing response and recovery capability to address concurrent major cyber events	同時発生する大規模サイバー事象に対応するため、対応・復旧能力を拡大・成熟させる
developing high-impact, sector-wide role-based learning pathways for top high-risk cyber specialisms	高リスクサイバー専門分野において、影響力の大きいセクター横断的な役割ベースの学習経路を開発する
departments fully operating within governance and reporting structures for themselves, their ALBs, and sectors	各省庁が、自身・ALB・セクター向けのガバナンス・報告体制を完全に運用する
departments delivering costed cyber improvement plans in line with defined central and local cyber risk appetites, drawing on central support and services	各省庁が、中央支援・サービスを活用し、中央・地方のサイバーリスク許容度に基づき、費用算定済みのサイバー改善計画を遂行する
Phase 3: Improving	フェーズ3：改善
April 2029 and beyond, we will use the model to continuously improve government-wide cyber security and resilience by:	2029年4月以降、本モデルを活用し政府全体のサイバーセキュリティとレジリエンスを継続的に改善する。具体的には：
enabling decision-making and prioritisation at all levels of government through sharing central cyber data insights, including evidence-based investment in cross-government platforms, services and infrastructure to address critical risks	政府全体の決定支援と優先順位付けを可能とするため、中央サイバーデータの知見を共有する。これには重大リスク対応のための政府横断プラットフォーム・サービス・インフラへのエビデンスに基づく投資を含む
offering central cyber support and services at scale based on identified needs and strategic fit in a sustainable pipeline and lifecycle	特定されたニーズと戦略的適合性に基づき、持続可能なパイプラインとライフサイクルで大規模な中央サイバー支援・サービスを提供する
leveraging Government Cyber Profession as engine for transformation through career framework and sector recognised accreditation standards	キャリアフレームワークと業界認定標準を通じ、政府サイバー専門職を改革のエンジンとして活用する
departments proactively assuring cyber risk across their supply chains, enabled by central management of strategic suppliers	戦略的サプライヤーの中央管理により、各部門がサプライチェーン全体のサイバーリスクを積極的に保証する
supporting national security and growth objectives and underpins government missions through increased resilience	レジリエンス強化を通じ、国家安全保障と成長目標を支援し、政府の使命を支える
Priorities for delivery over the next 12 months are set out at the end of each delivery strand chapter. Further detail on implementation phases and plans for measurement is set out in Chapter 9: Implementation	今後12ヶ月間の実施優先事項は、各実施分野の章末に記載されている。実施段階と測定計画の詳細は第9章「実施」に記載されている
Cultural change	文化変革
To deliver effective transformational change, embedding the right culture is vital.	効果的な変革を実現するには、適切な文化の定着が不可欠である。
Improving the interaction between people, processes, and technology across government requires a whole-system approach to make it easier and more rewarding for staff to adopt the right security behaviours. Defending organisations by improving security culture is therefore of vital importance. There are a number of core cultural behaviours the Government Cyber Action Plan will embed across the public sector as follows.	政府全体で人・プロセス・技術の相互作用を改善するには、職員が適切なセキュリティ行動を容易かつやりがいを持って採用できる全システム的アプローチが必要だ。セキュリティ文化の向上による組織防衛は極めて重要である。政府サイバー行動計画が公共部門全体に定着させる中核的文化的行動は以下の通りだ。
Defend as One	一体となって防御する
Government and public sector teams view cyber and digital resilience as a collective mission, delivered in collaboration and partnership across their organisations. Government organisations collectively address government-wide cyber risk, even where it is not a priority for an individual organisation.	政府及び公共部門のチームは、サイバー及びデジタルレジリエンスを組織横断的な連携とパートナーシップによって達成される共同の使命と捉える。政府組織は、個々の組織にとって優先事項でなくとも、政府全体のサイバーリスクに共同で対処する。
Data and decision making	データと意思決定
Senior leaders are empowered through data sharing and understanding, using accurate data and information across organisations to enable effective government-wide risk management decision-making.	上級リーダーは、組織横断的な正確なデータと情報の共有・理解を通じて権限を与えられ、政府全体の効果的なリスクマネジメント意思決定を可能とする。
Proactive ownership	主体的な責任
Senior leaders understand and meet their accountabilities, and drive change across all layers of government. Senior leaders also set the tone for the importance of security and accountability, including continuous risk management cycles of review, collaboration, innovation and assurance.	上級管理職は自らの説明責任を理解し履行するとともに、政府の全階層にわたり変革を推進する。また、継続的なリスクマネジメントサイクル（検証・協働・革新・保証）を含む、セキュリティと説明責任の重要性について方向性を示す。
Transparency	透明性
Leaders create open and inclusive environments where sharing risks, issues, ideas and data is encouraged, lessons are learned and best practice is shared.	リーダーは、リスク・課題・アイデア・データの共有が奨励され、教訓が学び取られ、ベストプラクティスが共有される、開かれた包括的な環境を創出する。
Empowered workforce	能力強化された労働力
Our teams have the capability and career paths to deliver sustainable change through investment in tools, training and systems.	我々のチームは、ツール、研修、システムへの投資を通じて持続可能な変化を実現する能力とキャリアパスを有している。
Safe environment	安全な環境
Individuals have the capability to report vulnerabilities and threats, feel safe to do so and feel confident to question and challenge without fear. Constructive behaviours are recognised and rewarded, while poor ones are addressed.	個人が脆弱性や脅威を報告する能力を持ち、そうすることに安全を感じ、恐れずに疑問を投げかけ挑戦する自信を持つ。建設的な行動は認識され報われ、不適切な行動は対処される。

３章から６章までの概要部分...

Chapter 3: Accountability	第3章：説明責任
Accountability overview	説明責任概要
Cyber risks at all levels of government must be actively owned and effectively managed, with those responsible held to account for effective management. This strand sets out responsibilities and accountability mechanisms to ensure they are met.	政府のあらゆるレベルにおけるサイバーリスクは、積極的に所有され効果的に管理されなければならない。責任者は効果的な管理について説明責任を負う。本項目では、責任と説明責任のメカニズムを明確にし、その履行を確保する。
The objectives of the Accountability strand are:	説明責任項目の目的は以下の通りである：
・Better visibility of cyber risk: increase visibility of government-wide cyber risks through accountability mechanisms and reporting	・サイバーリスクの可視性向上：説明責任メカニズムと報告を通じて政府全体のサイバーリスクの可視性を高める
・Addressing severe and complex risks: establish central accountability for risks that departments or organisations cannot reasonably be expected to manage	・深刻かつ複雑なリスクへの対応：各部門や組織が合理的に管理できないリスクについて、中央集権的な説明責任を確立する
What needs to change?	何を変える必要があるか？
Current accountability structures have failed to achieve the right level of resilience. Responsibilities for cyber risks are unclear at all levels of government, including across the supply chain. Leaders lack visibility and understanding of the risk and resilience levels within their purview, and the actual and potential impact on business delivery and critical services.	現行の説明責任構造は、適切なレベルのレジリエンスを達成できていない。政府のあらゆるレベル、サプライチェーン全体を含め、サイバーリスクに対する責任が不明確である。指導者は、自らの管轄範囲内のリスクとレジリエンスのレベル、および業務遂行や重要サービスへの実際の影響と潜在的影響について、可視性と理解を欠いている。
The government needs to reset its relationship with cyber risk by ensuring that it is visible, understood, owned and actively managed.	政府は、サイバーリスクを可視化し、理解させ、責任を明確化し、積極的に管理することで、サイバーリスクとの関係を再構築する必要がある。
Addressing this challenge	この課題への対応
We will set clear expectations and direction for the management of cyber risk at all levels of government. Risk owners will be held accountable for appropriate oversight and management of cyber risk. Clear risk appetites will be set at all levels, with performance monitored and assured.	政府の全レベルにおけるサイバーリスク管理について、明確な期待と方向性を設定する。リスク所有者は、サイバーリスクの適切な監視と管理について責任を負う。全レベルで明確なリスク許容度を設定し、パフォーマンスを監視・保証する。
Who will be responsible for what	責任の所在
Departments will:	各省庁は以下を実施する：
understand, manage and report against the cyber risks of their department, ALBs, and wider public sector in alignment with government-wide risk appetites and direction	政府全体のリスク許容度と方向性に沿い、自省庁・ALB・広範な公共部門のサイバーリスクを理解・管理・報告する
meet specified Accounting Officer responsibilities through establishing roles and responsibilities, governance structures, strategies, plans and processes to support accountability and risk management	説明責任とリスクマネジメントを支える役割・責任・ガバナンス構造・戦略・計画・プロセスを確立し、会計責任者の責務を履行する
apply mechanisms to ensure suppliers appropriately manage government risks	政府リスクを適切に管理するサプライヤーを確保する仕組みを適用する
ALBs and wider public sector organisations will:	ALB及び広範な公共部門組織は以下を実施する：
understand, manage and report against cyber risk in alignment with government-wide and LGD risk appetites and direction	政府全体及びLGDのリスク許容度と方向性に沿って、サイバーリスクを理解し、管理し、報告する
apply mechanisms to ensure suppliers appropriately manage government risk	サプライヤーが政府リスクを適切に管理することを保証する仕組みを適用する
The Government Cyber Unit will:	政府サイバーユニットは以下を行う：
understand and manage government-wide risk on behalf of Government Technology Risk Owner through mandatory policy and assurance against requirements	政府技術リスク所有者に代わって、必須のポリシーと要件に対する保証を通じて政府全体のリスクを理解し管理する
provide departments with specific direction and practical support on how to manage their risk within central and local appetites	中央及び地方のリスク許容度内でリスクを管理する方法について、各部門に具体的な指示と実践的な支援を提供する
engage strategic suppliers to ensure resilience outcomes are met and standards raised	戦略的サプライヤーと連携し、レジリエンス成果の達成と標準の向上を確保する
NCSC will:	NCSCは以下を行う：
provide authoritative technical advice and assessment on management of risk and advise the Government Cyber Unit on setting policies, standards, and baseline appetites	リスクマネジメントに関する権威ある技術的助言と評価を提供し、ポリシー、標準、基本リスク許容度の設定について政府サイバーユニットに助言する
Suppliers will:	サプライヤーは以下を行う：
understand and proactively manage risk in alignment with direction and expectations set out by their contracting authorities or, for strategic suppliers, in line with strategic partnerships expectations	契約機関が定めた指示・期待に沿って、あるいは戦略的サプライヤーの場合は戦略的パートナーシップの期待に沿って、リスクを理解し積極的に管理する
Chapter 4: Support	第4章：サポート
Support overview	サポートの概要
Government organisations do not have access to the capability, skills and capacity needed to meet their cyber security and resilience responsibilities. This strand sets out how support will be provided, prioritised, and accessed to bridge this gap.	政府組織は、サイバーセキュリティとレジリエンスの責任を果たすために必要な能力・スキル・キャパシティを保有していない。本セクションでは、このギャップを埋めるための支援の提供方法・優先順位・アクセス方法を定める。
The objectives of the support strand are:	サポート分野の目的は以下の通りである：
・Increased UK Government cyber security and resilience: common support enables government and public sector organisations to implement requirements more quickly and easily	・英国政府のサイバーセキュリティとレジリエンスの強化：共通支援により政府・公共部門組織が要件をより迅速かつ容易に実施可能とする
・Improved management of severe and complex risk: targeted support for government organisations to address the most critical cross-government risks	・深刻かつ複雑なリスク管理の改善：政府組織が最も重大な政府横断的リスクに対処するための的を絞ったサポート
What needs to change?	何を変える必要があるか？
Government organisations frequently tackle the same challenges in isolation, leading to significant variance in implementation, duplicated effort, and increased costs. Many struggle to meet their cyber security and resilience responsibilities due to lacking the specialist capability, skills and capacity needed to implement improvements. Some struggle to understand and access existing support.	政府組織はしばしば同じ課題を孤立して取り組み、実施方法に大きなばらつきが生じ、努力が重複し、コストが増大している。多くの組織は、改善を実施するために必要な専門能力、スキル、キャパシティが不足しているため、サイバーセキュリティとレジリエンスの責任を果たすのに苦労している。既存の支援を理解し、アクセスするのに苦労している組織もある。
Addressing this challenge	この課題への対応
Building on improved visibility and accountability for risk, the Government Cyber Unit will lead collective action with and across government organisations to put in place shared solutions to common challenges.	リスクの可視性と説明責任の向上を基盤に、政府サイバーユニットは政府組織間・組織横断的な共同行動を主導し、共通課題に対する共有ソリューションを構築する。
We will establish a partnering team to proactively harness and share government’s collective knowledge, and develop strategic partnerships with suppliers which will position us to better leverage government’s scale.	政府の集合的知見を積極的に活用・共有するパートナーシップチームを設置し、政府の規模をより効果的に活用できる立場を確立するため、サプライヤーとの戦略的提携を発展させる。
Drawing on good practice from industry and internationally we will deliver government-wide support. This will be based on risk, need, cost effectiveness and overall benefit; including technical advice and guidance, products and change programmes, which will be complemented by services and skills outlined in Chapter 5: Services and Chapter 7: Skills.	産業界や国際的な優良事例を参考に、政府全体の支援を提供する。これはリスク、必要性、費用対効果、総合的な便益に基づいて行われ、技術的助言・ガイダンス、製品、変革プログラムを含む。これらは第5章「サービス」および第7章「スキル」で概説するサービスとスキルによって補完される。
Who will be responsible for what	責任分担
Departments will:	各省庁は以下を行う：
access and adapt central support as necessary to understand their gaps and meet their cyber security and resilience responsibilities	自らのギャップを理解し、サイバーセキュリティ及びレジリエンスの責任を果たすため、必要に応じて中央支援にアクセスし適応する
provide and/or sponsor the provision of support to their ALBs and public sector organisations	ALB及び公共部門組織への支援を提供、もしくはその提供をプロバイダとして後援する
ALBs and Wider Public Sector will:	ALB及び広範な公共部門は以下を行う：
access and adapt support from their LGD and/or the Government Cyber Unit as necessary to meet their cyber security and resilience responsibilities	自らのサイバーセキュリティ及びレジリエンスの責任を果たすため、必要に応じて所属地方開発省（LGD）及び／または政府サイバーユニットからの支援にアクセスし適応する
The Government Cyber Unit will:	政府サイバーユニットは以下を行う：
establish a partnering function to help government organisations understand and access support	政府組織が支援を理解しアクセスできるよう支援する連携機能を確立する
prioritise and deliver government wide support to enable government organisations to meet their cyber security and resilience responsibilities	政府組織がサイバーセキュリティとレジリエンスの責任を果たせるよう、政府全体の支援を優先し提供する
understand demand for support, and prioritise government-wide provision	支援需要を把握し、政府全体の提供を優先する
NCSC will:	NCSCは以下を行う：
provide expert technical advice to inform coordinated guidance, products and advice	調整されたガイダンス、製品、助言に資する専門的な技術的助言を提供する
provide support themselves where they are best placed to do so	自ら支援を提供できる最適な立場にある場合は支援を提供する
Suppliers will:	サプライヤーは以下を行う：
work with contracting authorities to optimise value for the government from use of technology solutions or, for strategic suppliers, with the Government Cyber Unit through strategic partnerships	技術ソリューションの活用による政府の価値最大化のため、契約当局と協力する。戦略的サプライヤーの場合は、戦略的パートナーシップを通じて政府サイバーユニットと連携する。
Chapter 5: Services	第5章：サービス
Services overview	サービスの概要
Government organisations face cyber security and resilience challenges that could be addressed at scale, there are few services that exist to enable this and those that do are not well understood or accessed. This chapter outlines how scaled cyber services will be developed, delivered, and accessed to address this.	政府組織はサイバーセキュリティとレジリエンスの課題に直面しているが、これを大規模に対処できるサービスはほとんど存在せず、存在するサービスも十分に理解・活用されていない。本章では、この課題に対処するため、大規模なサイバーサービスをどのように開発・提供・利用するかについて概説する。
The core objectives of the services strand are:	サービス分野の中核目標は以下の通りである：
・Increased visibility of risks across government: prioritise the development of new central services which can transform visibility of government-level risk at scale.	・政府全体のリスク可視性の向上：政府レベルでのリスク可視性を大規模に変革できる新たな中央サービスの開発を優先する。
・Increased HMG cyber security and digital resilience: bring central service provision and access into one place via the establishment of central service coordination.	・英国政府のサイバーセキュリティ及びデジタルレジリエンスの強化：中央サービス調整の確立により、中央サービス提供とアクセスを一元化する。
・Improved responsiveness to fast moving events: improve capabilities to detect threats and manage vulnerabilities at scale.	・急速に展開する事象への対応力向上：脅威を検知し脆弱性を管理する能力を大規模に強化する。
What needs to change?	何を変える必要があるか？
While examples such as NCSC’s Protective Domain Name Service (PDNS) and the Government Cyber Unit’s Vulnerability Monitoring Service demonstrate that cyber risks can be addressed at scale, barriers mean that the provision and adoption of services are not sufficient, especially for less mature organisations.	NCSCの防御ドメイン名サービス（PDNS）や政府サイバーユニットの脆弱性監視サービスなどの事例は、サイバーリスクが大規模に対処可能であることを示している。しかし障壁が存在するため、特に成熟度の低い組織においては、サービスの提供と採用が不十分である。
There is no strategic approach to the development of new cyber services at scale for government organisations. This results in undetected and unmanaged government-wide cyber risks.	政府組織向けに大規模な新規サイバーサービスを開発する戦略的アプローチが存在しない。その結果、政府全体にわたるサイバーリスクが検知されず、管理されていない状態が続いている。
Addressing this challenge	この課題への対応
We will identify where government-wide risks could be addressed, or response improved, by services at scale.	政府全体のリスクが、大規模サービスによって対処可能となる領域、あるいは対応が改善可能な領域を識別する。
Where services are available, we will ensure that they are readily accessible to those who need them most, that they deliver clear benefits, and we will support their adoption.	サービスが利用可能な場合、最も必要とする組織が容易にアクセスでき、明確な利益をもたらすことを確保し、その採用を支援する。
Where there are gaps in provision, we will prioritise and commission or deliver them once and well, aligning to the Government Digital Service (GDS) design principles and service standard.	提供に不足がある場合、政府デジタルサービス（GDS）のデザイン原則とサービス標準に沿って、優先順位を付け、一度で適切に委託または提供する。
Who will be responsible for what	責任分担
Departments will:	各省庁は以下を行う：
identify and access relevant cyber services to meet their cyber security and resilience responsibilities	サイバーセキュリティとレジリエンスの責任を果たすため、関連するサイバーサービスを特定し利用する
provide services where agreed with the Government Cyber Unit to be best placed to do so	政府サイバーユニットと合意したサービスについては、最適なプロバイダとして自らサービスを提供する
coordinate and sponsor priority needs of their ALBs and wider public sector organisations	傘下の行政機関（ALB）及び広範な公共部門組織の優先的ニーズを調整し支援する
ALBs and wider public sector will:	ALB及び広範な公共部門は以下を行う：
identify and access relevant services to meet their cyber security and resilience responsibilities	サイバーセキュリティとレジリエンスの責任を果たすため、関連するサービスを特定し利用する
The Government Cyber Unit will:	政府サイバーユニットは以下を実施する：
coordinate a coherent central service portfolio to deliver impact on strategic priorities, including commissioning and decommissioning services, designing delivery and funding models, and setting a framework of mandation requirements or incentives to drive uptake	戦略的優先事項への影響を実現するため、一貫性のある中央サービスポートフォリオを調整する。これにはサービスの委託・廃止、提供・資金調達モデルの設計、採用促進のための義務要件またはインセンティブ枠組みの設定が含まれる
innovate and deliver scaled services, either directly or via partners	直接またはパートナー経由で、革新的なスケーラブルなサービスを提供
ensure that centrally provided services are easily accessible to target organisations	中央提供サービスが対象組織から容易に利用可能であることを確保する
NCSC will:	NCSCは以下を実施する：
inform investment decisions made by the Government Cyber Unit service via specialist NCSC input on service standards and good practice	政府サイバーユニットの投資判断に対し、サービス標準と優良事例に関する専門的知見を提供
innovate to support the creation of new and enhanced services to address cyber risks	サイバーリスク対応のための新規・強化サービス創出を支援するイノベーションを推進
provide services where they are uniquely placed to do so and advise on the sustainability of these	独自の立場で提供可能なサービスを提供し、その持続可能性について助言する
Suppliers will:	サプライヤーは以下を実施する：
work with the Government Cyber Unit and government organisations to provide services at scale	政府サイバーユニット及び政府機関と連携し、大規模なサービスを提供する
Chapter 6: Response and recovery	第6章：対応と復旧
Response and recovery overview	対応と復旧の概要
As well as proactively reducing risk, government must be able to quickly and effectively manage incidents when they occur. This strand sets out the responsibilities for cyber security and resilience incidents at all levels, that will enable us to collectively minimise their impact.	政府はリスクを積極的に低減するだけでなく、インシデント発生時に迅速かつ効果的に管理できる必要がある。本項目では、あらゆるレベルにおけるサイバーセキュリティ及びレジリエンス関連のインシデント対応責任を明確化し、影響を最小限に抑えるための共同対応を可能とする。
The objectives of the response and recovery strand are:	対応と復旧の目的は以下の通りである：
・Improved responsiveness to fast moving events: help government and public sector better respond to and recover from major incidents through clearer responsibilities and improved capabilities at all levels.	・急速に展開する事象への対応力向上：責任範囲の明確化と全レベルでの能力強化を通じ、政府及び公共部門が重大インシデントへの対応と復旧を改善する。
・Increased visibility of risks across government: harness incident and vulnerability data at scale to better understand systemic risks, strengthen defences and improve resilience outcomes.	・政府全体のリスク可視性の向上：大規模なインシデント及び脆弱性データを活用し、システム的リスクの理解を深め、防御を強化し、レジリエンス成果を向上させる。
What needs to change?	何を変える必要があるか？
Our adversaries see Government as a single target, yet its constituent parts typically respond to threats, vulnerabilities and incidents in silos. Effort is duplicated and uncoordinated, and intelligence and insights are not shared; this reduces the effectiveness and efficiency of our response both now and in future.	敵対者は政府を単一の標的と見なしている。しかし政府を構成する各部門は、脅威・脆弱性・インシデントに対して通常、縦割り対応を取っている。努力は重複し、調整不足であり、情報と知見は共有されない。これにより現在及び将来の対応の有効性と効率性が低下している。
Addressing this challenge	この課題への対応
To address this we will significantly invest in the Government Cyber Coordination Centre (GC3) across the full lifecycle of: prepare; detect; respond and recover; and, learn and improve.	この課題に対処するため、我々は政府サイバー調整センター（GC3）に対し、準備・検知・対応・復旧・学習・改善という全ライフサイクルにわたる大幅な投資を行う。
We will build on existing successes such as the Vulnerability Reporting Service and deliver more Security Operations services from the centre.	脆弱性報告サービスなどの既存の成功事例を基盤とし、同センターからより多くのセキュリティ運用サービスを提供する。
We will unlock more value from the work already being delivered across government and better enable communication and collaboration between Security Operations teams. We will improve and expand coordination capabilities to ensure an effective cross-government response where one is needed.	政府全体で既に実施されている取り組みからさらなる価値を引き出し、セキュリティ運用チーム間のコミュニケーションと協働をより効果的に促進する。必要な場合には効果的な政府横断的対応を確保するため、調整能力の改善と拡充を行う。
Who will be responsible for what	責任分担
Departments will:	各省庁は以下を実施する：
manage organisational cyber incidents across the full lifecycle, drawing on support where appropriate	組織のサイバーインシデントをライフサイクル全体にわたり管理し、必要に応じて支援を活用する
ensure ALBs and sectors for which they have responsibility have suitable cyber incident response and recovery arrangements in place for the full lifecycle	管轄下のALB（行政局）及びセクターが、ライフサイクル全体に対応した適切なサイバーインシデント対応・復旧体制を整備していることを確認する
ALBs and Wider Public Sector will:	地方自治体及び広義の公共部門は：
manage organisational cyber incidents across the full lifecycle, drawing on support where appropriate	組織のサイバーインシデントをライフサイクル全体にわたり管理し、必要に応じて支援を活用する
The Government Cyber Unit will:	政府サイバーユニットは：
set the framework for and coordinate cross-government cyber incident response and recovery across the full lifecycle through GC3, in partnership with NCSC	NCSCと連携し、GC3を通じてライフサイクル全体にわたる政府横断的なサイバーインシデント対応・復旧の枠組みを設定し調整する
NCSC will:	NCSCは以下を実施する：
continue to lead national level cyber incident response and related public messaging in collaboration with Cabinet Office, involving The Government Cyber Unit and GC3 where government is impacted	内閣府と連携し、政府が影響を受ける場合には政府サイバーユニット及びGC3を巻き込み、国家レベルのサイバーインシデント対応及び関連する公的メッセージ発信を主導し続ける
work with The Government Cyber Unit and GC3 on development of technical advice and guidance, provide intelligence-led threat assessment products, and industry accreditation schemes	政府サイバーユニット及びGC3と協力し、技術的助言・指針の開発、情報主導型脅威評価製品の提供、業界認定スキームの構築を行う
coordinate cooperation with cyber security industry partners and international cyber partners	サイバーセキュリティ業界パートナー及び国際的サイバーパートナーとの協力を調整する
Suppliers will:	サプライヤーは以下を実施する：
proactively report and cooperate on cyber incident response and recovery impacting government organisations	政府機関に影響を及ぼすサイバーインシデント対応・復旧について、積極的に報告し協力する
engage directly with the Government Cyber Unit and GC3 on government-wide incidents, where appropriate particularly if a strategic supplier	政府全体のインシデントについては、特に戦略的サプライヤーである場合、適切と判断される場合に政府サイバーユニット及びGC3と直接連携する
Chapter 7: Skills	第7章：スキル
Skills overview	スキル概要
The demand for cyber security and resilience understanding and skills across government is growing faster than the supply of available talent. Leaders, functional professionals, and the wider workforce lack understanding of cyber risks and business impact. This chapter outlines the establishment of a dedicated Government Cyber Profession, which will attract, upskill, retain, and support government cyber professionals.	政府全体におけるサイバーセキュリティ及びレジリエンスに関する理解とスキルの需要は、利用可能な人材の供給を上回る速度で増加している。リーダー、専門職、一般職員の多くがサイバーリスクと事業影響の理解を欠いている。本章では、政府サイバー専門職の確立を概説する。これは政府サイバー専門家の誘致、スキル向上、定着、支援を目的とする。
The core objectives of the skills strand are:	スキル分野の核心的目標は以下の通りである：
・Increased HMG cyber and digital resilience: attracting, upskilling, retaining and supporting cyber and digital resilience talent and making the public sector an attractive employer for professionals	・英国政府のサイバー・デジタルレジリエンス強化：サイバー・デジタルレジリエンス人材の誘致、スキル向上、定着、支援を通じ、公共部門を専門家にとって魅力的な雇用主とする
・Improved management of severe and complex risks: transforming how government manages risk by improving awareness, understanding, activities and unlocking appropriate funding	・深刻かつ複雑なリスクマネジメントの改善：認識・理解・活動の向上と適切な資金確保により、政府のリスクマネジメント手法を変革する
What needs to change?	何を変える必要があるか？
The cyber skills gap is an industry-wide issue with approximately half of businesses (49%) and 58% of government organisations reporting a basic cyber skills gap resulting in vulnerable services and costly outsourcing.[footnote 10]	サイバースキル不足は業界全体の課題であり、約半数の企業（49%）と政府機関の58%が基本的なサイバースキル不足を報告している。その結果、脆弱なサービスと高額な外部委託が発生している。[footnote 10]
Specific public sector challenges include pay and inconsistent approaches to career development. Leaders and enabling professions also suffer from an insufficient understanding of cyber security and resilience, leading to de-prioritisation, underinvestment and inadequate security rigour in general business practices.	公共部門特有の課題には、給与水準やキャリア開発への一貫性のない取り組みが含まれる。リーダーや支援職もサイバーセキュリティとレジリエンスへの理解不足に悩まされ、優先順位低下、投資不足、一般的な業務慣行におけるセキュリティ厳格性の欠如を招いている。
Addressing this challenge	この課題への対応
The Government Cyber Profession will provide a government-wide approach in which the best talent is attracted and retained, and leadership and the workforce are upskilled and supported.	政府サイバー専門職制度は、政府全体で最高の人材を惹きつけ維持し、リーダーシップと労働力のスキル向上と支援を行う枠組みを提供する。
Who will be responsible for what	責任分担
Departments will:	各省庁は以下を実施する：
recruit cyber and digital professionals through entry schemes and recruitment programmes	採用制度や募集プログラムを通じたサイバー・デジタル専門職の採用
upskill and retain staff through learning and development, career pathways, job opportunities, allowances, and competitive pay	学習・開発、キャリアパス、職務機会、手当、競争力のある給与による職員のスキルアップと定着
raise awareness of cyber security and resilience at leadership and board levels, embedding a strong security culture throughout their organisations	リーダーシップ層・役員レベルでのサイバーセキュリティとレジリエンスの意識向上、組織全体への強固なセキュリティ文化の浸透
ALBs and wider public sector organisations will:	地方自治体（ALBs）及び広範な公共部門組織は以下を実施する：
forecast and share local resourcing needs for cyber and digital resilience	サイバー及びデジタルレジリエンスに関する地域別リソース需要を予測・共有する
collaborate with LGDs to develop and implement resourcing plans, including shared resource models	地方自治体開発機関（LGDs）と連携し、共有リソースモデルを含むリソース計画を策定・実施する
The Government Cyber Unit will:	政府サイバーユニット（NCSC）は以下を実施する：
establish and lead the first cross-government Cyber Profession, enabling better talent management and collaboration.	初の政府横断的サイバー専門職制度を確立・主導し、人材管理と協働を強化する
drive recruitment efforts to attract people into government with competitive total job offers and via centrally led schemes align public sector salaries with private sector benchmarks	競争力のある総合的な雇用条件と中央主導の制度を通じて、政府機関への人材誘致を推進する。公共部門の給与を民間部門のベンチマークに整合させる。
develop and deliver training to attract, reskill and upskill staff, leaders, and professionals across disciplines	多様な分野の職員、リーダー、専門家を惹きつけ、再教育し、スキルアップさせるための研修を開発・提供する。
NCSC will:	NCSCは以下を実施する：
support accreditation of cyber and digital professionals via the UK Cyber Security Council	英国サイバーセキュリティ評議会を通じたサイバー・デジタル専門家の認定を支援する。
provide expert guidance to support the attraction, retention and development of a diverse technical workforce	多様な技術人材の誘致、定着、育成を支援する専門的ガイダンスを提供する。

---

● まるちゃんの情報セキュリティ気まぐれ日記

サイバーセキュリティ戦略...

・2025.12.24 閣議決定 サイバーセキュリティ戦略

・2025.12.24 国連他 「国家サイバーセキュリティ戦略策定のためのガイド」第3版 (2025.12.18)

・2025.12.24 閣議決定 NCO 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針 (2025.12.23)

・2025.12.21 NCO サイバーセキュリティ推進専門家会議 第３回会合 サイバーセキュリティ戦略（案） (2025.12.08)とレジリエンスについて

・2025.11.04 国家サイバー統括室 サイバーセキュリティ戦略（案）サイバーセキュリティ推進専門家会議第2回会合

・2025.09.22 NCO サイバーセキュリティ推進専門家会議

・2025.06.09 ENISA EU諸国の国家サイバーセキュリティ戦略をマップから見れる... (2025.06.04)

・2024.03.08 韓国 国家安全保障室、ユン・ソクヨル政府の「国家サイバー安全保障戦略」 (2024.02.01)

・2023.03.03 ENISA 国家サイバーセキュリティ戦略の実施に向けた効果的なガバナンスフレームワークの構築

・2022.10.16 オランダ サイバーセキュリティ戦略2022-2028 デジタル・セキュリティー社会の実現に向けた渇望と行動 (2022.10.10)

・2022.06.21 内閣官房 サイバーセキュリティ 2022 重要インフラのサイバーセキュリティに係る行動計画 (2022.06.17)

・2022.02.22 NATO CCDCOE 「国家サイバーセキュリティ戦略策定のためのガイド」第2版 (2021.11)

・2021.12.17 英国 国家サイバー戦略

・2021.10.11 シンガポール サイバーセキュリティ戦略2021

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 （予算からみるとサイバーセキュリティは経済発展というよりも安全保障？）

・2021.09.26 独国 サイバーセキュリティ戦略2021 at 2021.09.08

・2021.07.15 経団連 提言「全員参加によるサイバーセキュリティの実現に向けて」

・2021.07.13 NISC 「次期サイバーセキュリティ戦略（案）」と「サイバーセキュリティ2021（案）」に関する意見の募集について

・2021.07.12 NATO関連機関が分析したサイバー空間におけるロシアの戦略 at 2021.06.11

・2021.07.07 NISC 「サイバーセキュリティ戦略本部第30回会合」と「サイバーセキュリティ対策推進会議(CISO等連絡会議)第18回会合」

・2021.06.29 IISS サイバー対応能力と国家力 日本のサイバー能力はいけていない？

・2021.06.03 サイバー領域の制度、法律、政策などについての米英の比較

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.13 サイバーセキュリティ戦略本部 次期サイバーセキュリティ戦略の骨子

・2020.12.08 ENISA 自国のサイバーセキュリティ能力の成熟度を自己評価するための「国家能力評価フレームワーク（NCAF）」を発行

・2020.08.11 オーストラリア政府 内務省がサイバーセキュリティ戦略2020を公表していましたね。。。

---

参考 各国のサイバーセキュリティ戦略

■ EUの場合

● European Commission

・2020.12.16 The EU’s Cybersecurity Strategy for the Digital Decade

・[PDF] JOINT COMMUNICATION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL - The EU's Cybersecurity Strategy for the Digital Decade

・2020.12.16 The EU's Cybersecurity Strategy in the Digital Decade

・[PDF] Factsheet

欧州各国のサイバーの国家戦略はENISAがまとめてみられるようにしていますね...

● ENISA

・2025.06.04 National Cyber Security Strategies Interactive map

■ ドイツの場合

● Bundesministerium des Innern, für Bau und Heimat 

プレス

・2021.09.08 (press) Cybersicherheitsstrategie für Deutschland 2021 beschlossen

戦略本文

・[PDF] Cybersicherheitsstrategie für Deutschland 2021

■ オランダの場合

・2022.10.10 Kabinet presenteert nieuwe cybersecuritystrategie

● 戦略

・2022.10.10 Nederlandse Cybersecuritystrategie 2022 - 2028

・[PDF] 

● 活動計画 2022-2023

・2022.10.10 Actieplan Nederlandse Cybersecuritystrategie 2022 - 2023

・[PDF] 

■ UKの場合

● National Cyber Security Centre

・2021.12.15 (news) Government publishes blueprint to protect UK from cyber threats

・2021.12.15 Policy paper National Cyber Strategy 2022

・[heml] National Cyber Strategy 2022

 ・[PDF] National Cyber Strategy 2022

・日本語訳 [Downloded]

■ U.S. の場合

・2023.03.02 FACT SHEET: Biden-⁠Harris Administration Announces National Cybersecurity Strategy

・[PDF] National Cybersecurity Strategy 

・2018.09.20 President Trump Unveils America’s First Cybersecurity Strategy in 15 Years

・[PDF] NATIONAL CYBER STRATEGY of the United States of America

・仮訳 [DOCX] 

■ 日本の場合

● 内閣官房 - サイバーセキュリティセンター - サイバーセキュリティ戦略本部

今回のもの

・2025.12.23 サイバーセキュリティ戦略（閣議決定）

前回のもの

・2021.09.28 [PDF] サイバーセキュリティ戦略

・2023.07.04 サイバーセキュリティ戦略本部 第３６回会合

• [PDF] サイバーセキュリティ2023

・2022.06.17 サイバーセキュリティ戦略本部 第３４回会合

• [PDF] サイバーセキュリティ2022 
• [PDF] 重要インフラのサイバーセキュリティに係る行動計画 
• [PDF] サイバーセキュリティ関係施策に関する令和5年度予算重点化方針 

・2021.09.27 第31回会合

• [PDF] 報道発表資料
• [PDF] サイバーセキュリティ2021

🔳オーストラリアの場合

● AU - Department of Home Affairs - Cyber security - Strategy

・2023.11.22 [PDF] 

実行計画

・2023.11.22 [PDF] 

・2020.08.06 [PDF] AUSTRALIA’S CYBER SECURITY STRATEGY 2020

2016年の前回のバージョン

・[PDF] Australia's Cyber Security Strategy」

■ 中国の場合

●  中央网络安全和信息化委员会办公室 (Cyberspace Administration of China)

 プレス発表

戦略全文

・2016.12.27 国家网络空间安全战略

・英語訳

　・2016.12.27 National Cyberspace Security Strategy

■ ロシアの場合（NATO CCDCOEの論文）

● NATO CCDCOE

・2020 [PDF] The Past, Present, and Future of Russia’s Cyber Strategy and Forces by Bilyana Lilly and Joe Cheravitch

■ インドの場合

● Data Security Council of India

・2020.08.15 [PDF] National Cyber Security Strategy 2020

■ シンガポールの場合

● Cyber Security Agency of Singapore

・2021.10.05 Singapore Updates National Cybersecurity Strategy

・The Singapore Cybersecurity Strategy 2021

・[PDF]

◾️ 韓国の場合...

・2024.02.01

・[PDF]

2019年の国家サイバーセキュリティ戦略

・韓国語 [PDF] 국가사이버안보전략

・英語 [PDF] National Cyberseuciry Strategy

----

欧州 ENISA パブコメ SBOMの現状分析 - 実装ガイドに向けて案 (2025.12.17)

こんにちは、丸山満彦です。

ENISAが、SBOMの実装ガイドを含む文書を公表し、意見募集をしていますね（2026.01.23まで...）

EUでは、サイバーレジリエンス法（CRA）をスムーズに実装するために、このような実装ガイドを公表しているのだろうと思います...

なかなか興味深いので、一読をおすすめします...特に２章、３章...

● ENISA

・2025.12.17 Call for Feedback: Advancing Software Supply Chain Security together!

Call for Feedback: Advancing Software Supply Chain Security together!	フィードバック募集：ソフトウェア供給網のセキュリティ向上を共に推進しよう！
ENISA invites industry stakeholders and interested parties to provide their feedback on the draft SBOM Landscape Analysis and the Technical Advisory for Secure Use of Package Managers.	ENISAは業界関係者及び関心を持つ者に対し、SBOMランドスケープ分析ドラフト及びパッケージ管理ツールの安全な利用に関する技術的助言へのフィードバック提供を呼びかける。
ENISA works to strengthen cybersecurity by promoting cybersecurity-by-design and cybersecurity-by-default in the EU market. The EU is prioritising the security of all digital products and the protection of end-users, safeguarding our shared connected ecosystem. Through the launch of the two new public consultations, the Agency aims to engage with professionals working in product security and development to provide meaningful guidance and support in advancing cybersecurity across the ecosystem.	ENISAは、EU市場における設計段階からのサイバーセキュリティ（Cybersecurity-by-design）とデフォルト設定によるサイバーセキュリティ（Cybersecurity-by-default）の推進を通じて、サイバーセキュリティの強化に取り組んでいる。EUは、すべてのデジタル製品のセキュリティとエンドユーザーの保護を優先し、我々が共有する接続されたエコシステムを保護している。2つの新たな公開協議を開始することで、当機関は製品セキュリティと開発に携わる専門家と連携し、エコシステム全体のサイバーセキュリティ推進に向けた有意義なガイダンスと支援を提供することを目指している。
SBOM Landscape Analysis: Towards an Implementation Guide	SBOM ランドスケープ分析：実装ガイドに向けて
Software Bills of Materials (SBOM) implementation is a significant step for organisations to enhance management, transparency and resilience of their systems. ENISA has compiled a draft report of comprehensive yet practical guidance for implementing Software Bill of Materials practices within organisations of varying sizes and capabilities.	ソフトウェア部品表（SBOM）の実装は、組織がシステムの管理、透明性、レジリエンスを強化するための重要な一歩である。ENISA は、規模や能力の異なる組織内でソフトウェア部品表の実践を実装するための包括的かつ実践的なガイダンスのドラフト報告書をまとめた。
You may provide your feedback by 23 January 2026 at 23:59 CET by taking part in the survey	2026年1月23日23時59分（中央ヨーロッパ時間）までに、以下の調査に参加してフィードバックを提供できる
Additionally, the baseline survey to assess the state of Software Bills of Materials (SBOMs) across Europe is still open and running until the 19 December 2025. Provide your input here	さらに、欧州全域におけるソフトウェア部品表（SBOM）の現状を評価するベースライン調査は、2025年12月19日まで引き続き実施中である。こちらからご意見をお寄せください
ENISA Technical Advisory for Secure Use of Package Managers	ENISAによるパッケージ管理ツールの安全な利用に関する技術的助言
ENISA will publish regular technical advisories on product security from 2026 onwards. The first of these technical advisories covers the use of package managers. Software development is largely driven by the use of package managers. Packages and package managers offer major benefits for software development, improving collaboration, efficiency, and consistency. Yet their interconnected nature and security risks can create a ripple effect across the software supply chain, affecting hundreds of thousands of dependent projects.	ENISAは2026年以降、製品セキュリティに関する技術アドバイザリーを定期的に公開する。最初のアドバイザリーはパッケージ管理ツールの使用に関するものだ。ソフトウェア開発は主にパッケージ管理ツールの使用によって推進されている。パッケージとパッケージ管理ツールは、コラボレーション、効率性、一貫性の向上を通じてソフトウェア開発に大きな利点をもたらす。しかし、それらの相互接続性とセキュリティリスクは、ソフトウェアサプライチェーン全体に波及効果をもたらし、数十万もの依存プロジェクトに影響を及ぼしうる。
This draft document aims to support software developers in the software development lifecycle and particularly in the secure use of package managers. In particular, this document outlines common risks involved in the use of third-party packages, presents secure practices for selecting, integrating, and monitoring packages and how to address vulnerabilities found in dependencies.	この草案文書は、ソフトウェア開発ライフサイクルにおける開発者を支援し、特にパッケージ管理ツールの安全な利用を目的とする。具体的には、サードパーティ製パッケージ利用に伴う一般的なリスクを概説し、パッケージの選定・統合・監視における安全な実践方法、依存関係で発見された脆弱性への対処法を提示する。
You may take part in the consultation for the Technical Advisory by 23 January 2026, 23:59 CET through the following link	技術アドバイザリーに関する意見募集には、2026年1月23日23時59分（中央ヨーロッパ時間）までに以下のリンクから参加できる
Following the analysis of the public consultations, the final publications will be available on ENISA website in Q2 2026.	公開意見募集の分析を経て、最終版は2026年第2四半期にENISAウェブサイトで公開される予定だ。
Further Information	追加情報
SBOM Landscape Analysis	SBOM ランドスケープ分析
Survey SBOM Landscape Analysis	SBOM ランドスケープ分析に関する調査
ENISA Technical Advisory for Secure Use of Package Managers	パッケージ管理ツールの安全な利用に関する ENISA 技術アドバイザリー
Survey for the Technical Advisory for Secure Use of Package Managers	パッケージ管理ツールの安全な利用に関する技術アドバイザリー調査
Survey on SBOM State of the Art	SBOM の現状に関する調査

ドラフト。。。

・2025.12.17 [PDF] SBOM LANDSCAPE ANALYSIS - TOWARDS AN IMPLEMENTATION GUIDE

目次...

1. INTRODUCTION	1. 序論
1.1 PURPOSE AND SCOPE	1.1 目的と範囲
1.1.1 WHY SBOM MATTERS?	1.1.1 SBOMが重要な理由
1.2 DEFINITIONS	1.2 定義
1.2.1 SOFTWARE BILL OF MATERIALS (SBOM)	1.2.1 ソフトウェア部品表（SBOM）
1.2.2 PRODUCT, SOFTWARE, COMPONENT	1.2.2 製品、ソフトウェア、コンポーネント
1.2.3 SUPPLY CHAIN	1.2.3 サプライチェーン
1.3 STRUCTURE OF THE REPORT	1.3 レポートの構成
2. SBOM IMPLEMENTATION GUIDE	2. SBOM 実装ガイド
2.1 INITIATION PHASE	2.1 開始フェーズ
2.2 PLANNING PHASE	2.2 計画フェーズ
2.2.1 SPECIFICATIONS AND FORMAT	2.2.1 仕様とフォーマット
2.2.2 BASELINE SBOM ELEMENT REQUIREMENTS	2.2.2 基本SBOM要素要件
2.2.3 AVAILABLE TOOLS AND AUTOMATION	2.2.3 利用可能なツールと自動化
2.2.4 VALIDATION AND SIGNING	2.2.4 妥当性確認と署名
2.3 EXECUTION PHASE	2.3 実行フェーズ
2.3.1 SBOM GENERATION	2.3.1 SBOM生成
2.3.2 SBOM UTILISATION	2.3.2 SBOM活用
2.3.3 SBOM QUALITY	2.3.3 SBOM品質
2.3.4 SECURITY CONTROLS	2.3.4 セキュリティ管理
2.3.5 INTEGRATION AND AUTOMATION	2.3.5 統合と自動化
2.4 MONITORING AND CONTROLING PHASE	2.4 監視と制御フェーズ
2.4.1 VERSIONING AND UPDATES	2.4.1 バージョン管理と更新
2.4.2 COMPONENT HEALTH ASSESSMENT	2.4.2 コンポーネント健全性アセスメント
2.5 CLOSURE PHASE	2.5 終了フェーズ
3. PRACTICAL TIPS AND EXAMPLES	3. 実践的なヒントと事例
3.1 SBOM IMPLEMENTATION PATTERNS	3.1 SBOM実装パターン
3.2 IMPLEMENTATION CASE: MULTI-REPOSITORY SBOM AGGREGATION	3.2 実装事例：マルチリポジトリSBOM集約
3.2.1 TECHNICAL ARCHITECTURE	3.2.1 技術アーキテクチャ
3.2.2 DEPENDENCY GRAPH CONSTRUCTION	3.2.2 依存関係グラフ構築
3.2.3 DATA PIPELINE IMPLEMENTATION	3.2.3 データパイプライン実装
3.2.4 OPERATIONAL WORKFLOWS	3.2.4 運用ワークフロー
3.2.5 ADVANCED TECHNICAL CAPABILITIES	3.2.5 高度な技術的機能
3.2.6 PRACTICAL DEPLOYMENT CONSIDERATIONS	3.2.6 実践的な展開上の考慮事項
A GLOSSARY & ACRONYMS	A 用語集と略語
B BIBLIOGRAPHY / REFERENCES	B 参考文献
C EXAMPLE FOR CAPACITY BUILDING AND STAFF SKI	C 能力構築とスタッフスキルの開発例
DEVELOPMENT	C.1 役割適応フレームワーク
C.1 ROLE ADAPTATION FRAMEWORK	C.1 役割適応枠組み
C.2 COMPETENCY DEVELOPMENT MATRIX	C.2 能力開発マトリックス
C.3 IMPLEMENTATION TIMELINE EXAMPLE	C.3 実装タイムラインの例
C.4 SUCCESS METRICS AND KPIS	C.4 成功指標とKPI
C.5 LESSONS LEARNED FROM IMPLEMENTATION	C.5 実装から得た教訓
D STAKEHOLDER CATEGORIES	D ステークホルダーのカテゴリー
D.1 SOFTWARE PRODUCERS/MANUFACTURERS	D.1 ソフトウェア生産者／製造事業者
D.2 SOFTWARE PROCUREMENT EVALUATOR	D.2 ソフトウェア調達評価者
D.3 SOFTWARE OPERATORS	D.3 ソフトウェア運用者
D.4 STANDARDISATION BODIES	D.4 標準化団体
D.5 CYBERSECURITY AGENCIES AND ENTITIES	D.5 サイバーセキュリティ機関及び事業体
D.6 SUPPORTING STAKEHOLDERS (ENABLING ECOSYSTEM DEVELOPMENT)	D.6 支援ステークホルダー（エコシステム開発の促進）
E ADDITIONAL INFORMATION ABOUT SBOM FORMATS	E SBOMフォーマットに関する追加情報
E.1 SPDX (SYSTEM PACKAGE DATA EXCHANGE)	E.1 SPDX（システムパッケージデータ交換）
E.2 CYCLONEDX	E.2 CYCLONEDX
F DETAILED MAPPING AND COMPATINILITY BETWEEN FORMATS	F フォーマット間の詳細なマッピングと互換性
F.1 COMPATIBILITY OVERVIEW	F.1 互換性の概要
F.2 CORE FIELD MAPPING	F.2 コアフィールドのマッピング
F.3 INFORMATION LOSS SCENARIOS	F.3 情報損失シナリオ
G TOOLS FOR CONVERTING AND TRANSLATING BETWEEN SBOM STANDARDS	G SBOM標準間の変換・翻訳ツール
G.1 TOOL CATEGORIES AND CHARACTERISTICS	G.1 ツールカテゴリーと特性
G.2 REQUIRED CAPABILITIES ASSESSMENT	G.2 必要機能の評価
H SBOM VALIDATION AND QUALITY CHECKLIST	H SBOM妥当性確認と品質チェックリスト
H.1 PRE-DEPLOYMENT VALIDATION GATE	H.1 展開前妥当性確認ゲート
H.2 RUNTIME VERIFICATION POINTS	H.2 実行時検証ポイント
H.3 PERIODIC QUALITY ASSESSMENT	H.3 定期的な品質アセスメント
H.4 INCIDENT RESPONSE VALIDATION	H.4 インシデント対応検証
H.5 CRITICAL CONTROL POINTS	H.5 重要管理ポイント
H.6 VALIDATION TOOLCHAIN REQUIREMENTS	H.6 検証ツールチェーン要件
H.7 PIPELINE INTEGRATION CHECKPOINTS	H.7 パイプライン統合チェックポイント
I CI/CD INTEGRATION EXAMPLES	I CI/CD 統合事例

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
Software Bills of Materials (SBOMs) represent a fundamental shift in how organisations understand, manage, and secure their software estates. Beyond immediate compliance drivers, SBOM adoption establishes the foundation for a transparent, resilient, and strategically managed software supply chain that transforms reactive security practices into proactive risk management capabilities.	ソフトウェア部品表（SBOM）は、組織がソフトウェア資産を理解し、管理し、保護する方法を根本的に変えるものである。即時のコンプライアンス要件を超えて、SBOMの導入は、透明性が高く、レジリエンスに富み、戦略的に管理されたソフトウェアサプライチェーンの基盤を確立する。これにより、事後対応型のセキュリティ慣行が、事前予防型のリスクマネジメント能力へと変革される。
This report provides comprehensive implementation guidance for European Entities navigating SBOM adoption, with particular emphasis on practical approaches for resource-constrained environments. The frameworks presented enable organisations to progress from minimal compliance to operational excellence through structured, incremental adoption pathways.	本報告書は、SBOM導入を進める欧州事業体向けに包括的な実装ガイダンスを提供する。特にリソース制約環境における実践的アプローチに重点を置く。提示された枠組みにより、組織は構造化された段階的導入経路を通じて、最低限のコンプライアンスから運用上の卓越性へと進展できる。
SBOMs are not just static compliance artifacts, their data can also become the basis of dynamic operational intelligence assets. Organisations implementing comprehensive SBOM practices today position themselves to leverage automated security response, predictive supply chain analytics, and evidence-based architectural decisions. The transparency gained through systematic component tracking enables informed technology choices, optimised vendor relationships, and demonstrable security maturity that increasingly determines market competitiveness.	SBOMは単なる静的なコンプライアンス文書ではない。そのデータは動的な運用インテリジェンス資産の基盤ともなり得る。今日、包括的なSBOM実践を導入する組織は、自動化されたセキュリティ対応、予測型サプライチェーン分析、証拠に基づくアーキテクチャ決定を活用する立場を確立している。体系的なコンポーネント追跡によって得られる透明性は、情報に基づいた技術選択、最適化されたベンダー関係、そして市場競争力をますます決定づける実証可能なセキュリティ成熟度を可能にする。
Mature SBOM capabilities deliver compound benefits across technical, operational, and business dimensions. Technical teams gain precise vulnerability impact assessment and accelerated incident response. Operational functions achieve streamlined compliance demonstration and reduced audit burden. Business leadership obtains quantifiable supply chain risk metrics and enhanced negotiation leverage with suppliers. These capabilities collectively transform software from an opaque operational risk into a transparent, manageable asset class.	成熟したSBOM能力は、技術的、運用的、ビジネス的次元において複合的な利益をもたらす。技術チームは、正確な脆弱性影響評価と迅速化されたインシデント対応を獲得する。運用機能は、効率化されたコンプライアンス実証と監査負担の軽減を達成する。経営陣は定量化可能なサプライチェーンリスク指標と、サプライヤーとの交渉力強化を得られる。これらの能力が相まって、ソフトウェアは不透明な運用リスクから、透明性が高く管理可能な資産クラスへと変容する。
The guidance acknowledges that successful SBOM implementation requires more than technical deployment—it demands organisational capability development, process integration, and cultural adaptation. By following the structured approaches detailed within, organisations can establish sustainable SBOM practices that deliver immediate security improvements whilst building towards comprehensive supply chain governance.	本ガイダンスは、SBOM導入の成功には技術的展開以上のものが必要であることを認めている。組織能力の開発、プロセス統合、文化の適応が求められるのだ。ここに詳述された構造化されたアプローチに従うことで、組織は持続可能なSBOM実践を確立できる。これにより即時のセキュリティ改善を実現しつつ、包括的なサプライチェーンガバナンス構築へと向かうことができる。

---

● まるちゃんの情報セキュリティ気まぐれ日記

SBOM

・2025.11.27 欧州委員会 SBOMの最新状況に関する調査 (2025.12.19まで)

・2025.09.18 ドイツ 情報セキュリティ庁 BSI TR-03183: 製造事業者および製品に対するサイバーレジリエンス要件 第2部：ソフトウェア部品表 (SBOM), 第3部：脆弱性報告および通知 (2025.09)

・2025.09.08 米国他主要国 サイバーセキュリティのためのソフトウェア部品表（SBOM）に関する共通ビジョン

・2025.08.25 米国 CISA パブコメ 2025 年ソフトウェア部品表（SBOM）の最小要素

・2025.08.13 G7 人工知能のためのソフトウェア部品表に関する G7 の共通ビジョン (2025.06.12)

・2025.03.14 シンガポール オープンソースソフトウェアとサードパーティ依存のSBOMとリアルタイム脆弱性監視に関するアドバイザリー (2025.02.20)

・2024.11.25 欧州 サイバーレジリエンス法、官報に掲載　(2024.11.20)

・2024.11.12 インド政府 CERT-In SBOM技術ガイド 第１版 (2024.10.03)

・2024.11.09 ドイツ 連邦セキュリティ室 (BSI) 意見募集 TR-03183： 製造者及び製品に対するサイバーレジリエンス要件（一般要求事項、SBOM、脆弱性報告）

・2024.09.01 経済産業省 ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0 (2024.08.29)

・2024.01.08 米国 NSA SBOM管理のための推奨事項 (Ver. 1.1)

・2023.11.12 米国 NSA CISA ソフトウェアサプライチェーンの確保： ソフトウェア部品表の開示に関する推奨事項

・2023.10.13 米国 CISA FBI NSA DOT 運用技術 (OT) および産業制御システム (ICS) におけるオープンソースソフトウェアのセキュリティ向上

・2023.09.18 米国 CISA オープンソース・ソフトウェア・セキュリティ・ロードマップ

・2023.09.01 NIST SP 800-204D（初期公開ドラフト）DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2023.08.30 日本ネットワークセキュリティ協会 (JNSA) 「日本におけるソフトウェアサプライチェーンとSBOMのこれから」「ゼロトラストと標準化」

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183：製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.01 経済産業省 ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引

・2023.07.09 米国 NSA CISA 継続的インテグレーション/継続的デリバリー（CI/CD）環境の防御に関する共同ガイダンス (2023.06.28)

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2022.11.17 CISA ステークホルダー別脆弱性分類 (SSVC) ガイド

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

米国 CSET A米国のAI外交戦略 - 湾岸諸国との取引から国際枠組みへ (2025.10)

こんにちは、丸山満彦です。

昨年やり残していたことをしばらく...サイバー空間と新興技術に関する安全保障政策を主導する組織である米国のワシントンDCにあるCenter for Security and Emerging Technology:CSET（安全保障・新興技術センター）[wikipedia]から公表されている報告書をいくつか紹介します... 

AI資源を外交に使おうという発想です。AIは広い意味でも生産性向上の不可欠な要素となってきています。現在のところAIサービスを提供する能力という意味では米国が圧倒的に有利な状況にいて、各国がそれを追いかける状況となっています。特に中国は米国の影響をできる限り避けるためにも国をあげて独自のAI開発を進めていますよね...もちろん、欧州も欧州連合がイニシアティブをとって進めていますし、英国もそうです。日本ももちろんそうなのですが、まだピリッとした感じがしないのは気のせいですかね...

さて、米国の立場からするとこの状況をうまく外交のカードとして使うことが重要となってきます。特に中国や欧州が台頭してくる前に有利な状況を作っておく必要があると言えます。そこでAI外交戦略が重要となってきているのかもしれません...

CSETが10月に公表した報告書では湾岸諸国でのAI関連の国家的取り組みについての分析を通じてAI外交戦略の立案の重要性が説明されています。特に米国の立場だと法の支配と民主主義的な価値観（ちょっと揺らぎつつあるのかもしれませんが...）をベースとした価値観とパッケージ化し、AI資源を、ここのケースに応じた１企業対外国政府という形態から、国家戦略に基づくAI外交フレームワークに基づいた戦略的な国際枠組みに変えていくことが重要となっています。要は、米国の利益のためのAI資源をどのように使うのか？ということになります。

で、この報告書での提案...

1. Establish a Structured, Rules-Based Framework for Access to U.S. AI	1. 米国AIへのアクセスに関する構造化されたルールベースの枠組みを確立する
2. Build a Layered Governance Architecture for AI Infrastructure	2. AIインフラのための多層的ガバナンス構造を構築する
3. Align Institutional Capacity with Strategic Objectives	3. 戦略目標と機構的能力の整合化
4. Launch an AI Cooperation Forum to Build Strategic Alignment	4. 戦略的連携を構築するための AI 協力フォーラムを立ち上げる

もっともな話だと思います。おそらく、今後米国はAI資源を外交のカードとして利用してくると思います。そうなったときに日本はどうするのか？ということになります。

日本が取りうるオプションはいくつかあるとは思います。例えば、（１）日米垂直統合（日本が米国のAI資源の不可欠な一部になる）、（２）日本完結（日本が独自のソブリンAIをつくり運用する。ハード、ソフトとも揃える）、（３）多国間協力（多国間での連携体をつくり開発・運用する）

（１）はおそらく米国がYesと言わないのでありえないと思います。となると、（２）か（３）。

どちらも難しいですが、早く決めないとオプションがどんどん減っていくかもですね...

● CSET

・2025.10 U.S. AI Statecraft - From Gulf Deals to an International Framework

U.S. AI Statecraft - From Gulf Deals to an International Framework

米国のAI外交戦略 - 湾岸諸国との取引から国際枠組みへ

Recent U.S.-Gulf AI partnerships represent billions of dollars in strategic technology deals, but they raise critical questions about governance, oversight, and long-term influence. This analysis examines four major AI initiatives with Saudi Arabia and the United Arab Emirates, discussing critical issues including fragmented oversight, technology diversion, and AI sovereignty. It proposes a framework to transform ad hoc dealmaking into principled, transparent, and rule-bound AI statecraft that advances U.S. interests, strengthens technology relationships with allies and partners, and establishes durable governance mechanisms for U.S. AI deployments abroad.

最近の米国と湾岸諸国とのAI提携は、数十億ドル規模の戦略的技術取引を意味するが、ガバナンス、監督体制、長期的な影響力に関する重大な疑問を提起している。本分析はサウジアラビアおよびアラブ首長国連邦との4つの主要AIイニシアチブを検証し、断片化した監督体制、技術の転用、AI主権といった重要課題を論じる。その上で、米国利益の推進、同盟国・パートナーとの技術関係の強化、海外における米国AI展開のための持続可能なガバナンス体制構築を実現するため、場当たり的な取引を原則・透明性・ルールに基づくAI外交へと転換する枠組みを提案する。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

Introduction	序論
Overview of Major U.S.–Gulf AI Initiatives (2024–2025)	主要な米国・湾岸諸国AIイニシアチブ概要（2024-2025年）
Microsoft–G42 Partnership (UAE, 2024)	マイクロソフト–G42提携（UAE、2024年）
Stargate UAE AI Campus (UAE, 2025)	スターゲートUAE AIキャンパス（UAE、2025年）
AWS–HUMAIN AI Zone Initiative (KSA, 2025)	AWS–HUMAIN AIゾーン構想（サウジアラビア、2025年）
NVIDIA–HUMAIN Partnership (KSA, 2025)	NVIDIA–HUMAINパートナーシップ（サウジアラビア、2025年）
Structures of U.S.–Gulf AI Partnerships	米国と湾岸諸国間のAIパートナーシップ構造
What Remains Uncertain, and Why It Matters	不透明な点とその重要性
Policy Recommendations: A U.S. Framework for an International AI Infrastructure	政策提言：国際AIインフラのための米国枠組み
Conclusion: From Transactions to Frameworks	結論：取引から枠組みへ
Endnotes	脚注

欧州 サイバーセキュリティ法の改正に向けた動き... (2025.12.09)

こんにちは、丸山満彦です。

すこし古い話です(^^;;  サイバーセキュリティ法（CSA）改正に関するはなし...

EUのサイバーセキュリティ関係法はデータ関連の法令も併せて混乱気味ですよね...

サイバー領域でも、CSAに続いてNIS2、サイバーレジリエンス法（CRA）、DORAが後から制定されました。規制簡素化はEUの重要なアジェンダですよね...

また、2019年から比較すると、地政学的な状況も変わってきています。2004年に時限的につくられたENISAが2019年のCSAにより恒久組織化されたわけですが、その後新たにいろいろと役割も追加されてきていることもあり、CSAで再定義する必要があるようです。

EUでは安全保障は各国ですることになっていますが、サイバーセキュリティは安全保障とのつながりが強いため、EUで機関をおかない（おいても時限的）と言う流れだったようです...2004年ENISA設置当時の話では...

さらに、欧州サイバーセキュリティ認証枠組み（ECCF）もうまくいっていない面もあり、再度調整が必要そうです。

クラウド認証（EUCS）の導入をめぐっては、主権要件をいれるかどうかで意見が分かれているようです...

この文書は、EUのサイバーセキュリティ法制度の今後の方向性を大まかに理解する上でも読んでおいた方が良いと思いました...

● European Parliament - Think Tank

・2025.12.09 Cybersecurity Act review: What to expect

Cybersecurity Act review: What to expect

サイバーセキュリティ法の見直し：今後の見通し

The Cybersecurity Act (CSA) came into force in 2019 as part of the EU's efforts to build strong cybersecurity. Since its introduction, the EU cybersecurity regulatory framework has become more complex in response to the rise in cyber-attacks. New EU rules, as well as changes in the geopolitical context, have impacted the CSA, and the regulation is currently under review. Although stakeholders are aligned on most issues, significant differences remain, notably in addressing non-technical risks relating to the security of the information and communications technology (ICT) supply chain.

サイバーセキュリティ法（CSA）は、EUが強力なサイバーセキュリティを構築する取り組みの一環として2019年に施行された。導入以来、サイバー攻撃の増加に対応し、EUのサイバーセキュリティ規制枠組みはより複雑化している。新たなEU規則や地政学的状況の変化がCSAに影響を与え、現在見直しが進められている。関係者の間では大半の課題で意見が一致しているが、情報通信技術（ICT）サプライチェーンのセキュリティに関連する非技術的リスクへの対応など、重要な相違点は依然として残っている。

・[PDF]

Cybersecurity Act review: What to expect	サイバーセキュリティ法の見直し：今後の見通し
The Cybersecurity Act (CSA) came into force in 2019 as part of the EU's efforts to build strong cybersecurity. Since its introduction, the EU cybersecurity regulatory framework has become more complex in response to the rise in cyber-attacks. New EU rules, as well as changes in the geopolitical context, have impacted the CSA, and the regulation is currently under review. Although stakeholders are aligned on most issues, significant differences remain, notably in addressing non-technical risks relating to the security of the information and communications technology (ICT) supply chain.	サイバーセキュリティ法（CSA）は、EUが強力なサイバーセキュリティを構築する取り組みの一環として2019年に施行された。導入以来、サイバー攻撃の増加に対応し、EUのサイバーセキュリティ規制枠組みはより複雑化している。新たなEU規則や地政学的状況の変化がCSAに影響を与え、現在見直しが進められている。関係者の間では大半の課題で意見が一致しているが、情報通信技術（ICT）サプライチェーンのセキュリティに関連する非技術的リスクへの対応など、重要な相違点は残っている。
The Cybersecurity Act in short	サイバーセキュリティ法の概要
Regulation (EU) 2019/881 (the CSA) formalised the role of the European Cybersecurity Agency (ENISA), giving it a permanent mandate, resources and tasks, including operational ones. It also established a voluntary EU cybersecurity certification framework (ECCF) for ICT products, services and processes. The ECCF aims to set up and maintain specific certification schemes, allowing companies operating in the EU to use the certificates recognised across all Member States. In January 2025, a targeted amendment to the CSA was adopted, to enable the future adoption of European certification schemes for 'managed security services' covering areas such as incident response, penetration testing, security audits and consultancy. The CSA requires an evaluation and review every five years. Postponed several times, this is now expected on 14 January 2026.	規則（EU）2019/881（CSA）は欧州サイバーセキュリティ庁（ENISA）の役割を正式に定め、恒久的な権限・資源・任務（運用面を含む）を付与した。またICT製品・サービス・プロセス向けの任意参加型EUサイバーセキュリティ認証枠組み（ECCF）を設立した。ECCFは特定の認証スキームを確立・維持し、EU域内で事業を行う企業が全加盟国で認められる認証を利用できるようにすることを目的としている。2025年1月には、インシデント対応、ペネトレーションテスト、セキュリティ監査、コンサルティングなどの分野をカバーする「マネージドセキュリティサービス」向けの欧州認証スキームを将来的に導入可能とするため、CSAの特定改正が採択された。CSAは5年ごとの評価と見直しを義務付けている。数度延期された後、現在は2026年1月14日に実施が予定されている。
Evolving context	変化する状況
Since the CSA entered into force, cyber-attacks have been on the rise. This has prompted new EU cybersecurity laws to address the growing number and complexity of cyber threats. As a result, ENISA's roles and responsibilities have expanded. For example, ENISA supports implementation of the Directive on measures for a high common level of cybersecurity across the Union (NIS2) by providing technical guidelines, facilitating information sharing, and enhancing coordination between Member States. Similarly, ENISA supports implementation and enforcement of the Cyber Resilience Act (CRA) by providing technical expertise, developing a single reporting platform for vulnerability and incident reporting, and supporting cybersecurity certification schemes.	CSA発効以降、サイバー攻撃は増加傾向にある。これにより、増加するサイバー脅威の数と複雑性に対処するため、新たなEUサイバーセキュリティ法が制定された。結果として、ENISAの役割と責任は拡大した。例えば、ENISAは技術ガイドラインの提供、情報共有の促進、加盟国間の連携強化を通じて、EU全域における高度な共通サイバーセキュリティ水準確保のための措置に関する指令（NIS2）の実施を支援している。同様に、ENISAは技術的専門知識の提供、脆弱性・インシデント報告のための単一プラットフォームの開発、サイバーセキュリティ認証スキームの支援を通じて、サイバーレジリエンス法（CRA）の実施と執行を支援している。
As regards certification, implementation of the ECCF has been challenging. So far, only one EU certification scheme has been adopted – the European cybersecurity scheme on common criteria (EUCC), dedicated to certifying ICT products. All other schemes (cloud services – EUCS, 5G, digital identity wallets and managed security services) are still under development. Additionally, there are concerns whether the ECCF effectively addresses non-technical supply-chain cybersecurity risks such as geopolitical dependencies. Questions have also been raised about how voluntary certification frameworks will align with the CRA, which establishes a presumption of conformity (in Article 27) for products certified under a recognised European scheme such as the EUCC.	認証に関しては、ECCFの実施は困難を極めている。現時点で採用されているEU認証スキームは、ICT製品の認証に特化した共通規準に基づく欧州サイバーセキュリティスキーム（EUCC）のみである。その他のスキーム（クラウドサービス向けEUCS、5G、デジタルIDウォレット、およびマネージドセキュリティサービス向け）はいずれも開発段階にある。さらに、ECCFが地政学的依存関係などの非技術的サプライチェーンサイバーセキュリティリスクを効果的に対処できるか懸念されている。また、EUCCのような認定欧州スキームで認証された製品に対して適合性の推定（第27条）を定めるCRAと、任意認証枠組みがどのように整合するかも疑問視されている。
The proposal for a revised CSA therefore aims to address both ENISA's growing responsibilities and ECCF implementation. During the consultation, the Commission also gathered views on ICT supply chain security challenges and the simplification of cybersecurity rules, such as how to streamline reporting obligations.	したがって、改正CSA提案は、ENISAの拡大する責任とECCF実施の両方に対処することを目的としている。協議期間中、欧州委員会はICTサプライチェーンのセキュリティ課題やサイバーセキュリティ規則の簡素化（報告義務の効率化方法など）に関する意見も収集した。
CSA review: Points of convergence among stakeholders	CSA見直し：ステークホルダー間の合意点
The replies to the call for evidence for the CSA review have shown broad agreement that the CSA should be revised on the following issues: (i) streamline cybersecurity measures; (ii) enhance cyber resilience; and (iii) simplify the EU regulatory landscape. The review is seen as an opportunity to reduce administrative burden and compliance costs. A significant convergence point is the need to harmonise definitions and reporting requirements across major EU acts – such as NIS2, CRA and the General Data Protection Regulation (GDPR) – and establish a single EU incident notification platform. Such a platform has now been put forward in the proposal for a 'digital omnibus' regulation.	CSA見直しに向けた証拠提出要請への回答からは、以下の点でCSAを改正すべきとの広範な合意が示された：(i) サイバーセキュリティ対策の効率化、(ii) サイバーレジリエンスの強化、(iii) EU規制環境の簡素化。この見直しは行政負担とコンプライアンスコストを削減する機会と見なされている。主要なEU法令（NIS2、CRA、一般データ保護規則（GDPR）など）における定義と報告要件の調和、および単一のEUインシデント通知プラットフォームの確立が必要であるという点で、大きな合意が得られた。このようなプラットフォームは、「デジタルオムニバス」規制の提案において現在提唱されている。
There is consensus that ENISA's mandate should be clarified and strengthened to reflect the agency's growing operational responsibilities under new EU rules such as NIS2 and CRA. Stakeholders note that this expansion should be matched by adequate financial resources and staffing in order to ensure the agency's effectiveness. The view is that ENISA should serve as a central technical coordinator, to promote consistency and harmonise implementation of EU cybersecurity laws across the Member States, thereby reducing regulatory divergence. This echoes the Council conclusions of December 2024 on a stronger EU Agency for Cybersecurity. Poland went as far as calling for a separate law for ENISA, to separate this item from potential controversy around the EUCS discussions.	NIS2やCRAといった新たなEU規則下でENISAの業務責任が増大していることを反映し、ENISAの権限を明確化・強化すべきという点で合意が形成されている。関係者らは、この権限拡大には十分な財政資源と人員配置が伴わなければ、機関の有効性が確保できないと指摘する。ENISAは中核的な技術調整機関として機能し、加盟国間でEUサイバーセキュリティ法の一貫性と調和を促進し、規制の乖離を縮小すべきだという見解だ。これは、2024年12月の理事会結論「強化されたEUサイバーセキュリティ機関」の趣旨と一致する。ポーランドはさらに踏み込み、ENISAのための独立した法律を制定し、EUCS議論に伴う潜在的な論争からこの項目を切り離すよう求めた。
Stakeholders widely acknowledge that the process for developing and adopting certification schemes is too slow and opaque. They highlight that a more agile, transparent and inclusive process with clearer timelines is urgently needed. Furthermore, stakeholders underline that certification schemes should be based on and align with international standards in order to ensure global interoperability, maximise acceptance, and reduce compliance costs for companies operating internationally. The prevailing view is that certification schemes should also be leveraged as a recognised means of demonstrating conformity or compliance with security requirements stemming from other major EU legislative acts, including NIS2, CRA and the AI Act.	関係者らは広く、認証スキームの開発・採択プロセスが遅く不透明すぎることを認めている。彼らは強調する、より機敏で透明性が高く包括的なプロセスと明確なタイムラインが緊急に必要だと。さらに、ステークホルダーは、認証スキームが国際標準に基づき整合性を保つべきだと強調する。これにより、国際的な相互運用性を確保し、受容性を最大化し、国際的に事業を展開する企業のコンプライアンスコストを削減できるからだ。認証スキームは、NIS2、CRA、AI法を含む他の主要なEU立法措置から生じるセキュリティ要件への適合性またはコンプライアンスを証明する公認手段としても活用されるべきだという見解が主流だ。
Potential challenges	潜在的な課題
Disagreements revolve around the specific content and scope of certification schemes, particularly regarding sovereignty and the legal limits of ENISA's influence. The most contentious point is the inclusion of sovereignty requirements in certification schemes such as the EUCS. This issue divides stakeholders into those advocating measures to protect European digital autonomy (e.g. both data localisation and corporate headquarters based in the EU) and those prioritising open markets and technical neutrality. Pro-sovereignty advocates, and stakeholders supporting 'cloud by Europe' models (i.e. entirely EU-based cloud service providers, not controlled by non-EU stakeholders), argue that these measures are crucial to protecting sensitive data and reinforcing EU strategic autonomy. By contrast, major tech companies, such as Microsoft, Amazon and Google, argue that non-technical criteria are subjective and do not improve cybersecurity outcomes, potentially restricting market access and innovation. At Member State level, too, positions are divided, with some countries expressing concern over sovereignty requirements, and others advocating in their favour.	意見の相違は、認証スキームの具体的な内容と範囲、特に主権とENISAの影響力の法的限界に関する点に集中している。最も議論の的となる点は、EUCSなどの認証スキームに主権要件を含めることである。この問題は利害関係者を、欧州のデジタル自律性を防御する措置（例：データローカリゼーションとEU域内に本社を置く企業の両方）を主張する側と、開放的な市場と技術的中立性を優先する側に分断している。主権重視派や「欧州発クラウド」モデル（非EU関係者に支配されない完全EU拠点のクラウドプロバイダ）を支持する関係者は、こうした措置が機密データの保護とEUの戦略的自律性強化に不可欠だと主張する。一方、Microsoft、Amazon、Googleなどの大手テック企業は、非技術的基準は主観的でサイバーセキュリティ効果を高めず、市場参入やイノベーションを阻害する可能性があると反論する。加盟国レベルでも立場は分かれており、一部の国々は主権要件に懸念を表明する一方、他の国々はこれを支持している。
On the nature of certification, the majority view is that it should remain mostly voluntary, to maintain flexibility and innovation. However, mandatory certification in critical sectors where high-security assurance is essential was also proposed. In addition, ENISA's regulatory power has sparked debate. Some stakeholders, including Amazon, oppose granting ENISA the authority to issue binding opinions or regulatory guidance, arguing that its role should remain technical and advisory.	認証の性質については、柔軟性と革新性を維持するため、主に任意のままであるべきという見解が大多数を占める。しかし、高いセキュリティ保証が不可欠な重要分野における義務的認証も提案された。加えて、ENISAの規制権限も議論を呼んでいる。Amazonを含む一部の利害関係者は、ENISAに拘束力のある意見や規制ガイダンスを発行する権限を与えることに反対し、その役割は技術的・助言的なものに留まるべきだと主張している。
It remains to be seen to what extent the Commission will consider stakeholders' views. The CSA review will also need to fit into the simplification of cybersecurity-related incident reporting obligations, which are part of the 'digital omnibus' proposal published on 19 November 2025.	欧州委員会が利害関係者の意見をどの程度考慮するかは、まだ見通せない。CSAの見直しは、2025年11月19日に公表された「デジタルオムニバス」提案の一部である、サイバーセキュリティ関連のインシデント報告義務の簡素化にも適合させる必要がある。

参考まで...

分類	法令名	種別	概要	発効日	適用開始日
個人データ保護	GDPR（Regulation (EU) 2016/679）	規則	EU全域の個人データ保護の基盤となる包括規則	2016.05.24	2018.05.25
データ共有・流通	Data Governance Act（Regulation (EU) 2022/868）	規則	データ共有の信頼性確保・データ仲介サービスの規律	2022.06.23	2023.09.24
	Data Act（Regulation (EU) 2023/2854）	規則	IoT等のデータアクセス権・データ共有義務を定める横断規則	2024.01.11	2025.09.12 段階的
デジタル市場・プラットフォーム	Digital Services Act（Regulation (EU) 2022/2065）	規則	プラットフォームの透明性・違法コンテンツ対策を統一規制	2022.11.16	2024/2/17  VLOPs/VLOSEsは2023.08.25
	Digital Markets Act（Regulation (EU) 2022/1925）	規則	GAFA等ゲートキーパー企業の市場支配力を規制	2022.11.01	2023.05.02
AI	AI Act（Regulation (EU) 2024/1689）	規則	リスクベースでAIを規制し、高リスクAIに義務を課す	2024.08.01	2025〜2027年に段階的適用
サイバーセキュリティ	Cybersecurity Act（Regulation (EU) 2019/881）	規則	ENISA恒久化とEUサイバーセキュリティ認証制度（ECCF）創設	2019.06.27	2019.06.27〜認証は段階的
	NIS2 Directive（Directive (EU) 2022/2555）	指令	重要事業体のサイバー義務・インシデント報告を強化	2023.01.16	2024.10.17までに国内法化
製品セキュリティ	CRA（Cyber Resilience Act）Regulation (EU) 2024/2847	規則	ソフトウェア・IoT等の製品に「セキュリティ・バイ・デザイン」を義務化し、脆弱性管理・報告を規定	2024.12.10	2027.12.11から適用開始。製造者の脆弱性報告義務は2026.09.11から
金融ICTレジリエンス	DORA（Regulation (EU) 2022/2554）	規則	金融セクターのICTリスク管理・インシデント報告を統一	2023.01.16	2025.01.17

---

参考...

ENISA

EUサイバーセキュリティ認証の声

・2025.12.15 Voices of EU Cybersecurity Certification

Voices of EU Cybersecurity Certification	EUサイバーセキュリティ認証の声
A special publication by ENISA that incorporates feedback from stakeholders involved in building, maintaining, operating, and applying the first EU cybersecurity certification schemes.	ENISAによる特別刊行物。EU初のサイバーセキュリティ認証スキームの構築、維持、運用、適用に関わる関係者からのフィードバックをまとめたものである。

・[PDF]