経済安保推進法と
重要インフラ規制の実務論点

重要インフラ規制は、行政法、サイバーセキュリティ、国家安全保障の制度に見えます。しかし企業の現場では、対象設備の調達契約、サプライヤーや再委託先からの情報取得、役員情報・国籍情報の取扱い、営業秘密の開示拒否、審査期間の工程反映、設備更新・クラウド移行・保守委託先変更、M&A時のデューデリジェンス、取締役会や内部監査の監督範囲といった企業法務課題として表れます。

重要なのは、特定国の製品や特定ベンダーを一律に排除する単純な禁止リストではない点です。指定事業者が特定重要設備を導入し、または重要維持管理等を委託しようとする場合に、導入等計画書を事前に届け出て、主務大臣の審査を受ける制度として理解します。

次の判断の流れは、実務で最初に確認する順番を表しています。この順番が重要なのは、対象性、設備範囲、情報取得、審査期間、契約条項のどこかを後回しにすると、稼働直前に届出漏れや契約上の情報不足が判明しやすいためです。

この順序を誤ると、プロジェクト終盤で届出対象であることが判明し、稼働開始遅延、契約違反、行政対応、予算超過、対外説明リスクが同時に発生します。企業法務は、相談を待つだけでなく、調達・システム・事業部門の初期判断に組み込まれる体制を整えます。

内閣府の2026年6月17日版の概要資料では、対象事業として、電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、港湾運送、航空、空港、電気通信、放送、郵便、医療、金融、クレジットカードが掲げられています。医療分野は同日公布の改正法による追加であり、施行日は政令で定められる日とされています。

次の一覧は、対象分野ごとの主な着眼点を表しています。分野によって設備、委託、データ、既存業法、監督当局が異なるため、自社の分野だけでなく、顧客や委託先が属する分野の論点を読み取ることが重要です。

法律上の直接の届出義務者は指定された特定社会基盤事業者です。ただし実務では、ITベンダー、クラウド事業者、ネットワーク機器メーカー、保守会社、データセンター、ソフトウェア開発会社、システムインテグレーター、BPO事業者、物流委託先も情報提供、変更通知、再委託管理、当局照会協力を契約上求められます。

次の一覧は、対象行為の典型例と変更管理の範囲を表しています。新規導入だけを見るのではなく、保守・運用・クラウド移行・再委託先変更まで読むことで、日常的な技術変更が規制上の変更に当たる可能性を把握できます。

導入等計画書には、特定重要設備の概要、導入の内容・時期、供給者の名称・住所・設立準拠法国、供給者の議決権の5%以上を直接保有する者、供給者の役員の氏名・生年月日・国籍等、外国政府等との取引が売上高の25%以上を占める場合の外国政府等の名称等、設備の製造場所、構成設備、リスク管理措置などが含まれ得ます。

次の一覧は、届出事項と企業内データ管理で特に衝突しやすい情報を表しています。個人情報、営業秘密、サプライチェーン情報を同じ台帳で扱うため、誰が閲覧し、何の目的で保存し、いつ廃棄するかを読み取ることが重要です。

台帳は案件ごとの表計算だけで終わらせず、法務、調達、IT、事業部門、内部監査、リスク管理部門が共同で使える形にします。対象事業・設備、構成設備、供給者・委託先・再委託先、議決権保有者、役員情報の取得状況、外国政府等との取引割合、製造場所・開発場所・保守拠点、リスク管理措置、当局照会、変更届出要否を一元管理します。

2026年6月17日には、医療分野を追加する改正法が公布されました。内閣府資料では、医療分野追加について公布日から1年6か月を超えない範囲内で政令で定める日から施行される旨が示されています。施行日、対象設備、指定基準、届出様式は最新版資料で確認します。

次の一覧は、医療分野追加で影響を受けやすい関係者と準備事項を表しています。施行前から準備が重要なのは、電子カルテ更改、クラウド移行、医療情報基盤整備が長期プロジェクトになりやすく、契約締結後では情報提供条項や変更通知条項を追加しにくいためです。

重要インフラ規制対応は、調達プロセスの初期段階に組み込む必要があります。RFI/RFPの段階で、対象設備・サービスの概要、構成設備、主要ソフトウェア、製造場所、開発場所、保守拠点、親会社、主要株主、役員情報の提供可否、外国政府等との関係、再委託先、リモートアクセス、管理者権限、監査報告、インシデント対応、BCP、DRを確認します。

次の一覧は、調達・IT・OT・クラウドで確認する実務項目を表しています。技術部門だけで判断すると見落としやすい法務・契約・当局対応の視点を同時に読み取れるため、部門横断の質問票作成に役立ちます。

クラウド契約では、個別の再委託承認や現地監査が難しい場合もあります。その場合は、SOCレポート、ISO認証、第三者監査報告、サブプロセッサ一覧、データ所在、暗号化、アクセスログ、鍵管理、サービスレベル、障害通知、政府アクセス要求ポリシーを組み合わせて、リスク管理措置を説明します。

次の一覧は、審査や内部監査で説明し得るサイバーセキュリティ上の管理措置を表しています。届出書の文言だけでなく実際に運用され、証跡を示せるかを読み取ることが重要です。

重要インフラ規制対応は、法務部門だけがすべての案件を拾う設計では続きません。第1線が対象設備・委託を発見し、第2線が法令解釈・契約・当局対応を支え、第3線が運用状況を監査する三線管理で整理します。

次の比較表は、三線管理モデルでの役割分担を表しています。どの部署が初期発見、制度設計、監査を担うかを読み取ることで、届出対応を属人的な確認から組織的な管理へ移せます。

取締役会は、届出書の細部をすべて承認する必要まではありませんが、事業継続、行政規制、サイバーリスク、レピュテーション、M&A、顧客信頼に関わる重要リスクとして定期報告を受けるべきです。制度対応体制、棚卸し状況、届出件数、審査状況、当局照会、重要サプライヤー集中リスク、契約条項整備率、内部監査結果、重大インシデントを報告項目にします。

中小企業でも、重要インフラ事業者に製品・サービスを提供している場合は、重要インフラ規制対応を求められることがあります。ネットワーク機器、制御機器、ソフトウェア、保守・運用、クラウド、データセンター、MSP、物流、医療システム、金融機関向けシステム、クレジットカード決済関連事業者は特に注意します。

次の一覧は、ベンダー側が準備する回答パッケージの中身を表しています。顧客ごとに都度回答するのではなく、開示可能情報、限定開示情報、当局への直接提出候補を分けておくことで、営業秘密と顧客対応を両立できます。

Q1 ― 経済安保推進法と重要インフラ規制は同じ意味ですか。

一般的には、同じ意味ではないと整理されています。経済安保推進法は、重要物資、基幹インフラ、重要技術、特許出願非公開を含む広い法律です。重要インフラ規制は、そのうち基幹インフラ役務の安定提供確保に関する制度を指す実務上の呼称です。具体的な適用関係は、対象事業や設備によって変わるため、最新版の法令・所管省庁資料を確認する必要があります。

Q2 ― インフラ事業者でない会社にも関係しますか。

一般的には、関係する可能性があります。指定事業者に設備、ソフトウェア、クラウド、保守、運用、再委託サービスを提供している場合、顧客から情報提供、契約条項、監査、変更通知を求められることがあります。ただし、具体的な義務や対応範囲は契約内容と取引実態で変わります。

Q3 ― 外国企業だけが問題になりますか。

一般的には、外国企業だけを対象にする制度ではありません。国内企業でも、海外製造、海外開発、外国政府等との関係、海外再委託、リモートアクセス、支配関係によってリスク評価の対象になり得ます。具体的な評価は、分野別資料と案件の事実関係に基づいて確認する必要があります。

Q4 ― 審査期間は必ず30日ですか。

一般的には、原則30日とされていますが、短縮されることも延長されることもあります。内閣府資料では、延長は最大4か月までと整理されています。実務では、工程に余裕を持たせ、追加照会や契約条件の調整に備える必要があります。

Q5 ― 届出後に承認書が出ますか。

一般的には、制度は事前届出・審査であり、通常の許認可とは性質が異なるとされています。ただし、審査期間中に導入・委託を開始できない局面や、勧告・命令の可能性があります。工程管理上は、事前承認に近いリスク管理を行う必要があります。

Q6 ― クラウドサービスは対象になりますか。

一般的には、分野別の省令・Q&Aとサービス内容によって対象になり得ます。クラウドが特定重要設備の機能を担う場合、または重要維持管理等の委託に関わる場合は、データ所在、管理者権限、サブプロセッサ、監査報告、障害通知、政府アクセス要求対応が重要です。具体的には、所管省庁資料を確認する必要があります。

Q7 ― 既存契約にも対応が必要ですか。

一般的には、必要になる場合があります。長期保守契約、運用委託、クラウド契約、共同利用契約、グループ会社間サービス契約では、変更管理や情報提供条項が不足していることがあります。更新時または覚書で補完する方法が考えられますが、具体的な対応は契約内容に応じて検討する必要があります。

Q8 ― ベンダーが営業秘密を理由に情報開示を拒む場合はどう考えますか。

一般的には、NDA、限定閲覧、開示範囲の限定、外部専門家の利用、当局への直接提出、バイパス提出などを検討します。顧客側は必要性を明確にし、ベンダー側は開示可能情報と非開示情報を整理することが重要です。個別の開示範囲は、法令、契約、営業秘密性、当局運用によって変わります。

Q9 ― 役員の国籍情報を取得してよいのですか。

一般的には、法令対応に必要な範囲で取得が必要になる場合があります。ただし、個人情報保護法、海外個人データ保護法、利用目的、安全管理措置、本人通知・同意、差別防止に配慮する必要があります。具体的な取得方法や保管方法は、関係法令と社内規程に沿って確認する必要があります。

Q10 ― 医療分野はすでに完全に適用されていますか。

一般的には、2026年6月17日に医療分野を追加する改正法が公布されていますが、内閣府資料では公布日から1年6か月以内の政令指定日から施行される旨が示されています。施行日、対象設備、指定基準、届出様式は今後の最新版資料を確認する必要があります。

Q11 ― 当局相談は必須ですか。

一般的には、すべての案件で必須とは限りません。ただし、対象性が微妙な案件、初回届出、クラウド・海外委託・再委託が複雑な案件、工程上のリスクが大きい案件では、早めの相談が有益になる可能性があります。具体的には、所管省庁の相談窓口や手続資料を確認する必要があります。

Q12 ― M&Aで特に注意すべき点は何ですか。

一般的には、対象会社が指定事業者か、または指定事業者の重要サプライヤーかを確認します。過去の届出、変更届出、当局照会、契約条項、サプライヤー情報、サイバーインシデント、将来の医療分野追加などをデューデリジェンス項目に含めることが考えられます。具体的な調査範囲は、取引類型と対象会社の事業内容によって変わります。

次の比較表は、多職種連携の役割分担を表しています。重要インフラ規制対応では、法務だけでなく、セキュリティ、OT、調達、個人情報、M&A、内部統制、知財、人事労務まで関係するため、誰が何を担うかを読み取ることが重要です。

次の一覧は、サプライヤー質問票に含める項目を表しています。質問票を契約条項と連動させることが重要なのは、回答が届出書作成、表明保証、変更通知、監査の基礎資料になるためです。

次の一覧は、経済安保条項を設計する際の注意点を表しています。条項を広げすぎても狭すぎても実務に支障が出るため、必要情報、変更通知、再委託、緊急対応、費用分担のバランスを読み取ることが重要です。