まず、国が使っている定義そのものを見ます。行動計画の用語集はこう書いています。

ここで大事なのは、「重要インフラ」が設備ではなく事業を指していることです。日常語では発電所や通信ケーブルのようなモノを思い浮かべますが、制度上は「電力」「情報通信」といった分野であり、その分野に属する事業者が対象になります。

そしてもう一点、自己申告ではないという特徴があります。用語集の別の項目が、それをはっきり書いています。

「所管省庁が特定する」——つまり、自社が該当するかどうかは国が決めます。そしてその所管省庁は5つに限られています。

行動計画 別紙5 の定義にもとづきます。NISC（内閣サイバーセキュリティセンター）は2025年7月1日に改組され、現在は国家サイバー統括室（NCO）です。2025年6月以前の資料はNISC名義になっています。

第1章 おわり — 次は第2章

行動計画は2022年6月17日に決定され、2024年3月8日、2025年6月27日、そして2026年7月31日に改定されています。直近の改定で、分野が15から16に増えました。

『「重要インフラのサイバーセキュリティに係る行動計画」の一部改定について』（2026年7月31日 サイバーセキュリティ戦略本部決定）の新旧対照にもとづきます。

16分野の全体像と、国が例として挙げている事業者・システムは次のとおりです。「重要システムの例」は、その分野で何が止まると困ると国が見ているかを示していて、読み物としても有用です。

行動計画 別紙1 より。ここに挙がっているのは「類型の例示」であり、具体的な事業者は所管省庁が特定します。緑は今回追加された分野、または次章で見る基幹インフラ側に無い分野です。

第2章 おわり — 次は第3章

実務でいちばん多い取り違えが、これです。「重要インフラ」と「基幹インフラ」は別の制度です。根拠法も、対象事業者も、生じる義務も違います。

やっかいなのは、2026年8月現在、どちらも16分野だということです。数が一致しているため、「同じものを別の言い方で呼んでいる」と思われがちですが、中身の分け方が違います。

重要インフラ側は行動計画・統一基準、基幹インフラ側は内閣府『経済安全保障推進法の特定社会基盤役務の安定的な提供の確保に関する制度の概要』（2026年7月時点）にもとづきます。

そして分野の中身です。並べると、ずれているところがはっきり見えます。

両制度の分野名を突き合わせたものです。この対応づけは公的な整理ではなく、筆者が両制度の一覧を並べて作ったものです。個別の該当性は各制度の所管に確認してください。基幹インフラ側の医療は2026年6月17日に改正法が公布され、公布から1年6月以内の政令で定める日から施行されます。

つまり、地方公共団体と石油化学は重要インフラだが基幹インフラではない、逆に基幹インフラ側は物流を2つに分けて細かく規制している——というずれ方をしています。

国自身が「差異があり得る」と注記しました

ここまで来ると「結局、どういう関係なのか」が知りたくなります。2026年7月31日に決定された重要インフラ統一基準は、その問いに脚注で正面から答えています。

読み替えるとこうなります。「別の制度なので範囲は一致しない。ただし基幹インフラに指定された事業者は、原則として重要インフラとしても守る対象に入れる」。

なお基幹インフラ制度は、すでに実際に動いています。2025年度の事前届出は1,200件（うち設備の導入167件、重要維持管理等の委託1,033件）、事後報告は799件でした。前年度は届出972件・報告195件でしたから、報告は4倍を超えています。

内閣府『2025年度 事前届出件数及び事後報告件数』（2026年7月1日時点）より。制度の詳しい流れは 能動的サイバー防御とは？ の第5章でも扱っています。

第3章 おわり — 次は第4章

2026年10月1日は、この分野にとって節目の日です。3つのことが同じ日に動きます。

統一基準・行動計画改定の施行日は各決定の附則に、能動的サイバー防御は 別記事 で扱っています。

ここで注意したいのが、「重要インフラ統一基準」の宛先です。名前から「事業者が守るべき基準」に読めますが、そうではありません。

つまり「国が仕事をしたかを測る基準」です。国は実施計画を作り、事業者の実施状況を調べ、サイバーセキュリティ戦略本部がその施策を評価して改善する——というPDCAが回ります。第7章で見る調査は、このPDCAの「把握・分析」にあたるものです。

「安全基準等策定指針」を探しても、これからは見つかりません

この改定で、文書の体系が組み替えられました。これまで分野横断の対策集だった『安全基準等策定指針』は、統一基準の第3部と、新しい『安全基準等策定ガイドライン』に引き継がれます。

行動計画の新旧対照（IV.2および別紙5）より。古い検索結果やベンダー記事は「安全基準等策定指針」で解説しているものが多いので、日付を確認してください。

統一基準 第3部は、安全基準等に書かれるべき事項を6つのまとまりで示しています。並びに見覚えのある方も多いはずです。

統一基準 第3部の節構成より。「識別・防御・検知・対応・復旧」という並びは国際的な枠組みと共通で、国内の他のガイドラインとも突き合わせやすくなっています。

そして第3部には、制御システムを持つ組織に向けた、かなり踏み込んだ一文があります。

第4章 おわり — 次は第5章

行動計画の別紙2は、ほとんど話題にならないのにいちばん具体的な部分です。分野ごとに「ここまで止まったら重大」というしきい値が、法令にひもづけて書かれています。

行動計画 別紙2 より抜粋。すべての分野に数値があるわけではなく、金融のように監督指針を参照する形の分野もあります。

この表の効きどころは「時間」です。放送は15分、電力は10分。気づいてから対応を始めるのでは、まず間に合わない時間です。

よくある誤解と、似ている用語

任務保証の定義は『サイバーセキュリティ戦略』（2025年12月23日 閣議決定）にもとづき、統一基準の脚注が引用しています。

第5章 おわり — 次は第6章

「重要インフラ」と聞くと、国家を背景にした高度な攻撃の話を想像します。行動計画も確かにそれを警戒していますが、実際に起きている障害の原因については、まったく違うことを書いています。

別の箇所では、さらに踏み込んでいます。「管理を適切にすれば防げた類似障害が繰り返し発生している」。同じ失敗が繰り返されている、という認識です。

これは数字でも確かめられます。重要インフラ事業者等から国へ寄せられた情報連絡の件数です。

『重要インフラにおける情報共有件数について（2026年度第1四半期）』より。2026年度から集計方法が変わり、事象や原因が類型化されていない報告も対象になっています。そのため第1四半期の185件を単純に前年度と比べることはできません。

そして、FY2025の499件を原因別に見ると、こうなります（複数選択のため合計は一致しません）。

同資料「2.原因別類型（複数選択）」より、FY2025の件数が多い順に抜粋。変化欄はFY2022→FY2023→FY2024→FY2025です。

目を引くのは、上位3つがどれも「攻撃」ではないことです。不明、機器の故障、そして外部委託先の管理ミス。この3つで、原因の記録の相当部分を占めています。

もうひとつ、事象別の内訳も見ておきます。FY2025の499件のうち、「システム等の利用困難」が284件——半分以上です。情報の漏えいは41件、システム等への侵入は48件でした。重要インフラで問題になるのは、まず「止まること」だと数字が言っています。

第6章 おわり — 次は第7章

ここがこの記事でいちばん実用的な部分です。国は毎年、重要インフラ事業者等に「どこまでやっているか」を調査し、結果を公表しています。2025年度調査は15分野・2,103事業者から回答を得ました（回答率54.2%、基準日2025年9月30日、公表は2026年7月）。

つまりこの数字は、国が「特に守るべき」と指定した事業者たちの水準です。自社の対策が進んでいるのか遅れているのかを測る、日本でいちばん手に入りやすいものさしになります。

国家サイバー統括室『重要インフラにおける安全基準等の浸透状況に関する調査について［2025年度］』（2026年7月）より。「約3割」「約2割」は資料本文の表現をそのまま用いています。金融分野の一部は外部調査の読み替えです。

この表の読み方を、はっきり書きます。

もうひとつ、委託先との「契約事項の合意」16.9%も見逃せません。第6章で見たとおり、実際の障害原因では外部委託先の管理ミスが76件で増え続けているのに、その入口である契約は2割を切っています。起きていることと、手当てされていることが噛み合っていません。

該当しない会社に、何が起きるか

「うちは16分野のどれでもない」という会社にも、経路は3つあります。

行動計画 III.2 および用語集、情報共有件数資料より。「サイバー空間関連事業者」はサイバーセキュリティ基本法第7条の責務にひもづけられています。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ