サイバーセキュリティの義務は、会社法から来る

取引先から、セキュリティ対策の状況を書いて出すよう求められます。親会社から様式が回ってくることもあります。項目を一つずつ見て、どこまでが法令で決まっているのかを確かめようとします。

法令が決めているのは、項目のリストではありません。

民間企業に一律に当てはまる法令はない

そこを整理しているのが、内閣官房 国家サイバー統括室（NCO）の「サイバーセキュリティ関係法令Q&Aハンドブック」です（NCO、関係法令Q&Aハンドブック）。Ver2.0が令和5年9月に公開され、HTML版は令和7年12月に出ています（同ハンドブック、変更履歴）。設問は87問で、14の区分に分けられています。

その総説に、こう書かれています。「同法は基本的に民間の企業等に対する具体的な権利・義務等を定めるものではなく」「現状において、これらの法律も含め、サイバーセキュリティに関して民間の企業等に対する権利・義務等を通則的に適用する法令が存在しているものではない」（同ハンドブック、総説）。ここでの「同法」はサイバーセキュリティ基本法です。

サイバーセキュリティを正面から命じる法律は、民間企業に向けては置かれていません。それでも設問が87問あるのは、個別の法令に散らばっているからです。原典は「個別の法令においては、サイバーセキュリティに関わる規定が存在しており、特に情報の安全管理に関する規定を置く法令が増加する傾向にある」と続けています（同ハンドブック、総説）。

要求書の項目に対応する条文を探しても、一覧の形では見つかりません。法令に書かれているのは項目ではなく、次に見る一つの義務です。

原典が基準にしているのは、令和5年1月1日時点の法令です（同ハンドブック、凡例・略称）。作成した組織の名前も、そのあと変わっています（同ハンドブック、変更履歴）。

サイバーセキュリティは内部統制システムの一部にあたる

その内部統制システムを取締役に義務づけているのが、会社法です。原典は会社法をこう説明しています。「株式会社の取締役に対し、サイバーセキュリティを確保するための体制を含む内部統制システム構築義務を課している」（同ハンドブック、総説）。

Q3の概要が、もっとはっきり書いています。「会社におけるサイバーセキュリティに関する体制は、その会社の内部統制システムの一部といえる。取締役の内部統制システム構築義務には、適切なサイバーセキュリティを講じる義務が含まれる」（同ハンドブック、Q3）。

そして内部統制システムには類型があります。原典が挙げているのは「①法令等遵守体制、②損失危険管理体制、③情報保存管理体制、④効率性確保体制、⑤企業集団内部統制システム等」の五つと「等」です（同ハンドブック、Q3）。

軸になるのは②です。原典は「サイバーセキュリティに関するリスクが、会社に重大な損失をもたらす危険のある場合には、②の損失危険管理体制（損失の危険の管理に関する規程その他の体制をいう）に該当するため、取締役はその基本方針を決定しなければならない」と書いています（同ハンドブック、Q3）。

③と①にも触れていますが、言い方が弱くなります。③については「情報の保存と管理に関するセキュリティは③の情報保存管理体制…の問題となる」、①については「個情法など法令が情報の安全管理を要求しているような場合には、①の法令等遵守体制…の問題にも該当するだろう」（同ハンドブック、Q3）。断定しているのは②だけです。

明文の義務がなくても、決めていなければ責任を問われる

ここで会社の区分が入ります。明文の義務があるのは、大会社と監査等委員会設置会社と指名委員会等設置会社です。原典の注に「「大会社」とは、直近事業年度末の資本金額が5億円以上の株式会社、又は負債総額が200億円以上の株式会社をいう」とあります（同ハンドブック、Q3の注1）。同じ注に、上場会社ならこの要件を満たさなくても大会社と同等の体制を構築することが上場規則によって要請されているとあります（同ハンドブック、Q3の注1）。

多くの会社はここに入りません。ただ、原典はそこで止めていません。「それ以外の会社であっても、内部統制システムの構築に関する事項を決定しない場合に、そのことが、取締役の善管注意義務、忠実義務違反となる場合がある」（同ハンドブック、Q3）。

明文の義務がないことは、決めなくてよいことと同じではありません。決めていないことが、それ自体で問われる形になっています。

取締役会は体制の大枠を決めればよい

では何をどこまで決めるのか。ここは原典が範囲を狭めています。「取締役会は、サイバーセキュリティ体制の細目までを決める必要はなく、その基本方針を決定すればよい」（同ハンドブック、Q3）。

その基本方針の中身も書かれています。取締役会が決めるのは「目標の設定、目標達成のために必要な内部組織及び権限、内部組織間の連絡方法、是正すべき事実が生じた場合の是正方法等に関する重要な事項（要綱・大綱）」でよいと解されている、とあります（同ハンドブック、Q3）。挙がっているのは四つと「等」です。目標、組織と権限、連絡の道筋、直し方。

体制の中身についても、原典は決め方を会社に委ねています。「各会社が営む事業の規模や特性等に応じて、その必要性、効果、実施のためのコスト等様々な事情を勘案の上、各会社において決定されるべきである」（同ハンドブック、Q3）。

決めた体制を放置していると、決めていないのと同じ扱いになる

Q4が、責任が問われる場合を挙げています。会社に対する責任が二つ、第三者に対する責任が一つです（同ハンドブック、Q4）。

一つ目は、決めた体制が足りなかった場合です。「取締役（会）が決定したサイバーセキュリティ体制が、当該会社の規模や業務内容に鑑みて適切でなかったため」情報が漏れて会社に損害が生じたとき、体制の決定に関与した取締役は「会社に対して、任務懈怠に基づく損害賠償責任（会社法第423条第1項）を問われ得る」（同ハンドブック、Q4）。

二つ目は、決めた体制が守られていなかった場合です。「決定されたサイバーセキュリティ体制自体は適切なものであったとしても、その体制が実際には定められたとおりに運用されておらず、取締役・監査役…がそれを知り、又は注意すれば知ることができたにも関わらず、長期間放置しているような場合も同様である」（同ハンドブック、Q4）。

規程を作った日ではなく、そのあと見ていたかどうかが問われます。

三つ目は、第三者に対する責任です。「取締役・監査役等が職務を行うについて悪意又は重過失があったときは、それにより第三者に生じた損害についても賠償責任を負う（会社法第429条第1項）」（同ハンドブック、Q4）。

刑事の責任は、いまの民事の責任とは分かれます。原典は「当該会社の役員は、原則として、刑事責任を負うことはない」としたうえで、個人データの安全管理措置を怠って漏れ、個人情報保護委員会の命令に違反した場合は刑事罰の対象になり得ると書いています（同ハンドブック、Q4）。

明日からできること

決めるのは、取締役会で何を決議して残すかです。

原典が挙げている四つを、自社の言葉で書き出します。何を守るのかという目標、担当する部署とその権限、報告が上がる道筋、問題が見つかったときの直し方。取締役会で決めるのは、まずこの四つです。細かいところは、その大枠のもとで決めていきます。

次に、決議した内容を見直す間隔を決めます。原典は、構築したあとも継続的に確かめて適時に更新することが取締役の義務に含まれると書いています（同ハンドブック、Q3）。年に一度でも間隔が決まっていれば、放置ではなくなります。

取引先から来る要求書は、そのあとに読みます。法令が求めているのは体制を決めることで、要求書の個々の項目は相手との取引の条件です。両方を同じ表で見ると、どちらも決められません。

自社が親会社なら、決める範囲が広がります。原典は、親会社の取締役会がグループ全体の基本方針を決めることを求めています（同ハンドブック、Q3）。