金融庁は2026年8月7日、暗号資産交換業者を含む17分野の監督指針等の一部改正案を公表しました。システム障害やサイバーインシデントが発生した際、事業者が当局へ提出する報告様式を関係省庁の共通様式へ統一する内容となっています。多様化するサイバーリスクへの対応手続きを明確化し、事業者と行政間の円滑な情報連携を促す狙いがあると見られます。
報告区分を3種類に整理し新様式を開設
今回の改正は、2025年5月28日に改正された関係省庁申合せ「サイバー攻撃による被害が発生した場合の報告手続等に関する申合せ」を踏まえたものです。従来はDDoS攻撃（複数の機器から大量のデータを送信してシステムを停止させる攻撃手法とされています）事案およびランサムウェア（データを暗号化等して身代金を要求する悪意のあるプログラムとされています）事案のみ共通様式が用いられていましたが、これらに該当しない事案をカバーする「その他サイバー攻撃等事案共通様式」が新設されます。
これにより、報告区分は以下の3種類に整理されます。
- DDoS攻撃事案共通様式
- ランサムウェア事案共通様式
- その他サイバー攻撃等事案共通様式
暗号資産交換業者向けの事務ガイドラインにおいても、システム障害等が発生した際の報告手続きに関する規定がこの3区分に沿って見直されます。なお、財務局が事業者から報告を受けた際に金融庁の担当課室へ直ちに連絡する体制の運用については、従来から変更されない方針です。
経過措置の適用と今後の実務スケジュール
改正案に対する意見募集（パブリックコメント）の期間は、2026年9月7日17時00分まで設定されています。パブリックコメントの終了後、所要の手続きを経て正式に監督指針等の改正が適用される予定です。
事業者の実務負担に配慮し、2027年3月末までの経過措置が設けられています。経済安全保障推進法上の特定社会基盤事業者に指定されている事業者を除き、従来の「障害発生等報告書」による報告も一定期間認められます。ただし、特定社会基盤事業者に該当する事業者については改正後の共通様式への対応が必要になるとみられており、各事業者は今後の正式決定を踏まえた社内態勢の確認と準備が進められると考えられます。
ポイント
- 金融庁が暗号資産交換業者を含む17分野を対象に、サイバーインシデント発生時の報告様式を統一する監督指針等の改正案を公表しました。
- 報告手続きが3区分に整理され、DDoS攻撃やランサムウェアに加え、新設される「その他サイバー攻撃等事案共通様式」により多様な障害への報告態勢が整えられます。
- 意見募集（パブリックコメント）は2026年9月7日まで実施され、終了後に適用手続きが進められる予定です。
- 2027年3月末までの経過措置期間が設けられますが、対象事業者は早期に報告運用の再確認が求められる点で注目されます。