米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、2022年重要インフラサイバーインシデント報告法（CIRCIA）を実施するための最終規則を近く発表する見通しです。この最終規則は当初2026年5月に発表される予定でしたが、2026年9月まで延期されています。規則が発効すれば、16の重要インフラ分野に属する事業者は、重大なサイバー攻撃が発生したと合理的に判断してから72時間以内にCISAへ報告することが義務付けられます。
トランプ政権は2026年3月、コンプライアンス負担の軽減と規制の調和を優先事項に据えつつ、国内重要インフラのサイバーセキュリティを強化する新たなサイバーセキュリティ戦略を発表しました。米国の重要インフラは、その大部分を民間セクターが保有するコンピューターベースの情報システムに依存しています。こうしたシステムは複数の連邦規制の対象となっており、その中には要件が重複しているものも存在します。
米政府監査院（GAO）は、重要インフラに関する連邦サイバーセキュリティ要件を精査し、規制を調和させる余地がないか調査するよう要請を受けました。最近公表されたGAO報告書は、重要インフラ分野におけるサイバーセキュリティ関連の報告義務に潜む重複の可能性に焦点を当てています。場合によっては、同種の情報を異なる複数の連邦機関に報告しなければならず、同一のサイバーセキュリティインシデントやコンプライアンス活動について複数の報告書を作成する必要が生じています。これは必然的に、本来はセキュリティ向上に充てられるべきリソースがコンプライアンス対応に割かれてしまうことを意味します。
GAOが9つの重要インフラ分野にわたって特定した117の規制のうち、80件——全体の約70%——が他の規制と同種の報告義務を課していました。これら80件の規制全体では、少なくとも125件の報告義務が確認され、一部の規制では複数種類の報告が求められていました。内訳は、サイバーセキュリティインシデントの報告を求めるものが48件、サイバーセキュリティ計画やその他の技術情報を求めるものが52件、レビュー・監査・評価を求めるものが25件でした。
GAOは、重複する報告義務が重要インフラ事業者に不必要な事務負担を強いていると指摘しており、事業者は間もなくCIRCIAによる追加の報告義務にも直面することになります。CIRCIAは連邦政府によるサイバーセキュリティインシデントの把握能力を向上させる一方で、報告負担を確実に増大させることになります。
GAOは、連邦のサイバーセキュリティ規制について、報告義務が重複・重畳している箇所などをめぐり、業界からさらなる意見を収集する作業を進めており、重要インフラ事業者向けのサイバーセキュリティ規制を効率化するための実施計画を発表する予定です。
