プレミアリーグ、サイバーセキュリティ基準を義務化 違反時は最大10万ポンドの罰金

プレミアリーグは加盟クラブを対象に、初めてサイバーセキュリティ要件を義務化しました。基準を満たさないクラブには最大10万ポンドの罰金が科されます。2026-27シーズン開幕から適用されるこの新ルールは、これまでの拘束力のないガイダンスから、明確な期限と証拠に基づく評価を伴う正式な枠組みへの転換を意味します。

運用は独立した制裁制度ではなく、プレミアリーグ既存の懲罰枠組みの中で行われます。理事会は譴責処分、略式管轄権に基づく罰金の科付け、あるいは違反疑義を独立委員会へ付託する、といった対応を取ることができます。この件に関する説明を受けた関係者によると、サイバーセキュリティの不遵守を理由とした勝ち点剥奪は選択肢に含まれていないとのことです。

2029年までの段階的導入

この枠組みはバックアップ、インシデント対応、リスク管理、セキュリティ保証という4つの中核分野をカバーしており、後の段階ではクラブがサイバーインシデントから復旧できる能力に関する、実地テストを伴う要件も追加されます。

導入は3段階に分けて実施されます。第1段階の措置は2027年4月30日までに求められ、続く要件は2028年4月と2029年4月に導入されます。各クラブは毎シーズン1月10日までに中間コンプライアンス評価を提出し、4月30日までに裏付けとなる証拠とともに最終評価を提出する必要があります。中間段階で基準未達と判定されたクラブは、28日以内に是正計画をリーグへ提出しなければなりません。また、プレミアリーグはいつでも追加の証拠提出を求めることができるほか、例外的な状況下では特定の要件について適用免除を認めることもあります。

この基準は、2シーズンにわたる協議期間を経て、6月に開催されたリーグの年次総会でクラブ側の承認を受けたものであり、特定のインシデントへの対応策ではなく、あくまで予防措置として明確に位置づけられています。

業界の反応:方向性は正しいが、導入ペースは遅すぎるのか

セキュリティ関連企業はこの動きを概ね歓迎していますが、罰金額と数年がかりの導入ペースの両方について、クラブが標的にされている速度に見合っていないのではないかという懸念も上がっています。

HuntressのvCISOでEMEA担当サイバーセキュリティアドバイザーを務めるMuhammad Yahya Patel氏は、罰金の大きさは文脈の中で捉える必要があると指摘します。「10万ポンドは、プレミアリーグ上位クラブの年間収益が6億ポンドを超えることを思い出すまでは、大きな金額に聞こえます」。さらに同氏は導入ペースにも疑問を呈し、2027年、2028年、2029年4月という段階的なタイムラインを「現実的ではあるが、脅威環境を考えれば遅い」と評し、「完全な遵守を2029年まで待つということは、攻撃者に最も弱い環である3シーズン分の時間を与えることになる」と付け加えました。

一方でPatel氏は、枠組みそのものの中身についてはより肯定的な見方を示しています。拘束力のないロードマップから、期限と証拠提出を伴う正式な要件への転換を「意義ある構造的転換」と呼び、その土台の選び方を評価しました。「バックアップ、インシデント対応、リスク管理、そして復旧テストは、まさに正しい土台だ」。とりわけリーグの先を見据えた姿勢については特に評価に値するとし、「たいていの統括団体は、大きな見出しになるインシデントが起きるまで待つ。だが今回は違った」と述べています。同氏が最も強く留保を付けたのは運用面についてでした。「本当の試金石は、運用にどれだけ本気で取り組むかだ。信頼できる結果が伴わないルールは何も変えない」。

Acumen CyberのプリンシパルコンサルタントであるCian Heasley氏もこの動きを歓迎しており、機密データ、金融取引、そしてサッカークラブが抱える運用システムの組み合わせを考えれば、正式な基準の導入は遅すぎたくらいだと主張しています。

「助言的なガイダンスから拘束力のある基準への移行は、これまで欠けていた説明責任を生み出すものであり、金銭的なインセンティブは必然的に行動を後押しするだろう」と同氏は述べました。

しかしHeasley氏にとって、10万ポンドという罰金額そのものよりも重要なのは、クラブが攻撃に耐え、そこから復旧できることを証明するよう求められている点です。「10万ポンドという上限額は、深刻なインシデントの実際のコストや、サッカークラブに紐づく金額の規模と比べれば、控えめなものだ。だからこそ、この制度の価値は制裁そのものよりも、必要になる前にテスト済みのバックアップ、インシデント対応、復旧能力をクラブに構築させる点にある」。

同氏はまた、明確な基準と期限の導入を歓迎する一方で、解釈の余地を残しすぎないよう、要件自体が十分に明確である必要があると注意を促しています。「重要なのは、その基準が解釈に委ねられる部分を過度に残すのではなく、明確な枠組みを提供することを確実にすることだ」。

CyberSmartのCEO兼共同創業者であるJamie Akhtar氏は、この新ルールを、サイバーセキュリティが純粋な技術的課題からガバナンスの問題へと変わりつつあるという、より大きな潮流の一部として位置づけています。「サイバーセキュリティは、主にIT部門の責任として捉えられる段階から、クラブガバナンスの拘束力ある構成要素へと移行しつつある」。同氏はクラブが現在管理しているデータと運用システムの規模の大きさを指摘し、「サッカークラブは、サポーター、従業員、選手に関する大量の機密データを保有すると同時に、チケット販売、決済、スタジアム入場管理、試合当日の運営を支えるシステムにも依存している」と述べ、今回新たに義務化された分野は、サイバーインシデントがいかに急速にエスカレートしうるかを反映していると主張しました。「深刻なサイバーインシデントは、瞬く間に運用・財務・評判の危機へと発展しかねない」。

Akhtar氏は、基準遵守そのものを最終目標にすべきではないと明言しています。クラブに必要なのは「サイバーリスクに関する取締役会レベルでの明確な当事者意識、重要なシステムとデータの正確な棚卸し、テスト済みで分離されたバックアップ、実地訓練を経たインシデント対応・復旧計画、強固なID・アクセス管理、そしてサードパーティサプライヤーに対する実効的な監督」であり、これに加えて、各種の管理策が実際に機能しているという証拠を継続的に集めていくことだと同氏は述べました。同氏の結論はこうです。「新たな要件を単なる規制上のハードルとしてではなく、レジリエンスの最低限の土台として扱う組織こそが、いずれ必ず訪れる攻撃によってその管理策が試されるとき、最も強い立場に立てるだろう」。

サッカー界はすでにその結末を目にしている

このリスクは机上の空論ではありません。2024年11月、イタリアのボローニャFCは、RansomHubグループが犯行声明を出したランサムウェア攻撃を受けたことを認めました。クラブが身代金の支払いを拒否した後、攻撃者は盗んだデータをダークウェブ上で公開し、その中には選手やスポンサーに関する情報も含まれていたと報じられています。

さらに最近では、アヤックスがCEVAロジスティクスの情報漏えいで影響を受けた組織の一つとして名前が挙がりました。この件では、クラブ自体が直接侵害されたのではなく、サードパーティの配送業者を通じて顧客情報が流出しています。

Heasley氏は次のように述べています。「これらのインシデントは、サッカークラブが直面する直接的なリスクとサプライチェーン上のリスクの両方を示している。特にボローニャへの攻撃は、盗まれた情報が交渉決裂時に公開されるという圧力の材料として使われうる以上、レジリエンスとデータの最小化がなぜ重要なのかを物語っている」。

なぜ重要なのか

この新ルールにより、プレミアリーグは任意のガイダンスに頼るのではなく、加盟組織全体にサイバーセキュリティ管理策を正式に義務付けた、世界初級のメジャースポーツ団体の一つとなります。最初のコンプライアンス期限まで1年を切る中、クラブは取締役会レベルでの説明責任、バックアップと復旧のテスト、サードパーティのリスク監督といった分野で早急に対応を進める必要があります。両専門家が指摘するように、これらは名前を挙げるだけなら容易ですが、コンプライアンス期限のもとで実際に運用し、証拠を示すとなると、はるかに難易度が上がる領域です。