サイバーエッセンシャルズ、認証数は過去最高も普及率は依然低調

英国政府が主導するサイバー認証制度「サイバーエッセンシャルズ」が、過去1年間で61,430件という過去最高の認証数を記録しました。しかし、企業全体で見ると、まだ導入している事業者は比較的少ないのが現状です。

新たに公表された数字によると、2025年7月から2026年6月にかけてのサイバーエッセンシャルズ（CE）認証件数は、前年比で20%増加しました。

内訳を見ると、自己評価方式である基本レベルの「CE」が46,245件、第三者監査が必要な「CE+」が15,185件でした。CEの件数のうち、およそ4分の3は新規に登録した組織ではなく、更新によるものです。

もっとも、英国内の中小企業数と比較すると、これらの件数はまだごくわずかにすぎません。政府の推計では、中小企業の数はおよそ570万社にのぼり、民間セクターの99%以上を占めるとされています。

関連記事: 英国のサイバーエッセンシャルズ認証件数、目標に届かず

この発表と同じ日に、ESETが公表した新たな調査結果では、英国の中小企業の半数近く（49%）が過去1年間にサイバーセキュリティインシデントに見舞われたことが明らかになりました。

500件の回答をもとにしたこの調査「2026年版SMBサイバーリスクレポート」によれば、侵害を特定して復旧するまでに要した期間は、平均で4週間以上に及んでいます。

また、インシデントの主な原因はフィッシング、未パッチの脆弱性、脆弱なパスワード、監視体制の不足であることも判明しました。これらはいずれも、サイバーエッセンシャルズが推奨するようなベストプラクティスの衛生管理によって対処できるはずのものです。

Managed 247のCEO兼創業者であるジョン・ペッパー氏は、中小企業が直面するサイバーリスクの水準と、多くの企業がそのリスク管理のために講じている対策との間には、依然として大きな隔たりがあると指摘します。

 「多くの中小企業にとって、サイバーセキュリティは事業の運営や成長という差し迫った課題との間で優先順位を争っています。しかし、小規模な組織だからといって脅威の対象から外れているわけではありません」と同氏は述べています。

「中小企業はまず基本に立ち返るべきです。安全な設定、強固なアクセス制御、ソフトウェアの更新、マルウェア対策などです。優れたサイバー衛生は、インシデント発生後に対応するものではなく、事業運営の一部として扱われるべきです」

政府の取り組みで状況は変わるか

政府によると、過去1年間にサイバーエッセンシャルズの認証を取得しようとした組織のうち、顧客から要請されたことがきっかけとなったケースは一件もありませんでした。しかし政府は、この状況を変えたい考えです。

任意参加のサイバーレジリエンス・プレッジでは、参加を表明した組織はサプライチェーン全体を通じてCEを要求することが義務付けられています。さらに、現在審議中のサイバーセキュリティ・レジリエンス法案は、サプライチェーンにおけるサイバーリスク管理を組織の法的義務とするものであり、これがさらなる普及を後押しする可能性があります。

2025年12月には、国家サイバーセキュリティセンター（NCSC）がサイバーエッセンシャルズ・サプライチェーン・プレイブックを公表し、サプライヤー基盤全体で認証取得を基本要件とするよう組織に呼びかけました。

「中小企業にとって、サイバーセキュリティへの取り組みは、ビジネスを獲得し維持できるかどうかを左右する要因になり得ます」とペッパー氏は語ります。「サプライチェーンに対する要求水準が高まるにつれ、基本的な対策が講じられていることを示せるかどうかが、信頼できるサプライヤーであるための重要な要素になっていくかもしれません」

政府は、サイバーエッセンシャルズを取得している組織は、サイバー保険の請求を行う可能性が92%低いと主張しています。