サイバー攻撃を隠せる時代の終わり——米欧の報告義務が2026年に同時本格化、AI攻撃が24時間対応を迫る

『サイバー攻撃を受けたことを隠せる時代の終わり』は、米国だけの話ではない。2026年5月に確定した米CIRCIA最終規則は、16の重要インフラ30万社超に、インシデント72時間・ランサム支払い24時間の報告を義務づけた。だが同じ時期、EUのNIS2が24時間初報・72時間中間・1か月最終という段階報告を本格運用し、金融はDORAが別途規律している。報告義務は米欧で同時に新常態になった。

ここで浮かぶのが、各制度の不一致という次の課題だ。NIS2の24時間初報は『報告対象かもしれない』という早期警報で、求める情報は軽い。一方CIRCIAの72時間は初報と中間報告を一本化し、最初の報告で実質的な情報量を要求する。SECの開示規則（重大インシデントは4営業日）も別の時計を刻む。同じ攻撃でも、どの制度に、いつ、何を出すかが地域と業種で異なる。

結果として、米欧両方で事業する企業——とりわけ金融機関——は、一つの攻撃に対し複数の時計を同時に回すことになる。EU当局へ24時間以内に初報、CISAへ72時間以内にCIRCIA報告、NIS2の中間報告を72時間以内、さらにSECやFINRA、銀行規制当局への業種別報告。隠す時代の終わりが生んだのは、透明性と引き換えの『重複報告という運用負荷』だ。報告体制の自動化が、コンプライアンスの新たな競争領域になる。