いよいよ10月1日施行！公安によるサイバー空間安全監督検査の新ルールを徹底解説
概要：サイバーセキュリティの監督検査に関する新規定が、まもなく10月1日に施行される。本稿では、誰が検査対象となるのか、何を検査するのか、どのように検査が行われるのか、どのように対応すべきか、問題が発覚した場合の処分内容、企業が取るべきアクションについて、Q&A形式で整理し、企業が規制の新たな枠組みを理解するうえでの参考に資するものとする。
2026年8月6日、公安部は「公安機関サイバー空間安全監督検査弁法」（公安部令第176号、以下「新弁法」という）を公布し、10月1日から施行される。これに伴い、2018年の「公安機関インターネット安全監督検査規定」（公安部令第151号、以下「旧規定」という）は廃止される。本稿は、 新旧制度の主要な相違点をQ&A形式で解説し、企業が規制の方向性を的確に把握し、コンプライアンス対応を行うための一助とする。
一、誰が検査の対象となるのか？――検査対象が2類から8類に拡大
旧規定では検査対象はインターネットサービス提供者及びインターネット接続利用組織に限定されていたが、新弁法ではネットワーク運営者、データ取扱者、個人情報取扱者等へと拡大されている。
新弁法の第6条は、監督検査の対象として、次の8類を列挙している。
1．インターネットサービス提供者
2．公衆向けインターネット接続サービス提供者
3．ネットワーク運営者並びにその構築者及び保守担当者
4．重要情報インフラ運営者並びにその構築者及び保守担当者
5．ネットワーク製品とサービスの提供者
6．データ取扱者
7．個人情報取扱者
8．その他法に依拠し監督検査を行うことができる者
これは、自社が直接インターネットサービスを提供していなくても、従業員又は顧客の個人情報を取り扱っていれば、「データ取扱者」又は「個人情報取扱者」として検査対象となり得ることを意味する。また、過去にサイバーセキュリティ、データセキュリティ等に関するインシデントが発生したことのある主体、又は法定義務の不履行により行政処罰を受け、かつ是正していない主体は、重点的な検査の対象となる。
二、何を検査するのか？――検査内容が7項目から11項目に拡大
旧規定の検査内容は、基本的にサイバーセキュリティ等級保護、ログの保存、ウイルス対策、届出等の従来型サイバーセキュリティが中心であり、データセキュリティ、個人情報保護、アルゴリズムの安全に関する専用条項は設けられていなかった。
新弁法の第7条は11項目の検査内容を定めており、従来のサイバーセキュリティを維持しつつ、主に次の義務の履行状況を新たに追加している。即ち、重要情報インフラの安全保護義務（第5号）、サイバーセキュリティ上の脆弱性・欠陥の是正義務（第7号）、アルゴリズムの安全に関するする主体責任の遂行及びアルゴリズム推薦管理制度の確立義務（第9号）、データセキュリティ及び個人情報保護に関する義務（第10号）である。
また、新弁法第8条は、国の重要な警備任務（例えば、全国人民代表大会・政治協商会議（両会）、国慶節）期間中、公安機関が当該重要警備任務に関係する事業者に対し、以下の5項目を中心とした特別検査を実施できると定めている。すなわち、警備方案と責任者、リスク評価、緊急時対応計画と訓練、防止措置、インシデント報告メカニズムである。重要イベントの開催前には、関係事業者はより厳格な検査基準が適用される可能性がある。
三、どのように検査されるのか？――検査方法と手続の規範化
旧規定では、検査方法や手続きに関する規定がやや簡略であり、立入検査の頻度も明確にされていなかったため、実務上、企業が異なる部門から繰り返し立入検査を受ける可能性があった。
新弁法では、監督検査の方法、手続き、要件について、次のとおり定められている。
1.検査方法（第4条）：オンライン巡回検査、リモート検査、立入検査を含む。
2.検査頻度（第9条第2項）：サイバーセキュリティ等級保護の第3級以上の事業者及び重要情報インフラ運営者については、毎年1回の立入検査を実施する。他の部門が既に検査している場合、公安機関はその検査結果を活用し、重複検査は行わない。
3.検査手続き及び要件：立入検査を行う人民警察官は2名以上でなければならず、人民警察官証及び監督検査通知書を提示しなければならない（第11条）。検査に際し、費用を徴収してはならず、特定製品の指定も禁止される（第14条）。第三者機関に委託する場合、当該第三者機関は秘密保持誓約書の締結が義務付けられる（第13条）。検査終了後、第三者機関は資料を公安機関に返還し、又は公安機関の要求に従って廃棄しなければならない（第20条）。
四、検査を受けたら、企業はどう対応すべきか？――検査への対応策
新弁法の施行後、企業が公安機関による検査を受ける際には、以下の事項に留意することが推奨される。
1.検査実施者の確認：人民警察官証及び監督検査通知書の提示を求め、監督検査の適法性と範囲を確認する（第11条）。
2.検査への協力：対応窓口となる責任者を指定し、質問への回答、資料の閲覧、システムの検証、技術的検査等の措置に協力する（第12条）。
3.権益保護：公安は費用を徴収できず、特定’製品の指定も禁止されている（第14条）。第三者機関は秘密保持誓約書の締結が義務付けられており（第13条）、検査終了後は資料が返還し又は廃棄される（第20条）。検査記録に異議がある場合、その旨を記録するよう求めることができる。
4.証拠の保存：検査通知書、検査記録、指導通知書等の文書を適切に保管する（第15条）。
五、問題が発覚した場合はどうなるのか？――是正措置と法的結果
旧規定では、リスク・脆弱性が発見された場合には、指導・是正を促し検査記録に記載すること、軽微な違法行為に対しては、期限付き是正を命じることが定められているものの、指導通知書、通告、ヒアリング等の標準化された処分手段は設けていなかった。
新弁法第17条から第19条は、段階に応じて順次対応を強化する処分ツール体系を構築している。一つ目は、公安機関による指導通知書である。県レベル以上の公安機関は検査対象者に対して発行でき、市レベル以上の公安機関は業界主管部門に対し、省レベル以上の公安機関は社会向けに通告を発することができる。二つ目は、ヒアリングである。省レベル以上の公安機関はネットワーク運営者の法定代表者に対し、県レベル以上の公安機関はデータ取扱い及び個人情報保護活動に比較的大きなリスクのある組織又は個人に対し、ヒアリングを実施できる。三つ目は、行政処罰である。違法行為が犯罪を構成する場合には、法に依拠して処罰し、又は刑事責任が追及される。
また、企業がサイバーセキュリティ、データセキュリティに関するインシデント（例：データ漏洩、システムへの不正侵入）を発生させた場合、公安機関は第9条第3項に基づき調査・処分を行うことができ、インシデントによる結果に応じて、「サイバーセキュリティ法」「データセキュリティ法」「個人情報保護法」に基づく行政処罰を科す。犯罪を構成する場合には、刑事責任が追及される。同時に、第6条第2項に基づき、過去にセキュリティインシデントを発生させた事業者は、重点監督検査対象に指定される。
六、企業は今、何をすべきか？――コンプライアンス推奨措置
企業は、以下の自己点検と是正対応を速やかに実施することが推奨される。
1．等級保護に関するコンプライアンスの自己点検；等級の確定・届出、等級評価及び是正が適切に行われているかを確認する。
2．データ取扱活動の洗い出し：個人データの収集、保存、アクセス、分類及び等級区分の状況を整理する。
3．アルゴリズム推薦サービスの審査（該当する場合）：例えば、パーソナライズ推薦を利用している場合、アルゴリズムの安全管理制度が確立されているかを確認する。
4．制度・プロセスの整備：データセキュリティ、個人情報保護、アルゴリズムの安全に関する管理制度を確立する。
5．対応窓口となる担当者の指定：サイバーセキュリティ/データセキュリティの責任者を明確に定める。
6．緊急時対応計画の策定：重要警備任務の実施期間中に備えた計画及び訓練を準備する。
後日の検査での確認に備え、自己点検の記録及び是正の証拠を保存しておくことが推奨される。
結び
以上のように、新弁法は、検査対象と検査内容の拡大、処理ツールの体系化、検査手続の規範化等の核心的な変更を通じて、サイバーセキュリティ、データセキュリティ、情報セキュリティを網羅する包括的な監督検査体系を構築している。企業は、規制の新たな枠組みに対応するため、速やかにコンプライアンス措置を講じることが求められる。今後の法執行の動向や関連実施細則を継続的に注視し、コンプライアンス戦略を適宜調整し、制度上の要件を日常管理における継続的な仕組みとして定着させることが推奨される。
（作者：里兆法律事務所 董紅軍 魏奕然）