英国、重要インフラの高リスク技術サプライヤー排除へ　調達禁止・撤去命令を可能にする法案修正

英国政府は2026年8月24日、審議中の「Cyber Security and Resilience (Network and Information Systems) Bill（サイバーセキュリティとレジリエンス法案）」に、重要インフラの技術サプライヤーに起因する国家安全保障リスクへ対応するための修正案を提出しました。

新たな「vendor-related directions（ベンダー関連命令）」では、国家安全保障上のリスクがあると政府が判断した製品、サービス、設備について、重要サービス事業者などに対し、使用の禁止・制限、新規導入の禁止、撤去、無効化、変更などを命じられる仕組みを提案しています。

さらに、将来的には一定の技術調達を政府へ事前申告させる「mandatory referral scheme（義務的照会制度）」を導入できる権限も盛り込まれています。ただし英国政府は9月1日の上院審議で、現時点では義務的照会制度を導入する意図はなく、まず調達ガイダンスと自主的な照会制度を運用する方針を示しました。

重要なのは、これらが成立済みの規制ではない点です。9月7日未明時点で法案は上院Committee Stage（委員会審議）の途中にあり、主要な政府修正案102～105は英国議会の法案ページ上で「No decision」となっています。

また、修正案は特定の国や企業を名指ししていません。政府は、第三国との関係を通じた妨害、監視、諜報などのリスクを念頭に置いていると説明していますが、「中国企業を一律排除する制度」などと断定することはできません。

英国の高リスク技術サプライヤー規制案のサマリー

• 【確認済み】英国政府は2026年8月24日、サイバーセキュリティとレジリエンス法案に新たなvendor risk management frameworkを導入する政府修正案を提出しました。
• 【確認済み】政府の補足委任権メモランダムでは、8月24日に同フレームワークに関する64件の修正案を提出したと説明しています。
• 【確認済み】新たな「vendor-related direction」は、国家安全保障上のリスクが生じる、または生じ得る製品・サービス・設備の利用について政府が命令を出せる仕組みです。
• 【確認済み】命令には、製品・サービス・設備の使用禁止・制限、新規導入の禁止、撤去、無効化、変更などを含めることができます。
• 【確認済み】政府は、命令が必要かつ目的に対して比例的であると判断する必要があります。
• 【確認済み】政府は当初、Operators of Essential Services（重要サービス事業者）への適用を想定しています。
• 【確認済み】将来的には、英国経済や社会の日常的機能に不可欠な事業者などへ対象を拡張できる制度設計です。
• 【確認済み】一定の技術調達を政府へ事前申告させる義務的照会制度を、二次法令で導入できる権限も提案されています。
• 【政府説明】現時点で義務的照会制度を導入する意図はなく、まず調達ガイダンスと自主的照会制度を運用する方針です。
• 【確認済み】修正案は特定の国、企業、製品を禁止対象として指定していません。
• 【政府説明】第三国と関係するベンダーを通じた重要システムへのアクセス、妨害、監視、諜報などをリスクとして挙げています。
• 【確認済み】高リスクなAIモデルも、重要サービス事業者が利用し国家安全保障リスクが生じる場合には対象となり得ると担当大臣が説明しています。
• 【確認済み】法案は9月7日時点で上院Committee Stageの途中で、主要修正案はまだ成立していません。
• 【確認済み】既存の法案には、重要な供給者自身を「critical supplier」として規制対象にする別制度も盛り込まれています。
• 【確認済み】法案全体では重大なサイバーインシデントの24時間以内の速報、72時間以内の詳細報告なども提案されています。

項目	内容
対象法案	Cyber Security and Resilience (Network and Information Systems) Bill
法案提出	2025年11月12日
高リスクベンダー関連修正	2026年8月24日
現在の審議状況	上院Committee Stage
新制度	Vendor-related directions
主な目的	技術サプライヤーに起因する国家安全保障リスクへの予防的対応
使用禁止・制限	可能とする修正案
新規導入禁止	可能とする修正案
撤去・無効化・変更	可能とする修正案
義務的調達照会	将来的に二次法令で導入可能とする権限
現時点の義務的照会制度	政府は導入予定なしと説明
初期対象	Operators of Essential Servicesを想定
特定ベンダー名	記載なし
特定国名	記載なし
AI	条件を満たす高リスクAIモデルも対象になり得る
修正案の成立	9月7日時点では未成立

英国政府、8月24日に「ベンダーリスク管理」の修正案

英国政府が提出した補足委任権メモランダムによると、8月24日に新たな「vendor risk management framework」を導入するための64件の政府修正案が提出されました。

中心となるのが、修正案102の「Vendor-related directions」です。

政府は、重要インフラを支える事業者が利用している、または利用しようとしている第三者ベンダーの製品、サービス、設備によって国家安全保障リスクが生じる場合、政府が予防的に介入できるようにする狙いだと説明しています。

現行の法案にも、ネットワークや情報システムがすでに侵害された場合などに政府が命令を出す国家安全保障上の権限があります。

今回の修正案は、それより早い段階で介入できるようにするものです。英国政府は、問題のあるベンダーが重要なサプライチェーンへ深く組み込まれ、撤去が高額・困難になる前に対応することを目的としていると説明しています。

使用禁止、新規導入禁止、撤去まで命令可能に

修正案では、vendor-related directionによって課すことができる要求事項を具体的に示しています。

国家安全保障上必要と判断した場合、政府は重要サービス事業者などに対し、対象となる製品、サービス、設備の使用を禁止または制限できます。

さらに、新しい機器の設置やサービス導入の禁止、既存製品・設備の撤去や無効化、製品・サービスの変更も要求できます。

法案の文言はハードウェアだけを対象としていません。

「goods, services or facilities」という技術中立的な表現が採用されており、ソフトウェア、クラウドサービス、デジタルサービスなども条件次第で対象になり得ます。

命令には、ネットワークや情報システムの管理方法の変更、リスク低減措置、情報提供、政府が承認した専門家の起用などを含めることもできます。

一方、政府が無制限に命令できるわけではありません。

修正案では、対象製品・サービスなどの利用または利用予定によって国家安全保障上のリスクが生じる、または生じ得ると政府が判断することに加え、命令自体が必要であり、要求内容が目的に対して比例的であることを条件としています。

特定の中国企業などを禁止すると決めた法案ではない

SecurityWeekなどの報道では「high-risk tech suppliers」を重要インフラから排除する動きとして報じられています。

ただし、政府修正案には特定企業や特定国のリストはありません。

9月1日の上院審議でサイバー担当相のBaroness Lloyd of Effra氏は、ベンダーに「harmを与える能力と意図」があり、とりわけ第三国との関係を持つ場合が問題になり得ると説明しました。

同氏は、こうしたベンダーを通じて第三国が重要システムへアクセスまたは支配力を持ち、英国の重要インフラを妨害したり、大規模データへのアクセスを通じて監視したり、機密情報を利用して諜報活動を行ったりするリスクを挙げています。

一方、法律上の基準は国籍だけではありません。

政府は、製品の欠陥設計や脆弱性によって重要な単一障害点となるケースもvendor-related cyber riskに含まれると説明しています。

そのため、「外国企業だから禁止」「中国製だから排除」という単純な制度ではなく、国家安全保障上のリスクを基準に個別介入する仕組みとして提案されています。

当初は重要サービス事業者を対象、将来的な拡張も可能

英国政府は9月1日の審議で、新しい権限について「最初はOperators of Essential Servicesに限定する意向」と説明しました。

Operators of Essential Servicesは、エネルギー、水道、交通、医療など、社会生活に不可欠なサービスを提供する事業者を中心とするNIS規制上の区分です。

ただし、修正案では将来的に対象を広げるための権限も盛り込まれています。

政府の補足メモランダムでは、対象に追加できる事業者について、NIS規制対象だけでなく、英国経済や社会の日常的機能に不可欠な活動を行う事業者、その活動が維持できなくなるおそれがある重要な物品・サービスを提供する事業者などを想定しています。

一方、政府は「高い閾値を維持する」と説明しており、すべての一般企業をこの権限の対象にする制度ではありません。

「critical supplier」指定とは別の仕組み

今回の修正案を理解するうえで注意したいのが、法案にもともと含まれている「critical supplier」の制度との違いです。

既存の法案では、重要サービスやデジタルサービスの提供に不可欠で、障害が重大な影響を及ぼすサプライヤーを規制当局が「critical supplier」として指定し、そのサプライヤー自身へセキュリティ義務やインシデント報告義務を課せる仕組みが提案されています。

こちらは「その供給者が止まったら重要サービスへ大きな影響が出る」という供給者の重要性を軸にした制度です。

新しいvendor-related directionは性質が異なります。

サプライヤー自体を継続的なNIS規制対象として指定することが目的ではなく、そのベンダーの製品・サービス・設備を利用することで国家安全保障上のリスクが生じる場合、利用する事業者側へ直接命令を出す仕組みです。

英国政府も9月1日の審議で、critical supplierの制度だけでは対応できない、国家安全保障上の意図や能力を持つベンダーへの予防的措置として新権限が必要だと説明しています。

技術調達を政府へ事前申告する制度も将来導入可能

修正案105では「Power to establish mandatory referral scheme」が提案されています。

これは一定の「qualifying transaction」に該当する技術調達を、契約前などに政府へ照会させる制度を二次法令で導入できるようにするものです。

対象取引の判断基準としては、取引の性質、金額、重要サービスにとっての重要性、ベンダーの身元などを二次法令で定められる設計になっています。

ただし、9月1日の上院審議で英国政府は「現時点ではmandatory schemeを設ける意図はない」と明言しています。

まず、調達ガイダンスと自主的な照会ルートを設け、事業者が高リスクと考える調達について政府へ相談できる仕組みを運用する方針です。

政府は、その自主制度だけでは国家安全保障リスクへ十分対応できないと判断した場合に、将来的な義務制度を導入できるよう法的権限を確保しておく考えです。

義務制度を実際に導入する場合には、対象となる「qualifying transaction」の定義について改めて協議すると説明しています。

高リスクAIモデルも対象になり得る

今回の修正案は、AIにも影響する可能性があります。

9月1日の上院審議でBaroness Lloyd of Effra氏は、新しい権限について技術の種類を限定しない「technology-agnostic」な設計であると説明しました。

その上で、重要サービス事業者がベンダー提供のAIモデルをネットワークや情報システムに関連して利用し、その利用が国家安全保障リスクを生じさせる場合には、高リスクAIモデルもvendor-related directionの対象になり得ると認めています。

これは「すべてのAIモデルを政府が審査する」という制度ではありません。

対象となるのは、新権限の対象事業者が重要なネットワーク・情報システムに関連して利用し、さらに国家安全保障リスクの要件を満たす場合です。

AI、クラウド、マネージドサービス、ソフトウェアなど、従来の物理機器より入れ替えや依存関係が複雑な技術も対象になり得る点は、今後の調達管理に影響する可能性があります。

法案全体では「24時間・72時間」報告も導入へ

高リスクベンダーへの新権限は、Cyber Security and Resilience Bill全体の一部です。

法案は2018年のNetwork and Information Systems Regulationsを大幅に拡張するもので、データセンター、マネージドサービス事業者、重要サプライヤーなどを新たな規制対象へ加える内容を含んでいます。

重大なサイバーインシデントについては、対象事業者に対し、把握から24時間以内の初期通知と72時間以内の詳細報告を求める仕組みも提案されています。

NCSCも規制当局と同時に通知を受けます。

重大な違反に対する罰金上限について、英国政府は1,700万ポンドまたは対象事業者の世界売上高の4％のいずれか高い方とする新制度を示しています。

セキュリティ対策Labでは、法案が2025年11月に提出された段階から内容を追跡しています。

関連記事：英国「サイバーセキュリティとレジリエンス法案」提出-重大なインシデントは24時間以内へ当局へ通報

英国NCSCは以前からサプライチェーン管理を要求

英国National Cyber Security Centre（NCSC）は、法案とは別にサプライチェーンセキュリティの12原則を公開しています。

NCSCは、重要な業務を第三者へ委託しても、重要機能を守る責任は委託元に残るとの考え方を示しています。

具体的には、自社の供給者と再委託先を把握すること、各サプライヤーが持つ物理・論理アクセスを理解すること、最低セキュリティ要件を契約へ組み込むこと、重要なサプライヤーへの依存集中を把握すること、監査権やセキュリティ保証を契約に盛り込むことなどを推奨しています。

今回の修正案は、こうした企業側のサプライチェーンリスク管理だけでは対応できない国家安全保障上のリスクに、政府が直接介入するための「バックストップ」を追加する位置付けです。

重要インフラへの国家主体のサイバー脅威も背景

英国では重要国家インフラへの国家主体によるサイバー脅威が大きな政策課題になっています。

NCSCのRichard Horne CEOは2026年6月、2025年6月から2026年5月までに重要インフラと周辺エコシステムへ影響した200件超のインシデントへ対応し、その約75％について国家主体と関連すると説明しています。

セキュリティ対策Labでも、このNCSCの発表について別記事で整理しています。

関連記事：英国 インフラへのサイバー攻撃の75%が敵対国家-2028年までにAIが既知の脆弱性悪用に使われる可能性が高いと警告

SecurityWeekは今回の修正案について、8月に報じられた英国の小規模エネルギー施設へのサイバー攻撃を受け、サプライチェーンリスクへの政策議論がさらに強まったと報じています。

ただし、今回の政府修正案自体は特定の攻撃を法的発動要件としておらず、幅広い国家安全保障上のベンダーリスクを対象にしています。

9月7日時点ではまだ法律ではない

今回の動きを「英国が高リスクベンダーを禁止した」と表現するのは正確ではありません。

英国議会によると、Cyber Security and Resilience Billは9月7日時点で上院Committee Stageにあります。

8月24日に提出されたvendor-related direction関連の主要修正案102～105は、9月7日未明時点でいずれも「No decision」と表示されています。

上院の委員会審議は9月7日にも続く予定です。

また、9月1日の初日の審議では、政府修正案が下院通過後の段階で大量に追加されたことから、審議時間や権限の広さについて上院議員から懸念も示されました。

政府側も、指摘を検討し、Report Stageで再び議論するとしています。

そのため、最終的な法律で権限の範囲、議会による監督、義務的照会制度、対象事業者などが変更される可能性があります。

情報システム・調達・サプライチェーン部門への示唆

英国で重要サービスを提供する企業だけでなく、そのサプライチェーンへIT、OT、クラウド、ソフトウェア、AI、マネージドサービスなどを提供する企業にとっても、今回の修正案は確認しておく必要があります。

特に重要なのは、サプライヤー評価を「脆弱性が多いか」「ISO認証を取得しているか」といった通常のセキュリティ評価だけで終わらせないことです。

国家安全保障上のサプライチェーンリスクでは、製品の遠隔管理機能、ベンダーが保持する特権アクセス、アップデート経路、製造・開発拠点、再委託先、クラウドや通信基盤への依存、製品を短期間で代替できるかといった項目も重要になります。

また、vendor-related directionによって既存製品の撤去やサービス変更が命じられる可能性を考えると、重要インフラ事業者は「高リスクと判断された場合に代替できるか」という出口戦略も調達時点から検討する必要があります。

契約面では、政府命令や規制変更を理由とする契約解除・移行、データ移行、設定エクスポート、技術支援、撤去費用、代替製品への切り替えなどについて条件を整理しておくことが考えられます。

日本企業でも、英国の重要インフラ事業者へ製品やサービスを提供している場合は無関係とは限りません。

一方、現時点では対象ベンダーの具体的な指定基準や義務的照会制度の詳細は確定していません。英国政府は今後、実施方法や自主照会制度について協議するとしています。

したがって、現在必要なのは特定ベンダーを先回りして排除することではなく、自社の重要サプライヤーを把握し、依存度、代替可能性、特権アクセス、再委託、国家安全保障上のリスクを説明できる状態にすることです。

関連記事：サプライチェーンリスクとは？インシデント事例から見る危険なポイントと対策を解説

出典

• Cyber Security and Resilience (Network and Information Systems) Bill – UK Parliament
• Cyber Security and Resilience (Network and Information Systems) Bill publications – UK Parliament
• HL Bill 32 Running list of amendments – 26 August 2026 – UK Parliament
• Supplementary Delegated Powers Memorandum – UK Parliament / Department for Digital, Culture, Media and Sport
• Cyber Security and Resilience (Network and Information Systems) Bill, Committee 1st Day, 1 September 2026 – Hansard
• Designating critical suppliers – GOV.UK
• Incident reporting – GOV.UK
• Enforcement – GOV.UK
• Summary of the Bill – GOV.UK
• Supply chain security guidance – National Cyber Security Centre
• Cyber Assessment Framework Principle A4 Supply Chain – National Cyber Security Centre
• UK Moves to Block High-Risk Tech Suppliers From Critical Infrastructure – SecurityWeek
• 英国「サイバーセキュリティとレジリエンス法案」提出-重大なインシデントは24時間以内へ当局へ通報 – セキュリティ対策Lab
• 英国 インフラへのサイバー攻撃の75%が敵対国家 – セキュリティ対策Lab
• サプライチェーンリスクとは？インシデント事例から見る危険なポイントと対策を解説 – セキュリティ対策Lab