報告の時計：香港・シンガポール・米国のサイバーインシデント報告要件と、IT サービス契約に求められること

主な調査結果： 2026 年 1 月 1 日に施行された香港の重要インフラ法では、指定された事業者は重大なコンピューターシステムのセキュリティインシデントを 12 時間以内、その他を 48 時間以内に報告しなければなりません。シンガポールの期限はさらに短く、重要情報インフラ（CII）の所有者は 2 時間、MAS の規制を受ける金融機関は 1 時間です。米国では銀行が 36 時間、上場企業はインシデントを重要と判断してから 4 営業日で、連邦の重要インフラ報告規則（CIRCIA）は 2026 年 10 月 31 日時点でまだ施行されていません。これらの時計はすべて、規制対象企業がインシデントを「認識した」時点から動き出します。IT を外部委託している企業では、その認識はたいてい委託先の監視の中で始まります。だからこそ規制対象の顧客は、委託先から自社への通知時間を自社の契約で定め、自社に適用される最も短い規制上の期限よりも短くしておく必要があります。

規制当局が「認識してから 12 時間以内」と書くとき、その 12 時間は規制対象の企業のものです。しかし従業員 30〜300 名規模の企業の多くは、自社でシステムを監視していません。最初のアラートを上げるのは IT サービス事業者の監視で、それがインシデントかどうかを最初に判断するのも事業者のエンジニアで、いつ電話をかけるかを決めるのも事業者です。事業者の契約が顧客への通知まで丸一日の猶予を認めているなら、顧客の 12 時間、あるいは 2 時間や 1 時間は、社内の誰かが時計が動き出したと知る前に尽きているかもしれません。

本レポートでは、香港のサイバーインシデント報告要件を、シンガポールと米国の要件と並べて比較します。いずれも香港企業の親会社、顧客、あるいは別の規制当局が所在することの多い市場です。そのうえで、比較から浮かぶ実務上の問いに答えます。顧客から規制当局への報告義務を期限内に果たせるようにするには、事業者から顧客への通知条項に何を書けばよいのか、という問いです。

本レポート全体に三つの限定があります。法的助言ではありません。報告義務はライセンス、業種、インシデントの具体的な事実によって異なり、どれが適用されるかは顧問弁護士に確認してください。規制の状況は 2026 年 10 月 31 日時点のものです。また、中国本土のインシデント報告規定は意図的に対象外としています。

どの時計も「認識した時点」から動き、その認識はたいてい委託先で起きる

本レポートで扱う制度を並べて読むと、同じ表現が繰り返し現れます。報告期限は、規制対象の事業体がインシデントを認識した時点、発見した時点、あるいは基準に該当すると判断した時点から起算されます。社長がたまたま耳にした時点から数えるものは一つもありません。

社内にセキュリティチームを持つ企業にとって、この違いは理屈の上のものにすぎません。アラートを見る人は規制対象の事業体の社員だからです。しかし IT を外部委託している企業ではそうはいきません。典型的な外部委託環境での流れは次のとおりです。

• エンドポイント検知ツール、メールフィルター、ファイアウォールが、事業者の監視する管理画面でアラートを出す。
• 事業者のエンジニアがトリアージする。多くは顧客の営業時間外。
• 事業者が、障害ではなくセキュリティインシデントだと判断し、社内でエスカレーションする。
• 事業者が顧客の指定窓口に連絡する。
• 顧客が、規制上の基準に該当するかを判断して報告する。

規制当局は一般に「委託先から知らされなかった」を報告遅延の理由として受け入れませんし、はっきりそう述べている当局もあります。たとえば香港の証券先物委員会（SFC）は、社内調査を終えるまで必要な報告を遅らせるべきではないとの立場を示しています。実務上の帰結として、最初のアラートから顧客の指定窓口までにかかる 1 時間ごとに、顧客の規制上の持ち時間が削られていきます。

本レポートが扱うのはこの隙間です。誰かのセキュリティの穴ではなく、二つの契約の間の隙間です。一つは顧客と規制当局との間、もう一つは顧客と IT サービス事業者との間の契約です。

香港：新しい条例が一つ、金融規制当局が二つ、任意の個人データ通報制度

香港は三つの市場のうち、制度が最も新しく、最も重層的です。企業が何者で、何を保有しているかによって、法定の時計、規制当局の「直ちに」、あるいは強制的な時計がまったくない状態のいずれかに置かれます。

重要インフラ（コンピューターシステム）保護条例（第 653 章）

第 653 章は 2025 年 3 月 19 日に立法会で可決され、政府は 2025 年 6 月に施行日を官報で告示し、2026 年 1 月 1 日に施行されました。重要インフラ事業者に指定された組織に法定義務を課すもので、保安局のもとに設置された重要インフラ（コンピューターシステムセキュリティ）コミッショナー事務所が所管し、一部の業種では各業種の規制当局が担います。

条例と、コミッショナーが発行した実務規範（Code of Practice）に示された報告義務は次のとおりです。

• 重要インフラの中核機能を妨げた、妨げている、または妨げるおそれのある重大なコンピューターシステムのセキュリティインシデントは、認識してから 12 時間以内に報告。
• 重要なコンピューターシステムにおけるその他のセキュリティインシデントは、認識してから 48 時間以内に報告。
• 認識してから 14 日以内に書面の報告書を提出。

条例が適用されるのは指定された事業者であり、すべての企業ではありません。従業員 30〜300 名規模の企業のほとんどは指定されることはなく、反対側からこの条例に関わります。指定事業者への IT サプライヤーとして、あるいは指定事業者にもサービスを提供する IT 事業者の顧客としてです。指定事業者は、第三者に依存するコンピューターシステムのセキュリティを管理することが求められており、実務上は自社の 12 時間の時計をサプライヤーとの契約に組み込むことになります。顧客に指定事業者を持つ香港の IT サービス企業は、自社がどれだけ早く報告できるかを問われると考えておくべきです。

HKMA：「直ちに」、時間数の定めなし

香港金融管理局（HKMA）の監督を受ける認可機関の報告要件は、時間数を定めた法律ではなく、HKMA のガイダンスに基づいています。HKMA の 2010 年のインシデント対応・管理に関する通達は、認可機関は重大なインシデントを認識した後、直ちに HKMA に通知すべきであり、インシデントが是正されるまで待つべきではないとしています。その後の HKMA の発信でも、2024 年のプレスリリースを含め、事業、顧客、評判に重大な影響を及ぼしうるインシデントは速やかに報告するよう銀行に注意喚起しています。

数字がないこと自体が一つの発見です。「直ちに」は本レポートのどの固定期限よりも短く、翌朝になって銀行に連絡するような事業者の余地はまったくありません。香港の銀行向けサイバー枠組みが外部委託 IT に何を期待しているかについては、香港の金融機関による MSP・MSSP・C-RAF 支援の一括調達 のレポートをご覧ください。

SFC：免許法人は「直ちに」報告

SFC の行為規範（Code of Conduct）第 12.5 項は、免許保有者または登録者に対し、重大な違反、侵害、不遵守、あるいはシステムの重大な障害が発生した場合、直ちに SFC へ報告することを求めています。SFC は 2017 年に免許法人向け通達を出し、ランサムウェア攻撃を含む重大なサイバーセキュリティインシデントは直ちに報告すべきだと改めて示しました。

この要求がなぜ重要かは、SFC 自身のデータが示しています。2025 年 2 月 6 日に公表された「2023/24 年度 免許法人のサイバーセキュリティに関するテーマ別レビュー報告書」によれば、2021 年から 2024 年の間に免許法人から 8 件の重大なサイバーセキュリティインシデントが報告されました。取引システムやバックオフィスを停止させたランサムウェア、顧客口座への不正アクセス、外部 IT ベンダーでの侵害などです。同報告書は、サポート終了ソフトウェアと外部 IT サービスの管理を、期待される水準を示した分野として挙げています。

PDPO：強制的な漏えい通報は、まだない

個人資料（私隠）条例（第 486 章、PDPO）には、データ漏えいを通報する法定義務はありません。個人資料私隠専員公署（PCPD）への通報は任意で、PCPD の「データ漏えいの対応と通報に関するガイダンス」（2023 年 6 月版）に沿って行われます。それでも通報は珍しくありません。PCPD が公表した数字によれば、2024 年の通報は 203 件で 2023 年の 157 件から増え、2025 年は 246 件でした。

強制的な通報制度は 2020 年から議論されています。この年、政府が立法会の憲制事務委員会に提出した文書で制度の導入が提案され、PCPD への通報期限の例として「5 営業日」が示されました。2026 年 10 月 31 日時点で、これを実施する改正条例案が立法会に提出されたことは確認できず、提案の段階にとどまっています。成立すれば、個人データを持つほぼすべての香港企業に新たな時計が加わります。

シンガポール：三市場で最も短い時計

シンガポールには、重要インフラの法律、1 時間ルールを持つ金融規制当局、そして強制的な個人データ制度がそろっています。時計は三市場の中で最も短くなっています。

2018 年サイバーセキュリティ法：CII 所有者は 2 時間

2018 年サイバーセキュリティ法と 2018 年サイバーセキュリティ（重要情報インフラ）規則のもとで、重要情報インフラ（CII）の所有者は、所定のサイバーセキュリティインシデントを認識してから 2 時間以内にシンガポールサイバーセキュリティ庁（CSA）へ通知し、14 日以内に補足情報を提出しなければなりません。

2024 年サイバーセキュリティ（改正）法は 2024 年 5 月 7 日に国会で可決され、CSA は主要な規定を 2025 年 10 月 31 日に施行すると発表しました。CSA によれば、改正により、高度標的型攻撃（APT）によるものと疑われるインシデントや、CII 所有者が管理する、CII と接続していないシステムを通じて必須サービスを妨げるインシデントにも報告対象が広がり、第三者が所有する CII も規制の対象に加わりました。方向ははっきりしています。より多くのシステム、より多くの種類のインシデント、より多くの組織が 2 時間の枠に入ってきています。

MAS テクノロジーリスク管理通知：1 時間

シンガポール金融管理局（MAS）の規制を受ける金融機関は、ライセンスの種類ごとに出されている MAS のテクノロジーリスク管理通知（Notice on Technology Risk Management）に従います。通知は、関連するインシデントを発見してからできる限り速やかに、遅くとも 1 時間以内に MAS へ通知し、発見から 14 日以内に根本原因と影響の分析報告書を提出することを求めています。

1 時間は本レポートで最も短い固定期限です。時間単位で動く事業者のエスカレーション手順が入り込む余地は、ほとんどありません。監視を外部委託しているシンガポールの規制対象機関では、事業者は対応の最初の数分から関与している必要があり、後から報告を入れる立場では間に合いません。外部委託に関する全体的な要件は、MAS TRM 外部委託 IT チェックリスト をご覧ください。

PDPA：通報対象と判断してから 3 暦日

2012 年個人データ保護法（第 26A 条〜第 26E 条）と 2021 年個人データ保護（データ漏えい通報）規則のもとで、組織はデータ漏えいを通報対象と評価してから 3 暦日以内に個人データ保護委員会（PDPC）へ通知しなければなりません。影響を受ける個人に重大な損害を与えるおそれがある場合、または 500 人以上に影響する場合に通報対象となります。組織は漏えいの疑いについても速やかに評価する必要があります。香港と異なり、シンガポールの個人データの時計は強制的で、個人データを持つほぼすべての組織に適用されます。

米国：ばらばらな制度と、手本にすべき一つの条項

米国には単一のインシデント報告法はありません。企業が何者かによって、証券開示の時計、銀行の時計、消費者金融の時計、未施行の重要インフラの時計、そして 50 州それぞれの漏えい通知法に直面します。

SEC フォーム 8-K Item 1.05：重要と判断してから 4 営業日

米国証券取引委員会（SEC）のサイバーセキュリティのリスク管理とインシデント開示に関する規則（Release No. 33-11216、2023 年 7 月 26 日採択）は、上場企業に対し、サイバーセキュリティインシデントを重要と判断してから 4 営業日以内に、フォーム 8-K の Item 1.05 で開示することを求めています。重要性の判断そのものも、発見後、不当な遅延なく行わなければなりません。2024 年 5 月、SEC スタッフは、Item 1.05 は企業が重要と判断したインシデントを対象とし、その他のインシデントは別の項目で任意に開示できると明確にしました。

銀行規則：36 時間、そしてサービス事業者への義務

通貨監督庁（OCC）、連邦準備制度、連邦預金保険公社（FDIC）が共同で定めたコンピューターセキュリティインシデント通知規則は、2022 年 4 月 1 日に発効し、2022 年 5 月 1 日から遵守が求められています。銀行組織は、通知対象のインシデントが発生したと判断してからできる限り速やかに、遅くとも 36 時間以内に、主たる連邦規制当局に通知しなければなりません。

この規則の後半は、本レポートの中で最も有用な規定です。銀行サービス事業者に直接義務を課しているからです。事業者は、対象サービスに 4 時間以上の重大な中断または品質低下を引き起こした、または引き起こすおそれの高いコンピューターセキュリティインシデントが発生したと判断した場合、影響を受ける各銀行顧客にできる限り速やかに通知しなければなりません。つまり、規制当局が事業者から顧客への通知条項をすでに書いているのです。銀行に交渉を任せるのではなく、事業者を直接拘束し、しかも「1 日以内」ではなく「できる限り速やかに」としています。

FTC セーフガード規則：ノンバンク金融機関は 30 日

連邦取引委員会（FTC）はセーフガード規則を改正し、住宅ローンブローカー、融資を仲介する自動車ディーラー、税務申告代行業者などのノンバンク金融機関に対し、500 人以上の消費者の暗号化されていない情報に関わる通知対象事象を発見してから、できる限り速やかに、遅くとも 30 日以内に FTC へ通知することを求めました。改正は 2024 年 5 月 13 日に発効しています。

CIRCIA：72 時間、ただし未施行

2022 年重要インフラ向けサイバーインシデント報告法（CIRCIA）は、対象事業体に対し、対象となるサイバーインシデントを 72 時間以内、身代金の支払いを 24 時間以内にサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）へ報告することを求めることになります。これらの義務は CISA の最終規則が発効して初めて始まります。2026 年 10 月 31 日時点で最終規則は公表されておらず、CISA の CIRCIA ページは、最終規則の発効日までは CIRCIA に基づく報告は不要だとしています。業界メディアは、2025 年 10 月の法定期限を過ぎたのち、CISA が 2026 年 10 月 1 日に最終規則をホワイトハウスの行政管理予算局（OMB）の審査に送付したと報じています。官報で公表されるまでは、どのスケジュールも予測として扱ってください。

州のデータ漏えい法

米国の 50 州はいずれも独自のデータ漏えい通知法を持ち、発動条件も期限も異なります。全米州議会議員連盟（NCSL）が一覧を公開しています。ここではそれらを一つの数字にまとめません。一つの数字は存在しないからです。

各時計を並べて比較する

以下では、各制度を一行にまとめています。誰を拘束するか、何で時計が動き出すか、最初の期限、その後の報告です。期限の短い順に並べています。

• MAS テクノロジーリスク管理通知（シンガポール）： MAS の規制を受ける金融機関が対象。関連インシデントの発見で起算。遅くとも 1 時間以内に MAS へ通知。14 日以内に根本原因と影響の報告書。
• 2018 年サイバーセキュリティ法（シンガポール）： CII 所有者が対象（2025 年 10 月 31 日から範囲拡大）。認識した時点で起算。2 時間以内に CSA へ通知。14 日以内に補足情報。
• HKMA ガイダンス（香港）： 認可機関が対象。重大なインシデントの認識で起算。直ちに通知。固定の時間数なし。
• SFC 行為規範（香港）： 免許保有者・登録者が対象。重大なサイバーセキュリティインシデントを含む重大な違反やシステム障害の発生で起算。直ちに報告。固定の時間数なし。
• 第 653 章（香港）： 指定された重要インフラ事業者が対象。認識した時点で起算。重大なインシデントは 12 時間、その他は 48 時間。14 日以内に書面報告。
• 米国の銀行規則： 銀行組織が対象。通知対象インシデントの判断で起算。36 時間以内に規制当局へ通知。銀行サービス事業者は、4 時間以上の該当する中断の後、影響を受ける銀行顧客にできる限り速やかに通知。
• SEC Item 1.05（米国）： 上場企業が対象。重要性の判断で起算。4 営業日以内に提出。
• PDPA（シンガポール）： 個人データを持つ組織が対象。通報対象との評価で起算。3 暦日以内に PDPC へ通知。
• FTC セーフガード規則（米国）： ノンバンク金融機関が対象。500 人以上の消費者に影響する通知対象事象の発見で起算。30 日以内に通知。
• CIRCIA（米国）： 対象となる重要インフラ事業体を拘束する予定。対象インシデントは 72 時間、身代金の支払いは 24 時間。2026 年 10 月 31 日時点で未施行。
• PDPO（香港）： 2026 年 10 月 31 日時点で強制的な通報なし。PCPD のガイダンスに沿った任意の通報。

二つの点が際立ちます。第一に、このうち五つの時計は時間単位か「直ちに」であり、その五つはいずれも本レポートが対象とする規制業種、すなわち銀行、免許を持つ証券会社、その他の金融機関、重要インフラに適用されます。第二に、時間数を定めていない制度、つまり HKMA と SFC は、それによって緩いわけではありません。「直ちに」はどの数字よりも厳しいのです。

時計が IT サービス契約に意味すること

規制対象企業の時計が時間単位で動き、その認識がたいてい委託先から始まるのであれば、委託先との契約は企業の報告能力の一部です。規制対象でない顧客向けに書かれた通知条項、たとえば「不当な遅延なく」や 1 日単位の期限は、既定の条項としては妥当です。しかし上記の最初の五つの時計の対象となる顧客にとっては、それだけでは足りません。

実際に効くのは次の五つの条項です。規制対象の顧客の弁護士が確認するであろう条項であり、規制対象の顧客にサービスを提供する事業者が合意する準備をしておくべき条項です。

• 明確な検知義務。 契約に、事業者が何を監視するか（エンドポイント、メール、ID、ファイアウォール、クラウドのログ）、どの時間帯に監視するか、どのツールがアラートを出すかを書きます。通知条項の速さは、その背後の監視の速さで決まります。
• 顧客の最も短い規制上の期限より短い、事業者から顧客への通知時間。 顧客に適用される最も短い時計が 1 時間なら、事業者から顧客の指定窓口への通知は分単位である必要があります。12 時間なら数時間でも成り立つかもしれません。この数字は思い込みではなく、契約に書くべきものです。
• 営業時間外にも機能する、指定されたエスカレーション経路。 午前 2 時に共有メールボックスへ送られた通知では、誰の対応も始まりません。契約に、誰に、どの手段で、どの順番で連絡し、応答がない場合にどうするかを書きます。
• 証拠の保全と、事実に基づく初報。 事業者はログや影響を受けたシステムの証拠を保全し、顧客が自社の規制当局への報告にそのまま使える形で、短い事実の要約を提供します。報告するかどうか、何を報告するかは顧客が判断し署名します。
• その後の報告への協力。 第 653 章、MAS 通知、シンガポールの CII 規則はいずれも 14 日以内の書面報告を求めています。事業者の根本原因分析は、それに間に合うように届く必要があります。

二つ目の条項の手本として最も明確なのは、米国の銀行規則です。事業者に時間数を示すのではなく「できる限り速やかに」と求め、発動条件を定義しています。米国の銀行顧客のためにこの基準を受け入れている事業者は、この条項が書けること、そして運用できることをすでに示しています。

コスト

分単位の通知時間を契約に書いても、午前 2 時に誰かが見ていなければ意味がありません。そのため報告の時計は、法律の問題であると同時に製品の問題でもあります。24 時間 365 日の検知、セキュリティ運用の機能、エスカレーションの当番体制はいずれもコストのかかるサービスであり、条項に「直ちに」と書いてもコストは消えません。インシデントが起きたときにどれだけの費用がかかるかは、サイバーセキュリティインシデントのコスト上昇が IT 事業者と利用企業に意味すること で扱っています。本レポートは請求書ではなく、法律上の時計についてのものです。

香港の場合：三つの買い手、三つの異なる時計

香港は本レポートの中心であるため、同じ事業者との関係が三つの異なる時計を伴いうることを示しておきます。

• 免許を持つ資産運用会社（SFC 第 4 種／第 9 種）： 行為規範により時計は「直ちに」です。SFC は社内調査の完了を待って報告すべきではないとしているため、委託先は確定した時点ではなく、疑いが生じた時点で通知する必要があります。
• 銀行にサービスを提供するフィンテック企業： 自社は認可機関ではありませんが、顧客の銀行はそうであり、銀行の「直ちに」はフィンテック企業のサプライヤー契約に現れます。その委託先の通知時間が、銀行の報告の連鎖の最初の一環になります。
• 指定された重要インフラ事業者の IT・設備ベンダー： 自社は指定されていませんが、事業者の第 653 章に基づく 12 時間の時計が自社の契約に組み込まれます。自社の IT 事業者は、同じ連鎖のさらに一歩後ろに位置します。

三つのいずれの場合も、企業自体の規模は関係ありません。時計を決めるのは、誰の規制を受けているか、誰に納入しているかです。

Brocent 自身の立場

Brocent は、時計が求める検知とエスカレーションを販売している企業です。この節はその前提でお読みください。

規制対象のお客様については、Brocent はインシデントの報告とエスカレーションの時間を、標準のサービス条件とは別に、お客様ごとのオーダーフォーム（Order Form）で取り決めています。オーダーフォームでは、そのお客様に実際に適用される規制上の時計に照らして事業者からお客様への通知時間を設定し、エスカレーションの連絡先と時間帯を定め、お客様が受け取る証拠と初報の内容を明記します。「直ちに」の報告義務を負う免許法人と、規制対象でない商社とでは、必要な条項も、実際に合意する条項も異なります。

当社が公開している サービスレベル には、優先度ごとの初動対応、オンサイト、解決の目標と、8×5 の営業時間サポートと 24 時間 365 日サポートの違いを記載しています。分単位の通知条項は、その背後に 24 時間 365 日のサポートがあって初めて意味を持ちます。継続的な検知は セキュリティオペレーションセンター（SOC）サービス と SIEM で提供しており、お客様ごとに範囲を定めてお見積もりします。マネージド IT プランとの関係は SOC と SIEM に関する FAQ で説明しています。香港のお客様は 香港の IT サポートページ でプランの内容をご確認いただくか、香港向けの見積もり を取得できます。シンガポールのお客様は シンガポールの IT サポートページ からご覧ください。

当社が行わないこともあります。お客様に代わって規制当局へ報告すること、証券法上インシデントが重要かどうかを判断すること、どの制度が適用されるかについて法的助言をすることです。これらの判断はお客様と顧問弁護士に委ねられます。

本レポートが主張しないこと

• 法的助言ではなく、特定の企業にどの制度が適用されるかを述べるものではありません。
• ここでの要約が各制度を網羅しているとは主張しません。いずれの制度にも、実際のインシデントで重要になる定義、基準、適用除外があります。
• 中国本土のインシデント報告規定は対象外のため比較していません。
• CIRCIA のスケジュールを事実として述べてはいません。2026 年 10 月 31 日時点で規則は施行されていません。
• PDPO の改正を法律として述べてはいません。2026 年 10 月 31 日時点では提案の段階です。
• 平均検知時間やインシデントのコストに関する統計は示していません。それらは上記リンク先のインシデントコストのレポートの範囲です。

よくある質問

香港のサイバーインシデント報告要件は何ですか？

企業の種類によって異なります。第 653 章で指定された重要インフラ事業者は、重大なインシデントを 12 時間以内、その他を 48 時間以内に報告し、14 日以内に書面報告を提出しなければなりません。HKMA の認可機関は、重大なインシデントを認識したら直ちに HKMA に通知することが求められます。SFC の免許法人は、重大なサイバーセキュリティインシデントを含む重大な違反やシステム障害を直ちに報告しなければなりません。PDPO のもとでは、2026 年 10 月 31 日時点でプライバシーコミッショナーへの漏えい通報は任意です。

重要インフラ（コンピューターシステム）保護条例は自社に適用されますか？

自社が重要インフラ事業者に指定されている場合に限られます。従業員 30〜300 名規模の企業のほとんどは指定されません。ただし指定事業者に IT やその他のサービスを提供している場合は、影響を受ける可能性があります。指定事業者は第三者に依存するシステムのセキュリティを管理することが求められ、その 12 時間の時計がサプライヤー契約に現れるからです。

シンガポールで最も短い報告期限はどれくらいですか？

MAS の規制を受ける金融機関では、MAS のテクノロジーリスク管理通知により、関連インシデントの発見からできる限り速やかに、遅くとも 1 時間以内の通知が求められます。2018 年サイバーセキュリティ法の CII 所有者は、認識してから 2 時間です。

CIRCIA の 72 時間報告ルールは施行されていますか？

2026 年 10 月 31 日時点では施行されていません。CIRCIA の 72 時間（対象インシデント）と 24 時間（身代金の支払い）の義務は、CISA の最終規則の発効によって始まり、CISA もそれまでは報告は不要だとしています。

規制対象の顧客向けに、IT サービス事業者のインシデント通知条項には何を書くべきですか？

最低限、事業者が何をどの時間帯に監視するか、顧客に適用される最も短い規制上の期限より短い事業者から顧客への通知時間、営業時間外にも機能する指定されたエスカレーション経路、証拠の保全と事実に基づく初報、その後の報告への期限内の協力です。米国の銀行規則がサービス事業者に課している義務は、有用な手本になります。

Brocent が当社に代わって規制当局へ報告してくれますか？

いいえ。報告基準に該当するかどうかは規制対象の企業自身が判断し、自ら報告します。規制対象のお客様について Brocent が担う役割は、オーダーフォームでお客様ごとに取り決めたうえで、検知し、合意した時間内に指定窓口へエスカレーションし、証拠を保全し、報告に必要な事実を提供することです。

香港は強制的なデータ漏えい通報を導入しますか？

2020 年から提案されていますが、2026 年 10 月 31 日時点で、これを実施する改正条例案が立法会に提出されたことは確認できていません。PCPD への通報は、2023 年 6 月のガイダンスに沿った任意のものです。立法会の条例案一覧で動向を確認してください。

出典

各制度の状況は 2026 年 10 月 31 日時点のものです。香港：重要インフラ（コンピューターシステム）保護条例（第 653 章）と、その施行に関する香港特別行政区政府の 2025 年 6 月 27 日のプレスリリース。重要インフラ（コンピューターシステムセキュリティ）コミッショナー事務所の実務規範 1.0 版。HKMA の 2010 年のインシデント対応・管理手続きに関する通達と 2024 年のプレスリリース。SFC 行為規範第 12.5 項、2017 年の免許法人向け通達、「2023/24 年度 免許法人のサイバーセキュリティに関するテーマ別レビュー報告書」（2025 年 2 月 6 日）。PCPD のデータ漏えいの対応と通報に関するガイダンス（2023 年 6 月）と、2024 年・2025 年の通報件数に関する PCPD の声明。政制及び内地事務局が 2020 年に立法会憲制事務委員会に提出した文書。シンガポール：2018 年サイバーセキュリティ法と 2018 年サイバーセキュリティ（重要情報インフラ）規則。2024 年サイバーセキュリティ（改正）法の施行に関する CSA のプレスリリース。MAS のテクノロジーリスク管理通知。2012 年個人データ保護法と 2021 年個人データ保護（データ漏えい通報）規則。米国：SEC Release No. 33-11216（2023 年）と SEC スタッフの声明（2024 年 5 月）。OCC、連邦準備制度、FDIC のコンピューターセキュリティインシデント通知規則（2021 年制定、2022 年発効）。FTC セーフガード規則の改正（2024 年 5 月 13 日発効）。2022 年重要インフラ向けサイバーインシデント報告法と CISA の CIRCIA ページ。NCSL による州のセキュリティ侵害通知法の一覧。