SAKURA法律事務所 代表弁護士 道下剣志郎 Legal Update
2026年10月8日現在
SAKURA法律事務所 代表弁護士 道下 剣志郎
技術と情報の保護は、もはや企業内部の情報セキュリティ対策にとどまらず、政府の保有する機微な情報を必要とする事業への参画可能性、研究開発の進め方、海外資本との提携及び企業買収後の事業継続にも影響する問題となっている。2025年5月16日に主要規定が施行された重要経済安保情報の保護及び活用に関する法律（令和6年法律第27号。以下「重要経済安保情報保護活用法」という。）は、経済安全保障上、特に秘匿する必要がある一定の情報について、政府による指定、一定の事業者への提供、取扱者の制限及び適性評価を制度化した。
もっとも、この制度を、企業が任意に申請して取得できる一般的な情報セキュリティ認証と理解することは正しくない。まず行政機関が、国の安全保障の確保に資する活動のため、特定の事業者に重要経済安保情報を利用させる必要があると判断し、その事業者について情報保全体制等の認定審査が行われる。個々の従業者が情報を取り扱うには、さらに適性評価その他の要件を満たす必要がある。情報の指定、事業者の認定、個人の適性評価、契約に基づく取扱権限は、それぞれ別個の手続である。
内閣府は2025年に統一的な運用基準と行政機関向け・適合事業者向けのガイドライン、適性評価に関するQ&Aを公表した。2026年6月26日に公表された初回の国会報告では、2025年5月16日から同年12月31日までの間について、9機関による指定20件、2機関による適性評価18件、適合事業者の認定0件が報告されている。ただし、これらは2025年末までの実績を示す数値であり、2026年10月現在も認定が存在しないことを意味しない。制度の現実の運用と、各企業の認定可能性は峻別しなければならない。
本稿では、重要経済安保情報の指定範囲と事業者への提供の必要性から出発し、適合事業者の認定、外国資本や役員構成の評価、従業者の同意と適性評価、政府契約及び社内規程、漏えい時の対応、共同研究・クロスボーダー取引・M&Aにおける条件設計までを、企業経営上の一連の意思決定として検討する。
本稿の要旨
重要経済安保情報保護活用法の対象は、企業が秘密として管理する情報一般ではない。重要経済基盤に関する情報のうち、行政機関の所掌事務に係り、公になっておらず、その漏えいが安全保障に支障を及ぼすおそれがあるため特に秘匿する必要がある情報を、行政機関の長が法定の要件に基づいて指定する。重要技術、共同研究成果又は営業秘密であるというだけで、この法律上の指定が当然に生じるものではなく、外為法上の技術移転規制や不正競争防止法上の営業秘密保護とも適用要件は異なる。
適合事業者の認定は、行政機関による情報提供の必要性の判断を出発点とする。認定審査では、外国からの所有、支配又は影響の有無、保護責任者の能力、教育体制及び施設設備の保全能力等が検討される。議決権の5％超を直接保有する者、役員、外国取引に係る売上高等の情報が収集されるが、これらの情報収集項目を直ちに単純な外資比率の禁止基準と読み替えてはならない。政府契約に伴う情報保全措置と、その後の株主・役員等の変更管理までを含めて実務を構築することが必要である。
従業者の適性評価は、企業の人事評価や一般的なバックグラウンドチェックではない。行政機関の長が、本人の同意を得た上で、原則として内閣府が一元的に行う調査を踏まえて実施する。本人には同意しない自由があり、不同意を理由とする不利益取扱いや理由の詮索は禁じられる。適性評価に関する個人情報の利用目的と開示範囲は厳格に制限されるため、企業は、アクセス権限を管理する必要性と、調査過程の私生活情報を把握することを混同してはならない。
政府から情報の提供を受ける事業者には、保護責任者、業務管理者、教育、立入制限、電子機器や携帯端末の取扱い、保管・複製・運搬・閲覧・伝達の記録、事故発生時の報告及び返却・廃棄等の措置が求められる。一般的なNDAで関連会社や再委託先への共有を包括的に認めていても、法令・認定・政府契約の権限を超える開示は正当化されない。出資、取締役交代、事業統合、海外拠点へのシステム移管等は、認定時の前提を変える可能性があり、M&AのデューデリジェンスとPMIでも独立した検討対象となる。
本制度は、官民間で一定の機微情報を適切に共有するための枠組みであって、政府契約の受注、外国政府情報へのアクセス又は技術輸出の許可を自動的に付与するものではない。企業に必要なのは、何が指定情報であり、誰にどの目的で提供され、どの従業者が、どの場所と設備で取り扱い、環境の変化をどのように報告するかを、法令、政府契約、社内統制の三層で説明できる体制である。
第1章 重要経済安保情報の指定――営業秘密との境界と制度の目的
重要経済安保情報保護活用法は、2024年5月10日に成立し、同月17日に公布され、2025年5月16日に主要規定が施行された。同法の目的は、重要経済基盤に関する情報のうち、我が国の安全保障の確保のため特に秘匿する必要があるものを適切に保護した上で、収集、整理及び活用することである。典型的には、重要インフラや重要物資のサプライチェーンに関する脆弱性、サイバー攻撃の脅威や対策に関する一定の情報が問題となり得る。しかし、「国家戦略上重要な産業に属する情報」というだけで法の対象になるわけではない。
法第3条及び内閣府の運用基準・行政機関向けガイドラインによれば、指定には、当該行政機関の所掌事務に係る重要経済基盤保護情報であること、非公知であること、漏えいが安全保障に支障を与えるおそれがあるため特に秘匿する必要があることという要件がある。指定権限を有する行政機関の長が対象を特定し、指定の有効期間を設定する。期間は原則5年以内とされ、延長の制度はあるものの、原則として通算30年を超えない。特定秘密保護法による特定秘密等とは指定対象を区別する制度設計も採られている。したがって、受領した資料が何の根拠で指定され、いつまで、誰の管理に服するかの確認が入口となる。
この区別は、共同研究契約、大学との産学連携、知的財産の共同出願及び国際ライセンスの実務で重要となる。研究成果が第三者に流出しては困るという事情があっても、直ちに本法の適性評価制度を導入できるわけではない。営業秘密の要件を満たす情報には不正競争防止法、規制技術の移転には外為法、従業員情報には個人情報保護法がそれぞれ適用される。反対に、行政機関が本法に基づいて指定した情報を、一般的な秘密保持契約に従えば再開示できると理解することも許されない。企業が採用すべきなのは、機密情報を一括して「重要情報」と名付けることではなく、法的根拠ごとに取扱いの権限と制約を仕分ける情報分類である。
同法は、秘密を単に閉じ込めるのではなく、適切な保全を前提に、重要経済基盤の脆弱性解消や研究開発等に資する情報を産業界に活用させることも予定する。そのため、政府からの情報提供には目的と必要性が求められ、企業の認定、取扱者の限定、契約等がその条件となる。政府の初回年次報告によると、2025年中に9機関で20件の指定が行われ、そのうち1件は同年中に解除された。2025年末に指定が継続していたのは19件である。この数値は、行政機関が現に指定を実施していることを示すが、個別の民間プロジェクトにおいて情報が提供されることまでは証明しない。
したがって企業が最初に作成すべきものは、情報の名称の羅列ではなく、指定権者、指定対象、利用目的、契約主体、取扱担当部署、共同研究先及び外部専門家への開示の可否を結び付けた管理図である。情報の指定範囲が不明なまま包括的なセキュリティ義務を約束すると、必要のない高額な設備投資を行う一方、真に指定された情報に対する法定要件を見落とすおそれがある。対象範囲の正確な把握こそが、その後の認定・適性評価・契約の出発点となる。
第2章 適合事業者の認定――情報提供の必要性と会社の保全能力
適合事業者の認定を、企業が自由に申請して取得する信用格付けのようなものと考えることは誤りである。法第10条に関する内閣府の適合事業者向けガイドラインは、行政機関が、特定の事業者に重要経済安保情報を利用させる必要があるかを判断することを前提としている。情報提供の必要性が認められた後、事業者との調整を経て認定申請及び保全能力の審査が行われる。ガイドラインはNeed to Knowの原則を明示し、政府からの提供の必要性と無関係に、一般的な信頼性を確認する目的で認定を行うものではないとする。事業者が独自に設備を整えても、それだけで指定情報の提供を受ける権利は生じない。
認定の審査では、政令に基づく必要な規程の整備と、規程に従って適切な保護が可能であることが問われる。運用基準及びガイドラインは、事業者の所有・支配・影響の状況、責任者の知識と権限、継続的な教育、保護区画と施設設備の実効性を考慮要素として掲げる。政府契約のひな型では、保護責任者による全般的な指導監督と、業務管理者による個々の取扱場所の管理が区別される。情報の閲覧・伝達・複製・保管を事後的に検証できる仕組みが必要であり、一般的な情報セキュリティ認証を保有することだけでは、これらの要件への適合を当然には意味しない。
外国資本に関する検討は、海外投資家や上場企業にとって特に重要である。運用基準は、株主及び役員の状況からみて、会社の意思決定に外国の所有、支配又は影響がないと認められるかという観点を掲げる。申請時には、議決権の5％超を直接保有する者、役員の国籍等、外国との取引に係る売上高の割合などが問題となる。これらの開示項目を、たとえば外資が一定比率を超えれば一律に認定不可という単純な数値基準へ置き換えることは適切ではない。外国資本との関係、経営への実質的影響、実施可能な情報保全措置を、具体的な会社の構造に即して検討する必要がある。
将来の情報提供が想定される事業者は、政府からの接触を待つしかないという意味で準備を止めるべきではない。実質的な株主情報と経営体制の把握、保護責任者の選任、社内規程案の整備、保護区画・保管容器・電子機器の設計、教育資料及び事故発生時の対応手順を事前に準備することには十分な意味がある。ただし、それらはあくまで認定に備える活動であり、認定が保証されるわけではない。むしろ案件設計の段階で、政府から指定情報を受け取る必要が本当にあるのか、非指定情報の範囲で開発や業務提供が可能かを検討することによって、取引のコストとリスクを合理的に配分できる。
認定後も審査時の前提が固定されるわけではない。内閣府のひな型契約及びガイドラインは、一定の申請事項の変更について事前審査や報告を予定し、変更前の審査が困難な場合等の扱いも設ける。株主、取締役、外国事業との関係、責任者、保護区画、教育資料等が変わるとき、担当部署だけでなく法務、総務、経営企画及びM&Aチームが早期に連携しなければならない。認定を維持する問題は、情報システム部門だけに委ねられる一過性の申請業務ではなく、会社法上の意思決定や事業再編とも結び付く継続的な企業統治の問題なのである。
第3章 従業者の適性評価――本人同意と人事情報の目的外利用の限界
事業者の認定は、所属する従業者全員に秘密情報へのアクセスを与えるものではない。法第12条は、重要経済安保情報の取扱業務に従事することが見込まれる者について、行政機関の長が適性評価を実施する仕組みを設ける。その基礎となる調査は原則として内閣府が一元的に行う。法の目的は、指定情報を取り扱った場合に漏えいさせるおそれがないことを確認することであり、一般的な人格評価や能力査定を行うことではない。法第11条にいう10年の期間は、評価を行った日から一律に数えるのではなく、第13条第1項による評価結果の本人への通知があった日を起算点とする。他の行政機関で実施された適性評価の利用には法第12条第7項・第8項の特則があるほか、一定の事情変更があれば再評価が問題となる。また、他の行政機関による直近の評価結果を利用できる場合があっても、転職先のあらゆる指定情報へ自動的にアクセスできるわけではない。
調査対象となる事項には、重要経済基盤毀損活動との関係、犯罪・懲戒の経歴、情報取扱い上の非違、薬物、飲酒、経済的状況等の法定事項が含まれる。また、外国の情報機関等からの働き掛けの有無を確認するため、一定の範囲で家族や同居人の氏名、生年月日、国籍、住所等が調べられる場合がある。しかし、企業が自らこれらの情報を網羅的に取得して良いということにはならない。内閣府の公式Q&Aは、調査主体、照会方法及び質問票の取扱いを区別しており、雇用主に認められる役割は、候補者の選定、必要な名簿の管理、行政機関との協力、通知に応じた取扱権限の管理に限られる部分が大きい。
本人同意は、単なる手続書類ではない。適性評価を受けることに同意しない者は同意書を提出する必要がなく、行政機関や適合事業者が不同意の理由を問いただしたり、不同意のみを理由として不利益な取扱いをしたりすることは禁止される。苦情申出に関する保護及び調査結果等の目的外利用の制限も設けられている。人事部門は、本人の意思を尊重した候補者選定と、必要なプロジェクトの人員配置とを別個の問題として管理すべきである。特定の社員に指定情報を扱わせることができなければ、会社は代替人員や業務分担を検討しなければならないが、その調整をもって不同意者への制裁とすることはできない。
グローバル企業においては、海外本社の人事データベースと情報の目的外利用との緊張が顕在化しやすい。海外親会社が適性評価の詳細理由、医療・財務情報、家族の情報を取得して人事上の意思決定に用いることは、通常のグループ内人事管理の延長では正当化できない。企業が知るべきなのは、ある社員が特定の情報取扱業務に従事するための法的要件を満たしているかという業務上必要な範囲であって、行政による調査の全過程ではない。適性評価に関する個人情報については、アクセスの限定、保存期間、目的外利用防止及び相談窓口を設計し、ラインマネジャーにもその趣旨を徹底する必要がある。
したがって、適性評価制度を実務に導入する際には、労務、プライバシー、情報保全を同時に設計する必要がある。必要な人員を候補者名簿に掲載することへの同意、公式調査への同意、評価結果の通知、アクセス権限付与、異動・退職時の解除を切れ目なく管理しつつ、保有してはならない情報を企業が抱え込まない仕組みが求められる。これを採用選考や昇進審査の一般的な「身元調査制度」に転用しないことは、制度の信頼性を維持するためにも重要である。
第4章 政府契約と情報管理――アクセス制御から事故対応までの実装
内閣府が公表した政府契約ひな型は、秘密保持義務を抽象的に定めるだけの文書ではない。保護責任者及び業務管理者の役割、教育の頻度、候補者名簿と適性評価者名簿、個人情報の管理、立入制限、携帯機器や電子機器の使用、文書の接受・保管・複製・運搬・閲覧・伝達の記録、検査、事故報告及び返却・廃棄を具体的に定める。適合事業者の社内規程も、その契約を実行できる内容でなければならない。情報管理の実効性は、一般的なセキュリティ方針の有無ではなく、現場で誰が何を実施し、記録によって検証できるかによって判断される。
一般的な業務委託契約やNDAでは、「関連会社、専門家、再委託先に必要に応じて開示できる」という広い条項が用いられることがある。しかし、指定された重要経済安保情報については、契約当事者が合意したからといって法定の取扱者・取扱場所・提供範囲を拡張できない。クラウドの保守事業者、海外拠点のシステム管理者、事故対応に当たる外部フォレンジック会社を関与させる場合にも、法令及び政府契約に照らして関与の可否と方法を確認する必要がある。指定情報を含むログやバックアップを全社共通のクラウドに自動転送する設計は、情報保全の条件に抵触する可能性がある。
実務上は、情報のライフサイクルを通じた追跡可能性を確保すべきである。受領時には指定権者、資料の管理番号、指定範囲及び利用目的を特定し、取扱者と保管場所を限定する。閲覧、複製、伝達、持出しについて必要な記録を残し、異動や退職に伴いアクセス権限を速やかに解除する。必要な教育を定期的に実施し、設備や記録を点検する。指定解除や契約終了時には返却、廃棄及び記録保存の要件が別途問題となる。通常の文書保存規程やデータ保持期間を、そのまま指定情報へ適用してはならない。
漏えい又はその疑いが生じた場合には、証拠の保全と拡散防止に加え、法令・政府契約に従った報告と関係機関との協議が必要となる。通常のサイバーインシデント対応では、外部調査会社によるログ収集や海外SOCへのデータ転送が予定されていることが多い。しかし、指定情報が混在する場合、その共有先に正当な取扱権限があるかが先決問題となる。事故が起きたとき初めて対応方針を協議するのでは遅い。誰が事実確認を行い、どの情報を切り分け、いつ行政機関へ連絡するかを、事前に整備する必要がある。
同法には一定の違法な漏えいに対する刑事罰も設けられ、政府の公式概要は5年以下の拘禁刑又は500万円以下の罰金若しくはその併科等を掲げる。もっとも、あらゆる情報管理上の過誤を直ちに当該犯罪の成立と同視することはできず、構成要件、主体、故意等を個別に検討する必要がある。刑事リスク、政府契約上の責任、民事責任及び行政対応を混同せず、事実関係の保全、取扱範囲の是正、関係者の役割分担及び再発防止を一体として組み立てることが、企業危機管理上の要点である。
第5章 外国資本・共同研究・M&A――認定要件を取引条件へ反映する
経済安全保障上の情報保全は、会社への投資や買収の適法性とは別に、その事業を買収後も継続できるかという問題を生じさせる。対象会社が政府から重要経済安保情報の提供を受けている場合、買主は、単に「必要な許認可を保有する」との表明保証を得るだけでは不十分である。認定の法的根拠、特定の行政機関との契約、情報の取扱目的、株主・取締役・保護責任者・取扱場所等に関する継続条件、取引実行に伴う変更の審査又は届出の要否を個別に確認する必要がある。外国投資家による資本参加が予定されている場合には、意思決定に対する外国の所有、支配又は影響をどのように評価するかが、取得価格やクロージングの可否にも影響する。
法務デューデリジェンスでは、取得すべき情報と取得してはならない指定情報を厳格に区別する。一般的なデータルームや競争法のクリーンチームにアクセスを限定したとしても、それだけで重要経済安保情報の閲覧権限は生じない。認定状況や管理体制について、秘密情報の実体を開示しない概要説明、適切に匿名化・抽象化した資料、行政機関との協議によって確認できる事項を中心に精査し、政府の許可が必要な内容を無断で買主やアドバイザーへ提供しない設計が必要である。情報の完全性を求める買主と、法令上提供できない売主との間に生じる情報の非対称性は、契約上のリスク配分で扱うべき問題となる。
株式譲渡契約等では、認定・政府契約の有効性、報告事項の正確性、既知の情報漏えい及び社内統制の状況について合理的な表明保証を検討し、必要に応じて行政機関への事前協議や保全体制維持をクロージング条件又は誓約事項に組み込む。株主・役員・設備等の変更が事前審査に服する場合、契約締結から実行までの中間期間における変更の管理も欠かせない。他方、会社が独自に申請すれば取得できる一般的な「施設クリアランス証明書」の発行を無条件の前提条件とするなど、制度に存在しない成果を義務付けることは避けなければならない。
国際共同研究やジョイントベンチャーでは、研究成果の帰属、特許出願、秘密保持、輸出管理に加え、政府から指定情報が提供される可能性を設計段階から織り込む必要がある。国内事業者が認定されたという事実により、外国の親会社、出資者、研究者が同じ情報を受領できるわけではない。指定情報を要する業務と、非指定情報を用いて海外共同研究者が実施できる業務を分離し、成果物の公開や論文発表についても必要な行政手続と照合する。外資規制や外為法上の事前届出、技術移転規制等は、それぞれ別個の法的要件で判断される。
買収後のPMIも同様である。統合による海外親会社への人事情報集約、契約書の一元管理、クラウド基盤の統合、保護区画の移転、外国籍の管理者の配置等は、当初の認定審査に関する事情を変更することがある。法務部門は、実行日前の協議だけでなく、統合後の継続的な変更監視の責任者を明確にしなければならない。指定情報を必要とする事業の価値は、その情報を取得・管理する法的条件を維持できることによって初めて実現するのである。
第6章 関連法令・ガイドラインとの交錯――技術流出対策とクリアランスの峻別
企業においては、経済安全保障上の重要性が高いという共通項だけで、性質の異なる法制度を一括して管理しがちである。不正競争防止法の営業秘密制度は企業が秘密として管理する技術・営業情報について一定の法的保護を認める。外為法は一定の貨物輸出や技術提供を規制する。個人情報保護法は情報の取得・利用・提供等に関する義務を定め、特定秘密保護法は別の類型の特定秘密に関する制度を設ける。重要経済安保情報保護活用法は、行政機関による指定と法令上の取扱枠組みを前提に機能する。いずれか一つの対策を講じれば他の制度の義務も満たしたことになるわけではない。
研究開発契約では、この違いを契約条項へ反映することが重要である。バックグラウンドIP、共同開発成果、一般の秘密情報、外為法上の規制技術、指定された重要経済安保情報を、それぞれ異なる管理区分として定義する。研究の進行中に行政機関から指定情報が提供されることになった場合には、開示対象、再委託、発表、出願、クラウド利用及び国外拠点へのアクセスについて再検討する手続を設ける。事業者が「研究成果は一定期間経過後に自由に公開できる」と約束していても、法令上の指定情報にはその条項を優先させることはできない。成果公開のための確認権者と確認手続をあらかじめ定めるべきである。
2026年4月に経済産業省が公表した技術流出対策ガイダンス第2版は、海外進出や人を通じた流出に加え、共同研究や発注・調達時のすり合わせに伴う技術流出リスクを扱う。また、同年1月には経済安全保障経営ガイドラインが公表された。これらは企業経営及び技術流出対策に関する行政のガイダンスであって、重要経済安保情報保護活用法上の指定・認定・適性評価に新たな刑罰構成要件を追加する法律ではない。その位置付けを混同せず、一般的な研究セキュリティ・海外事業管理の改善と、指定情報に係る厳格な取扱要件とを連携させることに価値がある。
外国の安全保障関連情報を取り扱う場合にも、本法に基づく日本の認定を、米国その他の国のクリアランスと機械的に同一視すべきではない。国際的な情報共有の可否は、関係国の法令や政府間の枠組み、個別契約等によって決まる。海外親会社が高度な情報セキュリティ認証を保有していても、日本で認定された事業者の政府情報を無条件に閲覧できることにはならない。逆に、日本法上指定されていない外国企業の秘密情報に、重要経済安保情報保護活用法の全手続を当然に適用することもできない。国際法務では、それぞれの法的根拠を特定した上で情報境界を設計する必要がある。
実効的な社内統制は、各制度の判断を一つに混同するのではなく、共通の案件受付から複数の専門審査へ接続する構造を持つ。大型の共同研究、政府調達、M&A又は海外技術ライセンスを検討するとき、法務、情報セキュリティ、輸出管理、知財、人事、経営企画が、どの情報がどの制度に該当し、誰が承認権限を持つかを記録する。公式な指定、輸出許可、NDA、個人情報の利用根拠、政府契約上の承諾は、いずれも別個の判断であることを維持したまま、案件全体として整合的な業務遂行を可能にすることが求められる。
第7章 取締役会・法務責任者が構築すべき継続的な情報保全ガバナンス
今後、重要経済安保情報の取扱いが想定される企業は、最初に、指定情報へのアクセスが実際に必要となる政府案件があるかを確認すべきである。担当行政機関、想定される情報の範囲、国の安全保障に資する活動と具体的な利用目的を明確にし、その上で保護規程、責任者、取扱候補者、施設設備、教育、政府との協議に必要な期間と費用を見積もる。認定が申請者の一方的な意思で取得できる制度ではない以上、営業段階で「一定期間内に必ずクリアランスを取得する」と保証することは避けるべきである。
続いて、取締役会が監督できる管理体制を設計する必要がある。法務・情報セキュリティ・人事・総務・経営企画の責任を明確にし、株主及び取締役の変動、外国事業との関係、保護区画、外部委託やクラウド変更等の情報が、認定を管理する部署へ事前に届く仕組みを整える。人事上は、候補者選定、本人への説明、同意、行政機関からの通知、教育及びアクセス権限の付与・解除を連動させるとともに、調査過程の詳細情報を不必要に収集しない。認定の取得時点だけでなく、会社の変化に対応できる管理が必要となる。
企業取引においては、政府契約、共同研究契約、再委託契約、金融契約及び株式譲渡契約の間に矛盾を生じさせないことが重要である。指定情報を開示できないことに伴う買主の情報不足は、適切な表明保証、規制上の協力義務、クロージング条件及び価格調整の検討によって処理する。外国資本による出資やM&Aでは、政府側の法定判断を私人間の契約で代替できないことを前提に、必要な行政協議と事業継続計画を作成する。案件の終了後は、認定に影響する事項の変更監視をPMIや通常のコンプライアンスへ移管する。
取締役会に提出すべき情報も選別される。必要なのは、指定された情報の実体や従業者の調査資料を広く配布することではない。指定範囲と取扱目的、認定状況及び条件、権限者の管理、教育や検査の実績、報告を要する変更、事故対応体制等を、情報保全に反しない範囲で要約して報告する。監督の証拠を残しつつ、監督のために秘密情報や個人情報が不必要に拡散することを避けなければならない。
政府の2026年6月公表報告では、2025年の対象期間について、指定や適性評価が実施される一方、適合事業者認定は0件であり、表示等に関する是正の求めも報告された。これは制度が停止していることを示すものではなく、行政の指定・管理と外部の認定・情報共有とを別々に把握する必要性を示している。2026年以降の運用状況は、今後の公式報告や個別行政機関の判断を確認しなければならない。事業者が目指すべきなのは「クリアランスを取得した企業」という広告的な肩書ではなく、法的に許された場合に限って必要な指定情報を受領し、適正に保全・活用できる能力を、継続的な証拠によって示せる企業統治である。
FAQ（よくある質問）
Q1 重要経済安保情報保護活用法はいつ施行されたのか。
2024年5月17日に公布され、主要規定は2025年5月16日に施行された。経済安全保障分野で特に秘匿を要する情報の指定、事業者への提供、取扱者の制限及び適性評価を定める法律である。
Q2 企業の営業秘密や研究データは、すべて重要経済安保情報になるのか。
ならない。法定の要件を満たす情報について、権限のある行政機関の長による指定が必要である。一般の営業秘密、輸出管理対象技術、個人情報等の制度とは別個に判断する。
Q3 外国資本が入っている日本企業は適合事業者になれないのか。
外国の所有、支配又は影響は認定審査上の重要な考慮事項であるが、単一の外資比率だけで一律の結論を導くのは適切ではない。株主・役員・事業実態と保全体制を踏まえ、所管行政機関の具体的判断を確認する必要がある。
Q4 政府案件がなくても適合事業者の認定を自由に申請できるのか。
行政機関が当該事業者に指定情報を利用させる必要性を認めることが手続の出発点であり、一般的な認証制度として独立に認定を求める仕組みではない。企業は規程や設備等の事前準備を進めることはできる。
Q5 適合事業者に認定されれば社員全員が指定情報を閲覧できるのか。
できない。組織としての認定と個人の適性評価は別であり、適切な評価を受けた者であっても、所定の取扱業務と必要性の範囲でのみアクセスが認められる。
Q6 従業員は適性評価を拒否できるのか。
本人同意が必要であり、同意しない自由がある。内閣府の公式Q&Aは、不同意の理由を問いただすこと及び不同意を理由とする不利益取扱いを禁止している。企業はその保護を踏まえて要員配置を考える必要がある。
Q7 適性評価の病歴や経済状態を勤務先人事部が自由に確認できるのか。
できない。調査は所定の行政手続で行われ、企業が取得・利用できる情報も法令と運用基準、契約によって限定される。職務上の権限管理と調査資料の入手は区別すべきである。
Q8 適性評価は10年間有効で、転職後も自由に使用できるのか。
法第11条は、原則として適性評価結果の本人への通知日から10年を経過していないことを求めます。事情変更による再評価や他機関の結果の利用については法第12条の所定の要件があり、10年以内であることだけで転職先の認定、情報ごとの取扱いの必要性やアクセス権限が自動的に認められるものではありません。
Q9 海外親会社やクラウド事業者に指定情報を共有してよいか。
通常のグループ間契約やNDAの許諾だけでは足りない。行政機関との契約、認定条件、取扱者と取扱場所、再委託及び電子機器の制限に従い、共有可能性を個別に確認する必要がある。
Q10 M&Aで認定事業者の株主や取締役が変わる場合、何が問題になるか。
変更事項について報告・審査が必要となる場合があり、認定時の外国による所有、支配又は影響及び情報保全体制の評価が変わり得る。DD、SPA、クロージング及びPMIに行政協議と情報管理を組み込むべきである。
Q11 指定情報を漏えいした場合の刑罰はどの程度か。
一定の漏えい行為について、政府の公式概要は5年以下の拘禁刑又は500万円以下の罰金若しくは併科等を示している。具体的な犯罪の成否は主体、行為態様及び法定要件に基づいて判断する。
Q12 2026年6月の国会報告で適合事業者認定が0件とされたのは現在も同じなのか。
0件は2025年5月16日から12月31日までという報告対象期間の実績である。2026年10月現在の認定数を示すものではない。最新状況は今後の公式報告や所管行政機関の情報によって確認する必要がある。
代表弁護士 道下剣志郎「Legal Update」について
SAKURA法律事務所及び代表弁護士 道下剣志郎は、企業法務、M&A、プライベート・エクイティ、国際取引・紛争、金融規制、企業統治、危機管理、経済安全保障、AI・データ、知的財産その他企業の重要な経営判断に関わる法的課題について、一次資料に基づく「Legal Update」を継続的に公表している。本シリーズは、法令、政令、行政指針、裁判例その他の制度的根拠の違いを正確に捉え、その解説を契約、社内管理、取引及び紛争対応の実務に結び付けることを目的とする。事務所及び執筆者に関する情報は、SAKURA法律事務所公式サイト及び代表弁護士 道下剣志郎のプロフィールページに掲載している。
関連情報：SAKURA法律事務所公式サイト ／ 代表弁護士 道下剣志郎プロフィール
SAKURA法律事務所に相談できる事項
SAKURA法律事務所では、重要経済安保情報保護活用法の適用範囲、適合事業者の認定に備える情報保全体制、政府契約及び社内規程の検討、適性評価に関わる同意・個人情報・労務問題、研究開発・調達・再委託契約、技術流出対策、外国資本と会社支配の検討、M&A・JV・資金調達における情報保全リスク、危機対応等について、関係する法制度と実務を横断して相談を受けることができる。具体的な指定、認定又は適性評価については、所管行政機関の判断及び技術的な保全体制との整合性が必要であり、法律事務所が行政上の認定や評価を代替し、結果を保証するものではない。
お問い合わせ
SAKURA法律事務所
〒106-0032 東京都港区六本木一丁目4番5号 アークヒルズサウスタワー4F
代表弁護士 道下 剣志郎
主な参考資料
1. e-Gov法令検索｜重要経済安保情報の保護及び活用に関する法律（令和6年法律第27号）
2. e-Gov法令検索｜重要経済安保情報の保護及び活用に関する法律施行令（令和7年政令第26号）
3. 日本法令外国語訳データベース｜重要経済安保情報保護活用法の概要（公式英語資料）
4. 内閣府｜重要経済安保情報保護活用法（制度・公表資料総覧）
6. 内閣府｜指定・解除、適性評価及び適合事業者認定に関する統一的運用基準（令和7年1月31日閣議決定）
7. 内閣府｜重要経済安保情報保護活用法の運用に関するガイドライン（適合事業者編）
8. 内閣府｜重要経済安保情報保護活用法の運用に関するガイドライン（行政機関編）
10. 内閣府｜重要経済安保情報の提供と管理の流れ（説明資料）
14. 内閣府｜適合事業者認定申請書様式
15. 内閣府｜2026年6月公表 国会報告の概要（2025年5月16日〜12月31日）
17. 内閣府｜国会報告の公表ページ
21. 内閣府｜重要経済安保情報保護活用諮問会議（2026年6月開催資料を含む）
22. 内閣府｜重要経済安保情報保護活用委員会（2026年6月開催資料を含む）
23. 経済産業省｜技術流出対策ガイダンス第2版（2026年4月27日公表）
24. 経済産業省｜経済安全保障政策・経済安全保障経営ガイドライン（2026年1月公表）
25. NEDO｜研究開発事業における技術流出防止策（2026年3月27日）
26. e-Gov法令検索｜特定秘密の保護に関する法律（平成25年法律第108号）
免責事項
本稿は2026年10月8日時点に公表されている重要経済安保情報保護活用法、施行令、統一的な運用基準、内閣府の各ガイドライン・Q&A及び2026年6月公表の国会報告等の公的な一次資料に基づく一般的な法律情報であり、個別の案件についての法律意見又は行政上の認定可能性を示すものではない。行政機関による指定、適合事業者の認定、適性評価、取扱者の制限及び情報提供の可否は、適用法令、行政機関の判断、政府契約及び個別事情によって異なる。
また、本文で言及した内閣府・経済産業省のガイドライン、Q&A、ひな型は、それぞれ法令との位置付けが異なり、法的義務や刑罰を機械的に追加するものではない。2026年6月の国会報告で示した数値は2025年の報告対象期間の実績であり、2026年10月現在の最新数値を意味しない。情報の提供、従業員の同意及び取扱い、国外移転、共同研究、投資、企業買収等に着手する場合には、最新の公式資料と所管機関の扱いを確認し、具体的事情に基づいた検討を要する。