----------------------------------------------------------------------
EU・英国、ロシアへ初の同時サイバー制裁（7/28配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・欧州委員会、サイバーセキュリティとAIに関する行動計画を発表
・EU・英国、ポーランド電力網への攻撃未遂を受けロシアに初の同時サイバー制裁
・米国国防総省、防衛調達のサイバー認証「CMMC」フェーズ2の実施を停止
・欧州ENISA、中小企業のCRA準備状況調査と成熟度自己評価モデルを公表
・シンガポールCSA、重要情報インフラ向け実務規範の改訂とクラウド版の新設を発表
・欧州ENISA、マネージドセキュリティサービスのEU認証制度案の意見募集を開始

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2026年7月7日 欧州委員会、サイバーセキュリティとAIに関する行動計画を発表
欧州委員会は、AIとサイバーセキュリティに関するEUの取り組みを統合する「サイバーセキュリティ・AI行動計画」を発表した。先端AIがサイバー防御の高度化に資する一方、脆弱性の発見や攻撃の自動化・大規模化にも悪用され得るという二面性を踏まえ、（1）先端AIの安全な利用の促進 （2）EUのサイバーレジリエンス強化 （3）サイバーセキュリティ分野における欧州のAI能力の拡大 の3つの目標を掲げる。
具体策として、EU独自のAIモデル評価能力の整備、安全なテスト基盤の構築、重要なオープンソースソフトウェアのレジリエンス強化キャンペーン、AI・サイバー分野への新たな資金支援などを挙げ、欧州連合サイバーセキュリティ機関（ENISA）や加盟国と連携して実施する。
行動計画は新たな法的義務を課すものではなく、AI法（AI Act）、NIS2指令、サイバーレジリエンス法（CRA）など既存の法枠組みの上に調整・支援の仕組みを重ねるものと位置づけられている。
https://digital-strategy.ec.europa.eu/en/news/commission-presents-eu-action-plan-cybersecurity-and-artificial-intelligence

2026年7月13日 EU・英国、ポーランド電力網への攻撃未遂を受けロシアに初の同時サイバー制裁
EUと英国は、ロシアの悪性サイバー活動に対する制裁パッケージを同時に発動した。両者が協調してサイバー制裁を科すのは初である。2025年12月にポーランドのエネルギーインフラを狙い、冬季に約50万人の電力供給を脅かした攻撃未遂について、ロシア連邦保安庁（FSB）第16センターの犯行と公式に帰属させた。EUは9個人・4団体を制裁対象とし、英国はロシア軍参謀本部情報総局（GRU）の幹部、サイバー犯罪者の募集ネットワーク「IMPULS」、偽情報企業Rybarの関係者、情報窃取型マルウェア「Lumma Stealer」の関係者など24の個人・団体を指定した。フランスとドイツは自国駐在のロシア大使を召喚した。
また、同日に米国・英国・フランス・イタリア・エストニア・フィンランド・ポーランド・スウェーデン・チェコ・デンマーク・オーストラリア・カナダ・ニュージーランドの13カ国19機関は、FSB第16センターによるネットワーク機器の標的化に関する共同勧告を公表した。同センターは通信・防衛・エネルギー・金融・政府・医療の各分野を狙い、SNMPの初期設定や脆弱なパスワードの探索、Cisco機器の脆弱性や「Smart Install」機能の悪用により重要インフラのルーター等へ侵入している。
https://www.gov.uk/government/news/uk-and-eu-strike-russian-cyber-networks-with-new-sanctions
https://www.ncsc.gov.uk/news/uk-and-allies-urge-critical-sectors-to-improve-defences-against-russian-intelligence-targeting
https://therecord.media/russia-blamed-for-poland-grid-cyberattack-in-joint-uk-eu-sanctions-package

2026年7月13日 米国国防総省、防衛調達のサイバー認証「CMMC」フェーズ2の実施を停止
米国国防総省は、防衛契約企業に段階的なサイバーセキュリティ認証を義務付ける「サイバーセキュリティ成熟度モデル認証（CMMC）」について、2026年11月10日に開始予定だったフェーズ2の実施を停止すると発表した。フェーズ2では、管理対象非機密情報（CUI）を扱う契約の受注条件として、レベル2の第三者評価が広く義務付けられる予定だった。
国防総省は停止の理由として、承認済みの第三者評価機関が約100にとどまる一方で認証を要する企業が10万社を超えるという評価能力の不足や、年間約70億ドル（約1兆900億円）と見積もられる産業界のコンプライアンス負担を挙げた。新設の「CMMC改革タスクフォース」が60日以内に見直し結果をまとめるほか、情報提供依頼（RFI）を通じて産業界の意見を募る。
停止期間中も、米国国立標準技術研究所（NIST）のSP 800-171改訂2版に基づく自己評価と政府主導の選択的評価による既存のサイバーセキュリティ義務は継続する。
https://defensescoop.com/2026/07/13/dod-halts-cmmc-cybersecurity-requirements-phase-2/
https://www.nationaldefensemagazine.org/articles/2026/7/13/breaking-pentagon-suspends-phase-2-of-cmmc-program

2026年7月13日 欧州ENISA、中小企業のCRA準備状況調査と成熟度自己評価モデルを公表
ENISAは、CRAに対する中小企業（SME）の準備状況に関する調査報告書と、「SMEサイバーレジリエンス成熟度評価モデル」を公表した。調査は2026年2月から3月にかけて31カ国の194組織を対象に実施した。
調査では、回答者の66%がCRAを認知する一方で実務要件の理解は不十分であり、特に小規模企業ではインシデント対応と製品ライフサイクル管理が弱点となった。7割超が技術文書やセキュア開発のテンプレートといった支援を求め、資金面の支援の必要性も多く挙げられた。評価モデルは、ガバナンス、リスク管理、脆弱性管理、製品ライフサイクル、スキルの5領域を3段階の成熟度で自己評価するもので、Excel形式のツールとして提供される。
CRAは2026年9月11日から悪用された脆弱性・重大インシデントの報告義務の適用が始まり、2027年12月に全面適用となる。
https://www.enisa.europa.eu/news/where-do-smes-stand-in-preparing-for-the-cyber-resilience-act

2026年7月22日 シンガポールCSA、重要情報インフラ向け実務規範の改訂とクラウド版の新設を発表
シンガポール・サイバーセキュリティ庁（CSA）は、重要情報インフラ（CII）事業者向けの「サイバーセキュリティ実務規範（CCoP）」を年内に改訂すると発表した。2022年以来の改訂で、APT（高度持続的脅威）とAIを悪用した脅威への対応を柱とする。フロンティアAIの登場により脆弱性の発見が高速化し、悪用までの猶予が短くなっていることを背景に挙げた。
改訂版では、取締役会に対し、リスク許容度、リスクの低減・移転、復旧までを網羅するサイバーレジリエンスの枠組みを文書化し、少なくとも年1回見直すことを求め、経営層の説明責任を明確化する。敵対的攻撃シミュレーション、ペネトレーションテスト、脅威ハンティングに関する技術ガイダンスも盛り込む。
あわせて、クラウド上で稼働するCIIシステムを対象とする新たなクラウド向け実務規範を2026年後半に公表する。Amazon Web Services、Google Cloud、Microsoft Azureの3者と、各クラウド環境における実装ガイドを共同作成する。
https://www.csa.gov.sg/news-events/press-releases/cybersecurity-code-of-practice-for-critical-information-infrastructure-to-be-updated-to-address-apt-and-ai-enabled-threats/

2026年7月24日 欧州ENISA、マネージドセキュリティサービスのEU認証制度案の意見募集を開始
ENISAは、マネージドセキュリティサービス（MSS）を対象とするEUサイバーセキュリティ認証制度「EUMSS」の草案について意見募集を開始した。サイバーセキュリティ法（Cybersecurity Act）第48条に基づき欧州委員会の要請で策定を進めているもので、2025年10月に設置された作業部会が検討してきた。意見は2026年9月13日まで受け付ける。
草案の初版は、インシデント管理のうち「インシデント対応」サービスを対象とし、サービスの安全な設計、展開管理、可用性管理、運用管理、継続的改善の5領域にわたる必須のベースライン要件を定める。加盟国ごとに異なる要件を調和させ、国境を越えたサービス提供を容易にする狙いがある。
制度の導入後は、EUサイバーセキュリティ・リザーブ（大規模インシデント時に加盟国を支援する官民の対応能力の枠組み）に参加する事業者に対し、2年以内のEUMSS認証の取得が求められる。
https://www.enisa.europa.eu/news/have-your-say-on-the-certification-of-eu-managed-security-services

----------------------------------------------------------------------
【3】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年7月7日 米Barracuda Networks、MSP向けアイデンティティセキュリティのEvo Securityを買収
2026年7月22日 米Cathedral、軍事サイバーAIの開発で1.6億ドル（約250億円）を調達