----------------------------------------------------------------------
EU、サイバーレジリエンス法の報告義務が適用開始（9/15配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・中国、小規模な個人情報処理者の義務を簡素化する規定を施行
・ファイブ・アイズ、サービスプロバイダ向けの有事コミュニケーション実践集を公開
・米国OpenAI、EU AI法に基づきAIエージェントによるWikiサイト乗っ取りを報告
・米国NSA等、中国系AI企業による「産業規模の蒸留」を警告
・EU、サイバーレジリエンス法の報告義務が適用開始
・イベント案内：BSAカンファレンス「AIとサイバーセキュリティ」（9月29日午後5時より）

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2026年9月1日 中国、小規模な個人情報処理者の義務を簡素化する規定を施行
中国の国家インターネット情報弁公室（CAC）と公安部が共同で公布した「小型個人情報処理者個人情報保護簡化措置規定」が9月1日に施行された。個人情報を扱う人数が10万人未満の処理者を「小型処理者」と定義し、個人情報保護法が課す義務を全22条で簡素化する。中小企業のコンプライアンス負担の軽減が目的とされる。
処理規則の公示は掲示やポップアップ等の簡潔な形式で足りるとし、告知・同意取得や本人の権利行使への対応も簡素化する。コンプライアンス監査は5年に1回以上の自己評価で可とした。個人情報の越境提供では、契約履行や人事管理等の類型について安全評価の申告等を免除する一方、本人への告知・同意取得の義務は残る。機微個人情報の扱いは法令の別段の定めに従う。
https://www.cac.gov.cn/2026-07/24/c_1786638889704872.htm
https://www.cac.gov.cn/2026-07/24/c_1786638889443160.htm

2026年9月2日 ファイブ・アイズ、サービスプロバイダ向けの有事コミュニケーション実践集を公開
ファイブ・アイズ（米国・英国・カナダ・豪州・ニュージーランド）の各国サイバーセキュリティ当局と米国連邦捜査局（FBI）は、実践集「Communicating Under Pressure: Best Practices for Service Providers」を共同で公開した。サイバー攻撃か人為ミス・機器故障かを問わず、ITやOTのサービス障害時に、サービス提供者が顧客や公衆に明確で正確な情報発信を行うための実践をまとめた。
文書は、発信基準と対象者を事前に定めたコミュニケーション計画の整備を求め、事実の要約から始めること、判明した事項・不明な事項・調査中の事項を区別して開示すること、広報的な粉飾を避け頻繁に更新することを核心に挙げる。1つの組織の障害が相互接続されたシステムを通じて波及し、社会的な混乱を招きうるとも指摘し、通信サービス自体が使えない事態を想定した予備の連絡手段の確保も求めた。
https://www.cisa.gov/resources-tools/resources/communicating-under-pressure-best-practices-service-providers

2026年9月7日 米国OpenAI、EU AI法に基づきAIエージェントによるWikiサイト乗っ取りを報告
欧州委員会は9月7日、米国OpenAIからAIエージェントの重大インシデントに関する報告書を受領したと確認した。EUのAI法（AI Act）がシステミックリスクを持つ汎用AIモデルの提供者に課す重大インシデント報告の、初の適用例となる。
対象は、休眠状態にあったドイツ語のプログラミングWiki「DseWiki」を同社のエージェントが乗っ取り、エージェント間の連絡経路として利用していた事案である。報道によると、事案は5月に始まり、研究者は関連する公開Wikiで約1万8,000件の投稿を確認した。OpenAIは9月5日に事実関係を認め、「ミスアライメント（不整合）」による事象と位置づけた。
同社は、訓練・評価・運用で生じたミスアライメント事象をいつどのように公表すべきかの明確な基準が業界にまだ存在しないとし、数週間以内に自社の開示基準を公表するとした。報告書の提出時期と根拠条項は明らかにされていない。欧州委は8月の執行権限発効後、試験環境からの脱出事案をめぐりOpenAI・Anthropicとの協議を開始しており（既報）、今回はそれに続く動きとなる。
https://www.engadget.com/2251725/openai-responds-after-report-exposed-another-incident-in-which-its-ai-agents-went-rogue/
https://thenextweb.com/news/openai-eu-incident-report-german-wiki

2026年9月8日 米国NSA等、中国系AI企業による「産業規模の蒸留」を警告
米国国家安全保障局（NSA）、サイバーセキュリティ・社会基盤安全保障庁（CISA）、FBIは、中国拠点のAI企業が米国のフロンティアAIモデルから独自の機能・能力を組織的に抽出しているとする共同勧告（AA26-251A）を公表した。「蒸留（distillation）」自体は正当な研究手法だが、利用規約に違反して制限された機能を産業規模で抜き取る悪意ある活動であり、中国のAI開発戦略の補完ではなく中核を成すと位置付けた。
勧告は、中国政府の認知の下で行われた可能性が高いとし、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIを名指しした。遅くとも2024年末以降、Claude、GPT、Gemini、Grokの各系列から数百万回のリクエストで数十億トークンを抽出し、DeepSeekのR1・V3やAlibabaのQwen等の訓練に利用したとする。API、クラウド事業者、利用者情報を秘匿する第三者アグリゲーターを併用し、「中継ステーション」と呼ばれるプロキシのグレー市場で地理制限や検知を回避していた。勧告はAI企業や組織に対し、こうした手口を踏まえた検知と対策の強化を推奨した。
https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
https://www.cisa.gov/news-events/news/cisa-nsa-and-fbi-warn-china-based-ai-companies-targeting-us-ai-models-industrial-scale-knowledge

2026年9月11日 EU、サイバーレジリエンス法の報告義務が適用開始
EUのサイバーレジリエンス法（Cyber Resilience Act、CRA）に基づく報告義務が9月11日に適用開始となり、欧州連合サイバーセキュリティ機関（ENISA）は同日、届出を一元的に受け付ける「単一報告プラットフォーム（Single Reporting Platform）」の初期運用開始を発表した。デジタル要素を含む製品をEU市場に投入する製造者は、悪用が確認された脆弱性と製品に影響する重大インシデントについて、認知から24時間以内の早期警報と72時間以内の通知の提出が義務付けられる。
届出は同プラットフォームから、調整役の加盟国CSIRTを通じて製品が流通する各国のCSIRTに配布され、ENISAにも同時に通知される。ENISAは多言語の手引きやヘルプデスクを提供し、運用経験を踏まえて機能を拡充するとしている。
オープンソースソフトウェアのスチュワードへの報告義務と、セキュア・バイ・デザイン要件・適合性評価・CEマーキング等を含むCRAの全面適用は2027年12月11日からで、違反には最大1,500万ユーロ（約27億円）または全世界売上高の2.5%の制裁金が科されうる。
https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act

----------------------------------------------------------------------
【3】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年9月1日 米Palo Alto Networks、エージェントAI基盤のConsoleを買収
2026年9月1日 イスラエルAIR Security、AIエージェント向けファイアウォールで5,000万ドル（約78億円）を調達
2026年9月2日 米Proofpoint、データセキュリティのVaronis買収に向け交渉中との報道
2026年9月3日 米HiddenLayer、AIモデルの実行時保護で1億ドル（約155億円）を調達