欧州サイバーセキュリティ機関（ENISA）の2026年年次報告書は、もはや技術的な報告書としてではなく、世界の状況を示すものとして読まれるべきです。ランサムウェア攻撃は、2025年に世界の企業に600億ドル以上の損害を与えました—保険、身代金、事業中断、再建費用を含めると、2020年の3倍に達します。数値だけでなく、脅威の性質そのものが変化しました。
ランサムウェアは産業になった
「Ransomware-as-a-Service (RaaS)」モデル — 専門グループが、身代金からのコミッションと引き換えに、攻撃インフラをアフィリエイトに貸与する — が定着しました。いくつかのファミリー（LockBitの連続バージョン、ALPHV/BlackCat、Cl0p、Akira、RansomHub）が攻撃の大部分を集中させています。ユーロポール、FBI、英国国家犯罪対策庁（NCA）が主導する協調的な解体作戦（Operation Cronos、Endgame、Morpheus）は、一時的にエコシステムを混乱させましたが、根絶には至っていません。解体されたグループは通常、数ヶ月で別のグループに置き換わります。
優先される標的も変化しました。これまで標的とされてきた大企業に加え、地方自治体、病院、中小企業が新たな弱点となっています。フランスでは、ANSSI（国家情報システムセキュリティ庁）が2025年に、不可欠なサービス事業者や自治体に影響を与えた300件以上の主要なインシデントを記録しました。これは2022年の187件から増加しています。
2026年サイバーセキュリティの主要数値
- 600億ドル：2025年のランサムウェアによる世界の年間被害額。
- +220%：2020年から2025年の間に病院に対する攻撃件数が増加。
- 300件以上：2025年にフランスのANSSIが記録した主要なインシデント。
- NIS2：欧州指令が2026年初頭に26加盟国で完全に適用。
- サイバーレジリエンス法：2024年から2027年にかけて段階的に施行、制裁金は世界売上高の最大2.5%。
- 2030年：最も悲観的な予測（コンセンサスでは2040年）によれば、量子コンピュータがRSA-2048を破れる可能性がある時期。
- 3：NISTが2024年に標準化したポスト量子アルゴリズム：ML-KEM、ML-DSA、SLH-DSA。
量子脅威：まだ理論的だが、すでに運用段階
現在の非対称暗号（RSA、ECC）を破ることができる量子コンピュータの登場は、2030年から2040年にかけて依然として仮説的なものです。しかし、「今収集し、後で復号する（harvest now, decrypt later）」という脅威は、政府に先手を打つことを促しています。米国は連邦政府機関に対し、2035年までにポスト量子暗号への完全な移行を義務付けました。欧州では、ENISA、ANSSI、ドイツBSIを通じて、重要事業者に対し、2026年から「暗号アジリティ」を構築するよう推奨しています。これは、システムを書き換えることなく、暗号アルゴリズムを迅速に置き換える能力です。
NISTは2024年8月に3つのポスト量子アルゴリズムを標準化しました。ML-KEM（鍵交換）、ML-DSAおよびSLH-DSA（署名）です。最初の実運用展開（ハイブリッドTLS 1.3、ファームウェア署名）は2025年に始まり、主に大手クラウドプロバイダー（Google、AWS、Cloudflare）や機密性の高い行政機関で行われています。
NIS2とサイバーレジリエンス法：欧州は規制し、欧州は制裁する
NIS2指令は、2026年初頭に26の加盟国で適用され、サイバーセキュリティ義務の対象となる事業者の範囲を拡大します。エネルギー、輸送、医療、銀行、デジタルインフラだけでなく、公共行政、宇宙、廃棄物管理、一部の中小企業も含まれます。制裁金は1,000万ユーロまたは世界売上高の2%に達します。
サイバーレジリエンス法（CRA）は、2024年末に発効し、2027年まで段階的に適用されます。これにより、EUで販売されるすべての接続製品（Wi-Fiルーターからコネクテッドカーまで）に、史上初めて「設計段階からのサイバーセキュリティ」義務が課されます。ソフトウェア開発者やハードウェアメーカーにとって、この順守努力は莫大です。技術文書、脆弱性管理、製品の寿命にわたるセキュリティアップデートの保証などが求められます。
「サイバーセキュリティはもはや技術的な問題ではありません。それは企業ガバナンスの問題であり、ますます国家ガバナンスの問題になっています。」— ヴィンセント・ストルーベル、ANSSI局長、2026年2月のフランス元老院公聴会にて。
要点
- 600億ドル：ランサムウェアによる世界の年間被害額。
- RaaSが現在、サイバー犯罪経済を構造化している。
- NIS2は2026年初頭に26加盟国で完全に適用される。
- CRAはすべての接続製品に設計段階からのサイバーセキュリティを義務付ける。
- 量子脅威：重要事業者に対し、2026年からポスト量子移行を推奨。
- 3つのNIST標準化アルゴリズム：ML-KEM、ML-DSA、SLH-DSA。
