サイバー保険の補償範囲｜賠償・事故対応費用・休業損害の境界

サイバー保険の補償範囲は、原因調査や通知などの事故対応費用、取引先・顧客への賠償責任、システム停止による自社の休業損害という、損失の主体が異なる3つの柱で組み立てられます。どの費用がいくらまで支払われるかは、加入する証券の補償項目と特約、そして自社のデータ量や委託構造で変わります。とくに賠償は、法律上の責任が生じても、約款が定める対象物・作業範囲・免責・証拠の条件しだいで、支払われる線と止まる線が分かれる領域です。この記事では、3つの柱と賠償の境界、対象外になりやすいケース、事故時に残す証拠と補償範囲の点検に使う資料までを実務目線で整理します。

Summaryこの記事のポイント

• サイバー保険は「自社で出る費用」「他人への賠償」「自社の利益の喪失」と損失の主体で分けて読むと、補償の抜けを見つけやすくなります。
• 賠償は責任が生じれば自動で支払われるわけではなく、責任主体・対象物・作業範囲・免責・証拠の5点で支払われる線が決まります。
• 受託データ・預かったシステム・再委託先起因・専門業務の過誤は、商品ごとに対象外になりやすい境界が分かれます。
• 証券・約款・契約書・作業指示書と、事故時の初動記録や写真を突き合わせて読むと、補償のギャップを早く特定できます。

サイバー保険の補償は「誰の損失か」で3つに分ける

これらの柱は損失の主体が違うぶん支払の入口も別で、どれか一つが薄いと、その損失だけが自己負担として残ります。企業向け保険の考え方は日本損害保険協会の解説が参考になります（日本損害保険協会「企業のための保険ナビ」）。損失の主体を混ぜたまま「入っているから安心」と考えると、支払の段階で自社の想定とずれます。

背景として、警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」（2026年7月時点で公表されている最新の年間集計）では、2024年（令和6年）に企業・団体等から報告されたランサムウェアの被害は222件で、うち中小企業が140件と規模別で最も多くなっています（警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」（PDF））。攻撃は企業規模を問わず現実に起きており、補償範囲を自社の事業条件に照らして読む実務的な意味は小さくありません。

1. 事故対応費用（自社で発生する費用）

ランサムウェア感染や情報漏えいが疑われた際に、原因調査（フォレンジック）、コールセンター設置、本人への通知やお詫び、システム復旧、弁護士・専門家への相談などにかかる費用です。実際の事故では、賠償より先にこうした初動と復旧の費用が動くことが多く、初期負担を支える中核の補償になります。どこまでの費目を含むかは商品ごとに線引きが分かれます。

2. 損害賠償責任（第三者への賠償）

個人情報の漏えいや、システム停止で取引先・顧客に損害を与えた場合の、法律上の損害賠償金や争訟費用を補償します。第三者からの請求は解決まで長期化しやすく、賠償金本体だけでなく争訟費用が枠に含まれるかが見どころです。法人向けの賠償補償の全体像は法人向け損害保険の種類もあわせて読むと、サイバー保険の位置づけが整理できます。

3. 休業損害・利益損害（自社の事業中断）

サイバー攻撃でシステムやECサイトが止まり、営業できなかった期間の喪失利益や、事業を回すための増加費用を補償します。ここは基本補償に含まれず、特約や上乗せ設計になっていることが多く、見落とされやすい柱です。ランサムウェアはIPA「情報セキュリティ10大脅威 2026」の組織編でも4年連続（2023年以降）で1位に挙げられており、システム停止による休業損害は想定外の話ではありません（IPA「情報セキュリティ10大脅威 2026」、2026年7月時点で最新版）。停止が即売上減につながる事業では、事業継続力強化計画で復旧の手順を整えておくと、補償と実務の橋渡しがしやすくなります。

「賠償責任がある＝保険金が出る」わけではない

賠償の相談でいちばん誤解されるのが、法律上の賠償責任が生じれば保険金が自動で支払われる、という前提です。実際の支払は、責任の有無だけでなく、約款が定める対象と免責、そして事故時に残った証拠で決まります。賠償を読むときは、次の5点を分けて確かめると、支払われる線と止まる線が見えてきます。

• 責任主体：損害を発生させたのは自社か、再委託先か、クラウド事業者か。誰の行為に起因する損害を補償するかを約款で読みます。
• 対象物：漏えいした個人データ、預かった受託データ、開発・運用を請け負ったシステムなど、何に対する損害が対象か。
• 作業範囲：契約書・作業指示書で受託した業務の範囲。範囲外の作業や口頭合意分は争点になりやすい線です。
• 免責：既知の脆弱性、基本対策の未実施、罰金・課徴金など、てん補が制限される事由。
• 証拠：事故の発生時刻、影響範囲、初動の記録。第三者請求では、これらが賠償額と支払可否の両方を左右します。

この5点のどれかが欠けると、賠償責任そのものは認められても、保険金が減額されたり、対象外と判断されたりする展開があり得ます。とくに受託開発やデータ預かりを行う事業では、契約書に書かれた責任の切り分けと、証券の対象物の定義がずれていると、事故のあとで「責任はあるのに枠が合わない」という事態になりかねません。だからこそ賠償は、「責任があるか」より一歩踏み込み、「約款のどの条件に事故が当てはまるか」で読む必要があります。保険会社の説明・確認態勢の背景は金融庁の指針も参考になります（金融庁「保険募集管理態勢」）。

補償項目ごとに証券で確認する観点

同じ「サイバー保険」でも、補償項目ごとに支払条件と限度額の考え方が変わります。下表の観点で自社証券を項目別に読むと、抜け漏れを速く見つけられます。この表は「どの柱をどの順で証券に照らすか」を決めるためのものです。

とくに休業損害は、「事故発生から何時間・何日経過後の損失を対象にするか」という免責期間（待機期間）で、実際の受取額が変わります。たとえば待機期間が48時間で、復旧が1日で済んだ事業では、休業の実損があっても支払対象に届かないことがあります。EC・SaaSのように停止が即売上減につながる事業では、この待機時間と対象期間の上限が受取額を大きく動かすため、証券の数字を実際の復旧スピードと突き合わせておくと判断が具体的になります。

対象外・境界になりやすいケースを先に押さえる

補償範囲を読むときは、何が出るかと同じ重さで、何が出にくいかを先に押さえておくと安全です。一般に次のケースは免責や限定の対象になりやすく、条件は商品ごとに分かれます。

• 既に発生・認識していた事故や、契約前から続いていた脆弱性に起因する損害
• 多要素認証・パッチ適用など、基本的なセキュリティ対策を怠っていた場合
• 罰金・課徴金など、法律上てん補が制限される性質の支出
• 自社の信用回復のための広告費など、対象外とされやすい費用
• 戦争・テロ・国家関与の攻撃に関する免責条項

賠償の側では、次の「境界」がとくに争点になりやすい論点です。IT・受託開発・データ預かりを行う事業では、契約書と作業範囲まで踏み込んで読んでおくと、支払段階のずれを防げます。

• 受託データ・預かり情報：他社から預かったデータの漏えいが、自社データと同じ枠で見られるか、別枠になるか。
• 管理・運用を請け負ったシステム：預かったシステムやサーバーへの損害が、賠償の対象物に含まれるか。
• 再委託先起因：外注先・クラウド事業者に起因する事故を、自社の責任として補償するか、対象外とするか。
• 専門業務の過誤：開発・保守・設定作業のミスに起因する損害が、専門職業危険として別扱いになっていないか。

これらは「必ず支払われない」と一律には言えず、約款の文言と事故の事実関係で判断されます。契約前に免責条項を読み、自社の運用実態・契約構造と照らし合わせておくことが、いざというときの支払可否を左右します。とりわけ受託データと再委託先起因は、顧客との契約書で自社が負う責任と、証券が補償する対象物が別々に決まるため、両方の書類を並べないと自社の穴が見えにくい部分です。

情報漏えい時の初動と事故対応費用の関係

個人データの漏えい等が起きた場合、個人情報保護法上、一定のケースでは個人情報保護委員会への報告と本人への通知が義務づけられています（個人情報保護委員会「漏えい等報告・本人への通知の義務化」）。この本人通知やお詫びの費用、相談する弁護士費用などが、事故対応費用の補償対象になり得ます。

ここで押さえたいのは、損失の主体で枠が分かれる点です。法令上の義務対応にかかる費用は事故対応費用の枠、第三者からの損害賠償請求は賠償の枠と、支払の入口が別になります。自社が想定する漏えいシナリオで「通知や調査の費用は事故対応費用の枠で、どこまで・いくらまで出るか」「顧客からの賠償請求は賠償の枠で、対象物と作業範囲が合うか」を分けて読んでおくと、請求段階での読み違えを避けられます。義務対応の手順は個人情報保護委員会の解説にそろっているため、シナリオづくりの土台に使えます。

補償範囲の点検に使う資料と、残しておく証拠

サイバー保険の補償範囲が自社に合っているかは、証券・約款・運用実態・契約構造をあわせて見ないと判断できません。次の項目を順に確認していくと、どこで補償が切れるかの見当がつき、補償のギャップを早く特定できます。

補償範囲の点検チェックリスト

• 現在のサイバー保険（または検討中の商品）で、事故対応費用・賠償・休業損害のどれが含まれているか
• 各補償の支払限度額・免責金額・免責期間がいくらに設定されているか
• 取り扱う個人データ件数、EC・SaaSなど停止が売上に直結する事業の有無
• 外部委託先・クラウド利用の状況と、再委託先起因の事故の扱い
• 受託データや預かりシステムの有無と、顧客との契約書・作業範囲
• 多要素認証・バックアップ・パッチ適用など、約款が前提とする対策の運用状況

事故が起きたときの証拠保全の順序

賠償や事故対応費用の請求では、初動でどこまで記録を残せたかが、後の支払判断に効きます。次の順で保全しておくと、争点になりやすい事実を押さえられます。

1. 発覚直後：検知の時刻・症状・気づいた経緯をメモし、画面や機器の状態を写真で残す。
2. 初動：ログ・アクセス記録を保全し、上書きや再起動で証跡を消さない。保険会社への事故通知が必要かを確かめる。
3. 証拠保全・通知：フォレンジックの依頼記録、顧客・取引先とのやり取り、本人通知の文面を保存する。
4. 請求資料の準備：契約書・作業指示書・見積書・請求書を突き合わせ、責任主体と作業範囲を裏づける。

補償範囲の確認に使う資料

これらを並べると、「補償はあるが免責期間が長く実損に届かない」「再委託先起因が対象外」「受託データが自社データ扱いになっていない」といった、自社に固有のギャップが見つかります。担当が情報システム部門と管理部門に分かれている場合は、証券・約款は管理部門、システム構成・委託先一覧は情報システム部門と、資料の出どころが分かれることが多いため、部門をまたいで情報を突き合わせて読むと、ギャップがどこにあるかを見分けやすくなります。

証券だけでは判断しにくい境界と、相談で速く進む理由

ここまで見たように、サイバー保険の補償範囲は商品の建て付けだけでなく、自社の事業特性・データ量・委託構造・セキュリティ運用で十分性が変わります。同じ補償項目でも、限度額や免責期間、対象物の定義しだいで受取額は大きく動きます。補償項目名をネットで並べても、自社の証券のどこが弱点かは見えにくいままです。

さらに、自社だけでは線を引きにくい境界が残ります。たとえばランサムウェアの身代金の支払費用が補償対象になるか、支払先が経済制裁の対象に触れる恐れがある場面での取り扱いは、約款・制裁関連の法令・保険会社の引受方針が交差する領域で、証券を読むだけでは判断がつきません。同じように、受託データの漏えいで自社の責任範囲と証券の対象物が食い違うケースも、契約書とインシデントの資料を突き合わせて初めて線が引けます。こうした境界は、証券・委託契約・事故時の記録を横断して読む必要があるため、書類の一部だけを見ても答えが出にくいのが実情です。

那由他保険テクノロジーズでは、保険代理店として、補償範囲のギャップや過不足を整理するご相談を承っています。どこが不安か言葉にしづらい段階からお話を伺い、賠償の対象物や再委託先起因の扱い、身代金・制裁の境界など、支払段階で争点になる線を最初から一緒に洗い出していきます。事故のあとで想定との違いに気づく前に、加入・見直しの段階で条件を調整でき、必要な特約に絞って保険料の過不足を避けられます。加入判断の分け方は製造業のサイバー保険は必要かも判断材料になります。まずは気軽にご相談ください。

よくある質問（FAQ）

サイバー保険で事故対応費用や休業損害まで補償されますか

事故対応費用は多くの商品で中核の補償として含まれますが、休業損害（利益損害）は基本補償に含まれず、特約や上乗せ設計となることが少なくありません。いずれも商品と契約条件で線引きが分かれるため、自社証券で対象項目・限度額・免責期間を読んでおくことをおすすめします。

賠償責任が認められれば、保険金は必ず支払われますか

賠償責任が認められても、支払は約款の対象物・作業範囲・免責・証拠で判断されます。責任主体が再委託先か自社か、対象が受託データか自社データか、といった切り分けで結論が変わることがあります。責任の有無だけでなく、事故が約款のどの条件に当てはまるかを読んでおくと安全です。

受託したデータや預かったシステムの事故は賠償の対象になりますか

他社から預かったデータや、運用を請け負ったシステムへの損害は、商品によって対象物の定義が分かれます。自社データと同じ枠で見るか、別扱いや対象外にするかは約款しだいです。顧客との契約書・作業指示書で受託範囲を確かめ、証券の対象物の定義と突き合わせておくと齟齬を防げます。

再委託先やクラウド事業者に起因する事故はカバーされますか

再委託先やクラウド事業者に起因する事故を、自社の責任として補償するか対象外とするかは、約款の定めで分かれます。委託構造が複雑な事業では、再委託先起因の扱いが賠償の争点になりやすいため、委託先一覧と契約条件を整理したうえで読むことをおすすめします。

情報漏えい時の本人通知や弁護士費用は補償の対象になりますか

本人通知やお詫び、弁護士相談などの費用は、事故対応費用の補償対象になり得ます。ただし対象範囲や上限は商品ごとに分かれます。個人情報保護法上の報告・通知義務とあわせて、想定シナリオでどこまでカバーされるかを読んでおくと、実務での齟齬を防げます。

ランサムウェアの身代金の支払は補償されますか

身代金の支払費用を補償対象とするかは商品ごとに扱いが分かれ、支払先が経済制裁の対象に触れる恐れがある場面では、約款や関連法令の観点から取り扱いが慎重になります。証券・約款だけでは自社で線を引きにくい領域のため、支払方針や引受条件を事前に確かめておくことをおすすめします。

参考一次情報・公的資料

• 日本損害保険協会「企業のための保険ナビ」
• 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」（PDF）
• IPA「情報セキュリティ10大脅威 2026」
• 金融庁「保険会社向けの総合的な監督指針」
• 金融庁「保険募集管理態勢」
• 個人情報保護委員会「漏えい等報告・本人への通知の義務化」

情報確認日：2026年7月3日

執筆：中村 祐太朗（那由他保険テクノロジーズ株式会社 Risk & Benefits事業 執行役員／損害保険・生命保険募集人）｜編集：那由他保険テクノロジーズ株式会社 編集部｜最終更新日：2026年7月3日

本記事は一般的な情報提供を目的としたものです。補償・引受・保険料・保険金の支払は、商品・約款・契約条件・個別事情によって決まり、特定商品の推奨や支払可否の保証ではありません。法務・税務・労務・会計にわたる判断は、専門家への確認が必要になり得ます。