金融庁の障害報告が共通様式へ｜10月1日適用、登録業者と組む事業会社への影響

ステーブルコインの支払いを登録業者と組んで提供している会社、あるいはこれから組もうとしている会社に向けて、金融庁が2026年9月18日に公表した改正を整理します。障害やサイバー事案が起きたとき、登録業者が当局へ出す報告の様式が、関係省庁の共通様式へ移ります。適用は令和8年10月1日です。

先に結論を書きます。報告するのは登録業者で、事業会社ではありません。事業会社に新しい義務は生じません。そのうえで、組む側が使える材料が1つだけ増えます。それは、事象が起きたとき登録業者が整理する項目の名前が公表されたことです。当サイトは2026年9月27日に、金融庁の公表ページ、別紙1・14・15・16、補足事項、関係省庁申合せの本体を取得し、原文で照合しました。

画像: 金融庁の公表資料より（出典）

金融庁の障害報告が共通様式へ：何が公表されたか

発端は、関係省庁が結んでいる「サイバー攻撃による被害が発生した場合の報告手続等に関する申合せ」（令和7年5月28日）です。これは、被害を受けた組織が省庁ごとに別々の様式で報告する負担を減らすための取り決めです。令和8年9月15日の改正で、既存の「DDoS攻撃事案共通様式」（別添様式1）と「ランサムウェア事案共通様式」（別添様式2）に加え、「その他サイバー攻撃等事案共通様式」（別添様式3）が新たに整備されました。DDoS攻撃とは、大量の通信を送りつけてサービスを止める攻撃のことです。

金融庁はこれを受け、監督指針等にある障害・サイバー事案の報告様式を、従来の「障害発生等報告書」から共通様式へ移す改正を確定しました。原文で数えられる要素は次のとおりです。

事務ガイドライン5本の内訳は、前払式支払手段発行者（別紙12）、資金移動業者（別紙13）、暗号資産交換業者（別紙14）、電子決済手段等取引業者（別紙15）、電子決済手段・暗号資産サービス仲介業者（別紙16）です。電子決済手段等取引業者とは、ステーブルコインの売買や交換、送金の媒介などを行う登録業者のことで、制度の全体像は電子決済手段等取引業の解説にまとめています。

変わること、変わらないこと

別紙15の新旧対照表を読むと、改正箇所はⅡ－２－３－１―１－３「システム障害等が発生した場合の対応」です。現行は「障害発生等報告書」で報告を求め、DDoSとランサムウェアの事案だけ共通様式も可能という書き方でした。改正後は、事案に応じて3つの様式を使い分ける書き方になります。

別紙1の回答には、実務上の細部も書かれています。第1報のあとで別の様式を使うべき事案だと判明しても、様式を切り替える必要はなく、差し替えや再提出も不要です。補足事項は、第1報は障害等の全容が判明する前の断片的なものでも差し支えないとしています。

共通様式に並ぶ項目：事業会社が使えるのはここ

補足事項には、共通様式（別添様式3）の欄と記載要領が載っています。大項目は、1.報告者の概要、2.事案の概要（業務への影響）、3.影響のあるシステム、4.事案に関する技術的な事項、5.事案への対応に関する事項、6.その他（特記事項等）の6つです。このうち、利用者への告知と問い合わせ対応に関わる欄を抜き出すと次のようになります。

この表は、登録業者が当局に何を出すかを示すもので、事業会社に何を渡すかを示すものではありません。ただ、事象が起きたとき登録業者の社内でこれらの項目が整理されることは、様式から読み取れます。事業会社は「当局への報告書を見せてほしい」と求めるより、「この項目名のうち、これとこれを、この期限で共有してほしい」と求めるほうが、合意の範囲を具体的にできます。

事案：オンライン旅行予約サービスが、登録業者と組んでいる場合

以下は公表資料をもとに当サイトが構成した匿名の想定事案です。実在の企業・案件ではありません。

①既存事業と既存ユーザー。国内外のホテルや航空券をまとめて予約できるオンライン旅行予約サービスを運営する事業会社です。会員の一部は海外在住で、支払いはクレジットカードが中心、問い合わせは自社のサポートがフォームとチャットで受けています。

②やろうとしていること。海外の会員向けに、ステーブルコイン建ての支払いの選択肢を1つ足します。受け渡しと送金の処理は、提携する登録業者の仕組みに載せます。

③登録業者との役割分担。ステーブルコインの受け渡し、本人確認、取引に関する回答は登録業者が担います。障害やサイバー事案を当局へ報告するのも登録業者です。この会社が担うのは、予約の成立と取消し、自社の画面・告知・サポートです。自社の導線がどの業に当たるかは個別の実態で判断される領域で、当サイトは判断しません。

④告知・導線の具体像。チェックイン直前の予約で「支払ったのに予約が確定しない」という連絡が来るのは、自社のサポートです。告知面は、予約画面の支払方法欄の注記、お知らせ枠、予約確認メールの追記の3つです。

図: 当局への報告と、事業会社への共有は別の線（当サイト作成）

この会社から見て、10月1日を境に変わることはありません。登録業者が当局へ出す様式が変わっても、自社のサポートに連絡が来る順番は同じです。第1報で自社が書けることと書けないことの線は、決済が完了しない事案の図解で扱っているので、ここでは繰り返しません。

変わるのは、登録業者との取り決めを作るときの言葉です。これまでは「障害時は速やかに連絡する」程度の条項で終わりがちでした。今回、登録業者が事象発生時に整理する項目の名前が公表されたので、「発生日時・事案の概要・復旧見込・サービスへの影響・公表URL・今後の予定を、第1報の段階で共有する」のように、項目名で書けます。

事業会社の側に発生する仕事、発生しない仕事

正直に書くと、この改正で事業会社に義務として発生する仕事はありません。任意で取り組めるのは、次の確認です。

最後の項目は重要です。登録業者から受け取った情報を、そのまま利用者向けの告知に書いてよいとは限りません。どこまで転記してよいかは、契約の秘密保持条項と、提携先の公表内容との関係で決まります。提携先の選び方の段階でこの点を聞いておく論点は、パートナー選定の観点で整理しています。

この公表から言えること、言えないこと

言えるのは3つです。第1に、令和8年10月1日から、電子決済手段等取引業者を含む登録業者の障害・サイバー事案の報告様式が、関係省庁申合せの共通様式へ移ること。第2に、金融庁は報告要否の基準に変更はないと回答しており、サイバー攻撃によらないシステム障害も様式3で報告する整理であること。第3に、令和9年3月末までは、特定社会基盤事業者以外は従来様式も使える経過措置があることです。

言えないのは、提携先の登録業者が実際にどちらの様式を使うか、そして当局への報告内容が事業会社に共有されるかどうかです。前者は提携先ごとに異なり、後者は公表資料に定めがありません。本記事の内容は2026年9月27日に原文で確認したもので、用語は用語集にまとめています。社内資料に転記する際は、各出典を再度開いて確認してください。