英国の小規模発電施設がサイバー攻撃を受け、4日間停止したとThe Telegraphが8月22日に報じた。同紙は攻撃をイラン関連の主体によるものとし、英国の発電施設を止めた初の成功例と位置づけるが、政府が認めたのは小規模発電設備への事案と、より広いエネルギーシステムが危険にさらされなかったことまでだ。発電所名と出力は公表されていない。燃料種と侵入経路も不明である。それでも、供給への影響が小さい設備で起きたとされる運転停止は、累計2GW以上を軸に重要事業者を捉えるグレートブリテンの現行規制が、小規模な発電主体をどこまで守れるかという問いにつながる。
政府の確認は「小規模事業者への事案」まで
The Telegraphによれば、事案は2026年7月に起き、職員がシステムを復旧させる間、発電施設は4日間停止した。施設名は安全上の理由から伏せられ、同紙は比較的小規模な施設で、英国全体の電力供給や発電には影響がなかったとしている。政府は同紙へのコメントで、小規模発電設備に影響した事案を認め、より広いエネルギーシステムへのリスクはなかったと述べた。
この二つは矛盾しない。系統全体の供給余力や送電網が保たれていれば、1施設の停止が直ちに全国規模の需給危機になるとは限らない。他方で、発電設備が停止したなら、運用する企業には復旧作業を要する障害である。電力の安定供給を測る指標と、各拠点がサイバー攻撃で運転を続けられるかは、同じ尺度では測れない。
同紙は、政府が電力会社の最高経営責任者らに説明し、企業へ助言と次の対応を記した書簡を送ったと報じた。国家サイバーセキュリティセンター（NCSC）にも報告されたという。ただし、NCSCは個別事案へのコメントを控えており、この件をイランに帰属させてはいない。脅威グループ名、悪用された脆弱性、マルウェア、影響を受けたネットワークも公表されていない。
公表されていない情報は、技術的な細部で済む話ではない。どのネットワークが影響を受けたかで、同じ「停止」でも必要な再発防止策は変わる。企業の業務システムが止まったのか、設備を安全側に倒したのか、運用技術まで侵害されたのかは、現時点では切り分けられない。施設名を含む詳細が出ない限り、他の発電事業者が自社の構成へそのまま当てはめることはできない。
4日間の停止と系統の安全をどう測るか
The Telegraphは、攻撃者が民間人への被害ではなく、アクセス能力を示そうとした可能性にも触れた。しかし動機は同紙が提示した見方であり、公開情報から確定できるものではない。攻撃者が発電制御装置や安全系に到達したと読むこともできない。設備停止は、IT環境の障害から予防的な隔離まで、複数の経路で起こり得るからだ。
未公表の項目は多い。失われた電力量と顧客への供給影響は分からない。物理的な損傷の有無や復旧手順も明らかでない。だからこそ、今回を大規模停電の前兆と呼ぶ根拠はない。一方、政府の「広域リスクなし」という説明を、個別拠点の防御が十分だったという評価に置き換えることもできない。
政府の2026年版国家リスク登録簿は、インフラへのサイバー攻撃を平均影響スコア3（中程度）、平均発生可能性スコア4（5〜25%）のリスク群に置く。そこで想定する電力の合理的最悪ケースは、全国送電系統の機能不全と全国的な停電である。これは名称非公表の小規模発電施設の事案についての確率予測ではないが、単一設備の運転障害と国家規模の電力危機を区別する基準にはなる。
グレートブリテンの2GW基準と分散型電源
問題は、事案の規模と規制対象の規模が必ずしも重ならない点にある。エネルギー安全保障・ネットゼロ省（DESNZ）とOfgemが3月27日に公表し、8月5日に更新した協議文書は、イングランド、スコットランド、ウェールズからなるグレートブリテンを対象とする。現行のNIS規制における発電の基準は、関連する事業体を通算して少なくとも2GWの発電能力である。この表では原子力発電事業者と送電系統に接続していない発電事業者を除外している。
したがって、The Telegraphが報じた施設がこの基準の対象外だったとしても、その理由を出力規模だけに特定することはできない。政府関係者は同紙に対し、重要な発電事業者向けの法定通知基準を下回っていたと説明したが、施設の正確な能力やライセンスの状況は明らかでない。また、数値基準を下回る事業者でも重要性に応じて指定され得るため、2GWはあらゆる発電所に当てはまる一律の事故報告基準ではない。
協議文書は、現在のエネルギー分野のサイバーレジリエンス要件がNISの範囲に入る事業者にしか及ばないと記す。その上で、グレートブリテンの全Ofgemライセンシーに負担の軽い基本要件を導入し、NISで扱うサービスと閾値を見直す案を示した。分散化が進むほど、供給の強靱性はサイバー規制の対象外にある小規模組織にも左右される、というのが文書の問題意識である。
協議文書はCyber Essentialsを基本要件の出発点として挙げるが、運用技術（OT）のネットワークには限界があり得るとも注記する。発電設備の保護を単一の認証で済ませる提案ではない。規制を広げるなら、事業者の規模に応じた負担と、運用技術を含む環境に何を求めるかを分けて設計する必要がある。
この規制見直しは、今回の報道を受けて始まったものではない。協議文書は3月27日に公表され、報道された7月の事案より前から、小規模組織に要件が届かない問題を挙げていた。8月5日の更新も、The Telegraphが事案を報じた8月22日より前である。攻撃と政策を短絡させずとも、供給への影響が小さい設備をどこまで保護すべきかという制度文書の問いは具体性を増した。
ここで制度の議論を「小規模事業者にも重い規制を課すべきか」という二択に縮めるのは早い。協議文書が提案しているのは、まず全ライセンシーに基礎的な水準を置き、その上でNISの対象サービスと閾値を再検討する手順である。名称非公表の施設がこの設計のどこに位置するかは分からないが、分散型電源が増える環境では、出力だけで優先順位を決める方法の限界が表に出る。
警戒は既に出ていた、判断は公的な詳細待ち
NCSCは3月2日、中東情勢を受けた注意喚起で、イランから英国への直接的なサイバー脅威に当時大きな変化はない可能性が高いとした。同時に、イラン国家および関連主体が一定のサイバー能力を維持していることは、ほぼ確実だと評価し、英国の組織に防御態勢の見直しと副次的な影響への備えを促した。今回の個別事案をこの警告が予告していたとみなすことはできないが、背景となる警戒水準は公表されていた。
6月17日にはNCSCが、2026年5月までの1年間に、重要国家インフラとその支援基盤に影響した200件超のインシデントを扱ったと公表した。このうち約75%は国家主体との関連があるとみられるという数字である。これは今回の攻撃の属性や発電分野の比率を示す値ではない。それでも、個別の停止が明らかになった際に、発電量の大小だけで防御上の優先度を決められないことは分かる。
The Telegraphのイラン関連という報道を検証するには、政府またはNCSCによる帰属の説明と、侵害範囲を示す技術報告が要る。制度面では、グレートブリテンの全Ofgemライセンシー向け基本要件をどこまで具体化するか、2GW基準と指定制度をどう組み合わせるかが、分散した発電設備を守る次の試金石になる。