不可抗力として扱ってリスクを下げる？

最近では、ランサムウェアなどによるサイバー攻撃の被害件数が増えてきたことから、悪意ある第三者によるサイバー攻撃を不可抗力事由として例示しておくという例が見られます。不可抗力とは、「外部からくる事実であって、取引上要求できる注意や予防方法を講じても防止できないもの」（※1）と定義され、不可抗力による債務不履行については、民法上、損害賠償責任を負いません（民法415条1項 ※2）。具体的に何が不可抗力に該当するかは、説によりますので、利用規約上に例示して明記しておくことが望ましいと考えられますので、悪意ある第三者によるサイバー攻撃を不可抗力事由として規定することが想定されます。

ただし、不可抗力の代表例としては、大地震・大水害などの災害や、戦争・動乱などが想定されているところであり、単なる第三者の行為は、通常該当しないと考えられていますので（※3）、悪意ある第三者によるサイバー攻撃を不可抗力事由として規定しただけで免責されると考えるのは早計です。少なくとも、技術水準に即した対応をしていなければ、免責の効果は認めらないことに留意する必要があります。すなわち、「取引上要求できる注意や予防方法を講じても防止できないもの」という定義からもわかるように、取引上、当事者が当然講じておくべき対策を怠ってサイバー攻撃を受けて債務不履行を起こした場合、不可抗力による債務不履行とはいえません。 裁判例でも、賠償責任条項の文脈ではありますが、SQL インジェクション攻撃への対策を講じることなくシステムを提供したベンダの責任について、経済産業省及びIPAがウェブアプリケーションに対する代表的な攻撃手法としてSQLインジェクション攻撃を挙げて、事業者に対して対策するよう注意喚起していたことを踏まえて、具体的な対策に多大な労力や費用はかからず、結果回避も容易であったにもかかわらずシステム構築にあたって対策を怠ったとして重過失と認定した例（※4）があります。

※1　我妻榮 有泉亨 清水誠 田山輝明 著「我妻・有泉コンメンタール民法［第８版］ 総則・ 物権・債権」（日本評論社、2022 年）826-827 頁
※2　金銭債務は除きます（民法 419 条３項）。
※3　前掲）コンメンタール民法 826-827 頁策を怠ったとして重過失と認定した例（※4）があります。
※4　我東京地判平成 26 年 1 月 23 日判例時報 2221 号 71 頁。この裁判例では、基本契約において、 損害賠償金額を個別契約に定める契約金額の範囲内に制限する旨の規定がありましたが、故 意・重過失がある場合にまで賠償責任範囲を制限するものではないと解釈されています。

サイバー戦争免責？

最近、大手保険会社は、サイバー事故の損害を補償する保険商品において、外国政府が関与する重大なサイバー攻撃を受けた場合には、保険金の支払いをしないというサイバー戦争免責基準を導入しました（※5）。一般的な保険商品において、戦争に起因する被害は事前に被害の規模を想定することが難しいため、保険金支払対象とされておらず、今回の免責基準は、外国政府が関与するサイバー攻撃も同様に事前にリスク算定ができないため保険金支払対象から外すというものです。民間ハッカー集団による被害については従来どおり補償の対象となります。 サイバー保険における免責基準が追加されたということですので、法的には、外国政府によるサイバー攻撃を、不可抗力と位置付けたということではなく、保険金支払債務の内容が調整されたものと考えられます。「サイバー攻撃は戦争と同じで不可抗力事由になった」というわけではありません。

※5　我岩沢明信「国家関与は『戦争免責』､サイバー保険対象厳格に 損保 4 社」日本経済新聞 2024 年 3 月 15 日
https://www.nikkei.com/article/DGXZQOUC190YW0Z10C24A2000000/

Column