サプライチェーンにおけるサイバーセキュリティリスク対策に関する近時の動向

昨今、我が国においてサイバーセキュリティについてのサプライチェーンにおけるリスク（いわゆるサプライチェーン・リスク）に対処する動きが広がりを見せています。その動きを把握するためには、前提として、「サプライチェーン・リスク」に様々な意味があることを理解する必要があります。

サプライチェーン・リスクについて確立した定義があるものではありませんが、大きく分けると、（ア）サプライチェーンの中でセキュリティ対策が脆弱な組織や拠点が攻撃対象となることで、自社に影響（サイバー攻撃の足がかり、自社の情報漏えい、自社の事業継続への影響など）が及ぶリスク、（イ）企業が使用しているITサービス（クラウドサービスなど）に対するサイバー攻撃等が自社に影響（マルウェア感染、サービス停止による事業継続への影響など）を及ぼすリスク、（ウ）製品・機器やサービスに対し、外部主体の指示等によって悪意のある機能や不正な変更が組み込まれるリスクなどが想定されます。

2026年3月27日、経済産業省及び内閣官房国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）（以下「SCS評価制度方針」といいます。）を公表しました。また、同月31日、経済産業省及び内閣官房国家サイバー統括室は、「サイバーインフラ事業者に求められる役割等に関するガイドライン」（以下「サイバーインフラガイドライン」といいます。）を策定・公表しました。SCS評価制度方針及びサイバーインフラガイドラインは、いずれもサイバーセキュリティ対策を強化するものであり、（ア）や（イ）のリスクに対応するものとして整備されたものと考えられます。なお、「サプライチェーン」とは、一般に、商品企画、開発、調達、製造、在庫管理、物流、販売等の一連のプロセス並びにこれらに関わる組織及び外部サービス（ビジネスサプライチェーン、ITサービスサプライチェーン）を指しますが、近時、これに加え、ソフトウェア開発のライフサイクルに関わるライブラリ、ツール、開発者、インフラ等の各要素及びそのつながりであるいわゆるソフトウェア・サプライチェーンも、サプライチェーンの重要な一側面として認識されるようになっています。そして、SCS評価制度方針は主に前者の意味でのサプライチェーンを、サイバーインフラガイドラインは主に後者のソフトウェア・サプライチェーンを、それぞれ念頭に置いたものと評価することができます。

また、（ウ）のリスクについても、経済安全保障推進法¹にもとづく基幹インフラ制度、いわゆるIT調達申合せ²及びISMAP³等、近年、（経済）安全保障の観点を踏まえた対策が増加しています。

このように、昨今、サプライチェーンを巡っては、サイバーセキュリティ・（経済）安全保障の双方の観点から、リスク対策の強化が加速しています。そこで、本ニュースレターでは、サプライチェーン・リスク対策に関する近時の動向として、主に、サイバーセキュリティの観点からのサプライチェーン・リスク対策（SCS評価制度方針及びサイバーインフラガイドライン）及び（経済）安全保障の観点からのサプライチェーン・リスク対策（経済安全保障推進法、IT調達申合せ及びISMAP）のそれぞれの概要について、特に民間事業者への関係が深い点を中心に解説いたします。

（1）　SCS評価制度方針の公表経緯
SCS評価制度方針⁴⁵は、近年の取引先に影響を与えるようなサイバー攻撃事案の頻発を受け、サプライチェーン全体でのサイバーセキュリティ対策の強化が求められる一方で、取引先のセキュリティ対策状況を外部から判断することが難しいといった発注元企業側の課題や、複数の取引先から様々な対策を要求されるといった委託先企業側の課題が生じていることを踏まえ、ワーキンググループ⁶での有識者・産業界を交えた議論、実証事業の結果、制度構築方針案への意見募集⁷の結果等を踏まえて、公表に至ったものです。

（2）　SCS評価制度方針の概要
SCS評価制度方針は、サプライチェーンにおける重要性を踏まえた上で満たすべき各企業の対策を提示しつつ、その対策状況を可視化する仕組みである「サプライチェーン強化に向けたセキュリティ対策評価制度」（以下「SCS評価制度」といいます。）を構築し、サプライチェーン全体でのサイバーセキュリティ対策強化が求められる中、取引先企業のセキュリティ対策状況判断や複数の対策要求への対応といった課題解決を目指すものです。SCS評価制度方針は、主に①目的・位置付け及び趣旨、対象範囲、②SCS評価制度において設けるセキュリティ対策の段階及び③中小企業向け支援策という内容で構成されており、以下ではそれぞれの項目について解説いたします。なお、SCS評価制度は、何らかの規制を課すものではなく、法的拘束力のない任意の制度である点には留意が必要です。

①　目的・位置付け及び趣旨、対象範囲
まず、SCS評価制度は、企業の格付け制度を目的とするものではなく、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化することで、委託元企業・委託先企業双方の負担を軽減しつつ、サプライチェーン全体のセキュリティ水準の底上げを図る仕組みとして位置付けるとされており、具体的には、2社間の取引契約等において、委託元が、委託先に適切なセキュリティ対策の段階⁸を提示し、これに応じた対策の促進や実施状況の確認を行うことが想定されるとされています。また、サプライチェーンを構成する企業等のIT基盤（クラウド環境で運用するものも含みます。）を対象とするとされています。

②　SCS評価制度において設けるセキュリティ対策の段階
次に、SCS評価制度方針では、下表のとおりセキュリティ対策の段階を区分した上で、各段階の要求事項・評価基準に基づき、専門家の確認を経た自己評価や第三者評価機関による評価を行うものとされています。具体的には、セキュリティ対策の段階を★3・★4（★5については今後検討）に区分し、★3の要求事項・評価基準を基礎として、★4ではより段階的に広い範囲や対策を含む要求事項・評価基準に基づき、自己評価（専門家の確認を経たもの）や第三者評価機関による評価を行うこととされています⁹。

なお、要求事項・評価基準を満たす具体的な実装例などをまとめた評価ガイド等が、2026年秋頃を目途に公表される予定となっています。

③　中小企業向け支援策
さらに、SCS評価制度方針では、経済産業省及び独立行政法人情報処理推進機構（IPA）における、中小企業によるSCS評価制度の評価取得に向けた支援策についても紹介があります。具体的には、「サイバーセキュリティお助け隊サービス」（新類型）の創設に向けた2026年8月頃から2027年9月頃までの約1年間にわたって行われる予定の実証事業の実施や、SCS評価制度に対応して改訂した「中小企業の情報セキュリティ対策ガイドライン第4.0版」¹⁰の公表及び情報処理安全確保支援士による支援リストの拡充についての情報等が示されています。

④　想定事例
また、経済産業省及び公正取引委員会では、上記①で述べた目的・位置付け及び趣旨を実現するべく、2025年12月26日、「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」と題する記事を更新し、独占禁止法¹¹や取適法¹²との関係を整理し、「問題とならない」ケースを想定した事例と、想定事例の内容を補足するための解説文書を公表する等、競争法の観点からの各種資料を整備しました。具体的には、発注者側が取引先に対し、SCS評価制度に基づく対策の要請を踏まえ、発注側と取引先が円満に価格交渉を行うためのプラクティスが想定事例としてまとめられています。

（1）　サイバーインフラガイドラインの背景
ソフトウェアの脆弱性を悪用するサイバー攻撃は社会インフラに甚大な影響を及ぼす可能性があることから、ソフトウェアの開発・供給・運用を行う事業者は、ソフトウェアのサプライチェーン全体でのサイバーセキュリティ対策に一層の責任をもって対応することが求められているところ、サイバーインフラガイドラインは、このような事業者の責務等についてその具体的な役割等を整理したものです。

サイバーインフラガイドラインは、2024年9月より行われている産学の有識者からなるワーキンググループ¹³での議論を通じて、サイバーセキュリティ基本法において、2025年の改正により情報システム等の供給者に対して利用者によるサイバーセキュリティ確保に必要な支援を行う努力義務が規定されたこと（7条2項）及びガイドライン案への意見募集¹⁴の結果等を踏まえて、サイバーインフラ事業者に求められる役割等について整理・解説することにより、これら事業者によるレジリエンスの向上、及びサイバーセキュリティの根本的確保を促進することを目的とするものとして策定・公表されました。また、サイバーインフラガイドラインの公表と併せて、サイバーインフラガイドラインの活用促進に向けた付属文書として評価チェックリスト等が整備されています。なお、サイバーインフラガイドラインも、上記1.で解説したSCS評価制度と同様、法的拘束力のない任意のガイドラインである点には留意が必要です。

（2）　サイバーインフラガイドラインの概要
サイバーインフラガイドラインは、サイバーインフラ事業者とその顧客を対象に、ソフトウェア・サプライチェーンのサイバーセキュリティに関するレジリエンス向上のために求められる責務と、当該責務を果たすための要求事項（具体的取組）について6つのカテゴリで整理し、各々の役割区分を定めるとともに、サイバーインフラ事業者に対して、必要に応じて顧客との合意形成を図り、自らに求められる責務の範囲を認識させることを企図しています。

また、サイバーインフラガイドラインにおいては、「サイバーインフラ事業者」を、サイバーセキュリティ基本法7条1項に規定するサイバー関連事業者（インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用又はサイバーセキュリティに関する事業を行う者）等の責務が規定されている事業者のうち、政府機関等及び重要インフラ事業者¹⁵を始め広く社会で活用される情報・通信システム、ソフトウェア製品及びICTサービスを開発し提供する事業者並びに当該情報・通信システム等のソフトウェアのライフサイクルとサプライチェーンに関わる事業者として定義しています。

サイバーインフラガイドラインにおける責務と取組の6つのカテゴリの概要は、下図のとおりとなっています。

そして、サイバーインフラガイドラインは、以下のとおり、サイバーインフラ事業者及び顧客双方が活用することが期待されています。

• サイバーインフラ事業者：サイバーインフラガイドラインの要求事項をチェック項目として、自組織及びソフトウェア・サプライチェーンに関連する事業者の取組の過不足を確認することで、当該サプライチェーン上のサイバーセキュリティ対策の成熟度を向上させるツールとして活用できるとされています。
   
• 顧客：サイバーインフラガイドラインの要求事項をチェック項目として、ソフトウェアの調達先となるサイバーインフラ事業者の取組を把握することで、適切な調達先の選定が可能となり、サイバーセキュリティ上のリスク管理につなげること等が期待できるとされています。

SCS評価制度方針が適用されるSCS評価制度は、サプライチェーンを構成する企業のIT基盤（オンプレミス・クラウド）におけるセキュリティ対策（ビジネスサプライチェーン、ITサービスサプライチェーン）を評価対象としています。また、前述のとおり、SCS評価制度の目的は、これまでになかったサプライチェーンを構成する企業のセキュリティ対策状況に関して共通の物差しを設定し、その評価を可視化することで、委託元企業・委託先企業双方の負担を軽減する点にあります。

他方で、サイバーインフラガイドラインは、ソフトウェアの開発・供給・運用を行う事業者（サイバーインフラ事業者）及びその顧客が対象とされています（ソフトウェア・サプライチェーン）。そして、事業者及び顧客に対してそれぞれの責任区分を定めるとともに、サイバーインフラ事業者に対しては、顧客とのコミュニケーションを通じて自らの責務の範囲を理解させることもその制定趣旨となっています。

両者は、広くサプライチェーン・リスクへの対策としての側面を有するものではありますが、制度の目的や、求められる対策内容、効果も基本的に異なるものとなります。一方で、ITサービスサプライチェーンを構成する事業者、例えば情報システムの開発及び構築業務・運用業務を受託する事業者は、自社IT基盤のセキュリティ対策についてSCS評価制度、開発/運用するシステムについてサイバーインフラガイドラインの対象となる可能性があるとされています。

最後に、（経済）安全保障の観点からのサプライチェーン・リスク対策、つまり、製品・機器やサービスに悪意のある機能や変更が組み込まれるリスクへの対策に関して、①経済安全保障推進法、②IT調達申合せ及び③ISMAPの3つの制度等の概要を紹介します。

（1）　概要
近年、「経済安全保障」という概念が注目されており、わが国でも様々な法制度が整備されています。2022年に成立した経済安全保障推進法は、大きく、（1）重要物資の安定的な供給の確保、（2）基幹インフラ役務の安定的な提供の確保、（3）先端的な重要技術の開発支援、（4）特許出願の非公開に関する制度の4つの施策から構成されています。

（2）　基幹インフラ制度
ここでは、経済安全保障推進法のうち、もっともサイバーセキュリティとの関連が深いのが基幹インフラ役務の安定的な提供の確保に関する制度（以下「基幹インフラ制度」といいます。）となります。基幹インフラ制度とは、基幹インフラ役務（電気・ガス・水道等）の安定的な提供を確保するために、国が基幹インフラ事業（特定社会基盤事業）を定め、一定の基準に該当する事業者（特定社会基盤事業者）を指定し、国が定めた重要設備（特定重要設備）の導入・維持管理等の委託をしようとする際に、事前に届出を行い、審査を受ける制度です。届出書には、特定重要設備（及びその構成設備）の供給者に関する情報や、維持管理等の委託先/再委託先の情報を記載する必要があり、これは、基幹インフラ事業者に関するサプライチェーン・リスクを把握することが主な目的であると考えられます。

（3）　2026年改正法案
経済安全保障推進法については、2026年3月19日に、「経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律及び株式会社国際協力銀行法の一部を改正する法律案」が提出されました。改正事項は多岐にわたりますが、基幹インフラ制度に関しては、基幹インフラ役務に医療分野を追加し、制度の運用を改善するための改正を行うことが予定されています。

次に、政府におけるIT調達について関係省庁が申合せを行った、「IT調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（IT調達申合せ）があります。

IT調達申合せは、サイバーセキュリティ基本法26条1項2号に基づき対策の基準として定められた統一基準群の一つである「政府機関等の対策基準策定のためのガイドライン」において、「開発・製造過程において悪意ある機能が組み込まれる懸念が払拭できない機器等、及びサプライチェーン・リスクに係る懸念が払拭できない企業¹⁶の機器等を調達しないことが求められる」ことを踏まえたもので、国の行政機関や独立行政法人等が、国家安全保障や機密性の高い情報を扱うシステム等の調達に際して、サプライチェーン・リスクの観点から必要な場合において、内閣官房国家サイバー統括室（NCO）に対し、講ずべき必要な措置について原則助言を求めるとするものです。

政府による調達という側面では、クラウドサービスの調達に関するISMAP（Information system Security Management and Assessment Program）があります。ISMAPとは、2020年6月より運用が開始された政府情報システムにおけるクラウドサービスのセキュリティ評価制度で、その目的は、政府が定めるセキュリティ要件を満たすクラウドサービスを評価し、登録することにより、政府機関が使用するクラウドサービスのセキュリティレベルを確保することにあります。国の行政機関や独立行政法人等は、統一基準群に基づき、クラウドサービスを調達する際には、ISMAPクラウドサービスリストから選定することが求められます。

このように、ISMAPは、基本的には公的機関を対象とするものですが、要件を満たしたクラウドサービスリストについては、民間事業者が参照することも想定されています。また、基幹インフラ事業者がクラウドサービスを特定重要設備（制御システム等）等として用いる場合、ISMAPクラウドサービスリストに掲載されているサービスであれば、経済安全保障推進法や、2025年に成立した能動的サイバー防御に関するサイバー対処能力強化法に基づく手続の一部を簡略化することが可能となっています。

保険・リスクマネジメント等を手掛けるMarsh社による「Supply chain trends in 2026: A continuation of complexity and risk」と題する記事によれば、サプライチェーンの混乱が企業に年間推定1,840億米ドルのコストを発生させていること、また65%の企業が少なくとも1つのボトルネックに直面していることが指摘されています。同記事におけるサプライチェーンのリスクは地政学的不確実性なども含む広範な意味ですが、サプライチェーンに混乱をもたらす可能性がある主要な要因として挙げられた6つのうち、2つがサイバーセキュリティ及び経済・規制圧力となっています。そのため、本ニュースレターで概説した各制度等について、ハード・ローなのか、あくまでも任意の制度なのかといった基礎的な部分から、その制度を実際に活用する場合の具体的な手続等まで、その内容を理解することに加えて、各事業者においては、弁護士等の外部専門家に助言を求めつつ、これらの制度等を有効に利用することで、サイバーセキュリティ・安全保障の両面でのサプライチェーン・リスク対策を実際に行っていくことが今後重要になってくると考えられます。