経済産業省 国家サイバー統括室 サイバーインフラ事業者に求められる役割等に関するガイドライン (2026.03.31)

こんにちは、丸山満彦です。

経済産業省、国家サイバー統括室が、サイバーインフラ事業者に求められる役割等に関するガイドラインを公表していますね...

ところで、「サイバーインフラ事業者」とは何か？ということになりますが...

本文の2ページ（5/131）に次のように記載されていますね...直接サービスを提供する事業者と当該情報・通信システム等のソフトウェアのライフサイクルとサプライチェーンに関わる事業者ということになっていますね...

---

...我が国のサイバーセキュリティ基本法第７条においてはサイバー関連事業者・情報システム等供給者3等の責務が規定されており、特に情報システム等供給者は、情報システム等の利用者によるサイバーセキュリティ確保に必要な支援を行う努力義務を負うこととされているところ、これらの事業者のうちソフトウェアの設計を含めた開発、供給、運用において一定の社会インフラの機能を提供している事業者（以下、「サイバーインフラ事業者4」という。）...

<脚注>

3 サイバー関連事業者とは、インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用又はサイバーセキュリティに関する事業を行う者である。情報システム等供給者とは、情報システム若しくはその一部を構成する電子計算機若しくはプログラム、情報通信ネットワーク又は電磁的記録媒体の供給者である。

4 サイバーインフラ事業者とは、サイバーセキュリティ基本法において、サイバー関連事業者（インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用又はサイバーセキュリティに関する事業を行う者）等の責務が規定されている事業者のうち、政府機関等及び重要インフラ事業者を始め広く社会で活用される情報・通信システム、ソフトウェア製品及び ICT サービスを開発し提供する事業者並びに当該情報・通信システム等のソフトウェアのライフサイクルとサプライチェーンに関わる事業者をいう。

---

ちなみに、サイバーセキュリティ基本法(e-GOv)の第7条は、次のようになっています...

---

（サイバー関連事業者その他の事業者の責務）

第七条　サイバー関連事業者（インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用又はサイバーセキュリティに関する事業を行う者をいう。以下同じ。）その他の事業者は、基本理念にのっとり、その事業活動に関し、自主的かつ積極的にサイバーセキュリティの確保に努めるとともに、国又は地方公共団体が実施するサイバーセキュリティに関する施策に協力するよう努めるものとする。

２　情報システム若しくはその一部を構成する電子計算機若しくはプログラム、情報通信ネットワーク又は電磁的記録媒体（以下この項において「情報システム等」という。）の供給者は、サイバーセキュリティに対する脅威により自らが供給した情報システム等に被害が生ずることを防ぐため、情報システム等の利用者がその安全性及び信頼性の確保のために講ずる措置に配慮した設計及び開発、適切な維持管理に必要な情報の継続的な提供その他の情報システム等の利用者がサイバーセキュリティの確保のために講ずる措置を支援する取組を行うよう努めるものとする。

---

で、そのサイバーインフラ事業者に求められる役割等に関するガイドライン 全体概要は次の通りになるという話です...

● 経済産業省

・2026.03.31 「サイバーインフラ事業者に求められる役割等に関するガイドライン」の日本語版・英語版を策定しました

• [PDF] サイバーインフラ事業者に求められる役割等に関するガイドライン【日本語版】

目次...

---

1. 総論
1.1. 背景と目的
1.2. ガイドラインの位置付け
1.3. 適用対象
1.4. 役割分担の考え方
1.5. 代表的なユースケース例

2. サイバーインフラ事業者と顧客の責務と役割分担
2.1. 責務と役割分担の考え方
2.2. 責務

3. 責務を果たすための要求事項
3.1. 要求事項の全体像
3.2. 要求事項
（１）セキュアな設計・開発・供給・運用
（２）ライフサイクル管理、透明性の確保
（３）残続する脆弱性の速やかな対処
（４）人材・プロセス・技術の整備
（５）サイバーインフラ事業者・ステークホルダー間の関係強化
（６）顧客によるリスク管理とセキュアなソフトウェアの調達・運用

4. 要求事項の利活用
4.1. 要求事項の要求パッケージ化
4.2. 役割分担に応じた要求事項の適用に関する注意点

5. 参考情報
5.1. 要求事項チェックリスト
5.2. セキュリティインシデントと要求事項との対応関係例
5.3. システムライフサイクルにおける脅威と要求事項の対応関係
5.4. 要求事項に対する取組例
（１）セキュアな設計・開発・供給・運用
（２）ライフサイクル管理、透明性の確保
（３）残続する脆弱性の速やかな対処
（４）人材・プロセス・技術の整備
（５）サイバーインフラ事業者・ステークホルダー間の関係強化
（６）顧客によるリスク管理とセキュアなソフトウェアの調達・運用
5.5. 統一基準群と本ガイドラインとの関係
5.6. 重要インフラのサイバーセキュリティに係る安全基準等策定指針と本ガイドラインとの関係
5.7. サイバー対処能力強化法と本ガイドラインとの関係
5.8. 参照情報
（１）参照情報のリスト
（２）他の標準・ガイドライン等との関係
（３）NIST SP800-218 との対応関係
（４）NSA Software Supply Chain Guidance の 3 文書との対応関係
（５）CISA Secure-by-Design- Shifting the Balance of Cybersecurity Risk との対応関係
（６）EU Cyber Resilience Act. ANNEX I/II との対応関係
（７）その他の文書との対応関係
5.9. 用語

6. 本ガイドラインの検討体制

---

• [XLSX] サイバーインフラ事業者に求められる役割等に関するガイドライン 評価チェックリスト等【日本語、Excelマクロ機能付き版】
• [XLSX] サイバーインフラ事業者に求められる役割等に関するガイドライン 評価チェックリスト等【日本語、Excelマクロ機能なし版】
• [PDF] サイバーインフラ事業者に求められる役割等に関するガイドライン 概要資料【日本語版】

● 国家サイバー統括室

・2026.03.31 「サイバーインフラ事業者に求められる役割等に関するガイドライン」の日本語版・英語版を策定しました

検討委員のメンバーには、土居先生が座長、稲垣先生、淵上さん、坂東さん、古田さんなどが参画していますね....