取引先に製品名と製造者名を聞かれたら｜10月1日に始まる届出の中身

納入先から、こんな問い合わせが来ます。

「昨年おさめていただいたサーバーですが、製品名と製造者名を正式な表記で教えてください。
中に入っているOSとミドルウェアも、それぞれお願いします」

値段の話でも、故障の話でもありません。
急に細かいことを聞かれた、と感じるところです。

2026年10月1日から、新しい届出が始まります。
届け出るのは相手であって、こちらではありません。
ただ、その欄を埋める情報を持っているのは、おさめた側です。

この記事では、その届出の中身を、法律と政令と省令にあたって並べます。
何を聞かれるのか、いつまでに聞かれるのか、答えないと相手に何が起きるのか。
そして、聞かれる側に義務があるのかどうか。

10月1日から、届出が1つ増える

どの法律の、どこが動くのか

サイバー対処能力強化法と呼ばれている法律です。
正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」といいます。
令和7年法律第42号として、2025年5月23日に公布されました。

この法律は段階的に施行されてきました。
次の段階が2026年10月1日で、この日から第二章が動きます。

第二章の題名は「特別社会基盤事業者による特定侵害事象等の報告等」です。
第四条から第十条までが入っています。

下位の法令も、すでに出ています。
施行令は令和8年政令第47号として2026年3月23日に公布されました。
届出と報告の中身を決めている命令は、2026年5月28日に公布され、10月1日から施行されます。

「省令待ち」の段階は、もう終わっています。

届け出るのは、誰か

第二条第三項に定義があります。

出発点は「特定社会基盤事業者」です。
これは経済安全保障推進法で指定される、基幹インフラの事業者を指します。

同法の第五十条第一項は、対象になる事業を15の号に分けて挙げています。
電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、港湾運送、航空、空港、電気通信、基幹放送、郵便、金融、そして包括信用購入あっせんです。

この15分野に入ったうえで、規模などの基準に該当する者が、個別に指定されます。
指定されていれば、会社に通知が来ています。

自社が対象かどうかは、3段で確かめる

「うちも届出が要るのでは」と心配になったら、この順で見ます。

1. 自社が特定社会基盤事業者に指定されているか。経済安全保障推進法第五十条第一項の指定である

2. 指定されている場合に、特定重要電子計算機を使っているか

3. どの電子計算機がそれに当たるかは、施行令の第一条と、命令の第一条に条件が書かれている

1つ目で外れれば、そこで終わりです。
指定を受けていない会社に、この届出の義務は生じません。

中小企業は、まず入りません。
ここははっきりしています。

この法律の全体像と、報告義務がどの順番で動くかは、別の記事で扱っています。
改正個人情報保護法とあわせて、施行の時期を追っています。
https://note.com/yunta_fukurou/n/n8144638b8dec

どの機械が「特定重要電子計算機」なのか

納入側から見ると、気になるのは3つ目です。
自分が入れたあの機械は、対象に入るのか。

命令の第一条が、機能で切っています。
出発点は、特定重要設備と、公衆用ではない回線で直接または間接につながっている電子計算機です。
そのうえで、次のいずれかに当たるものが対象になります。

1. 特定重要設備に電磁的記録を送る機能があり、その送信で経路制御をしないもの

2. ルーティング機器のうち、他のルーティング機器を介さずに一号電子計算機へ信号を送るもの

3. ファイアウォール等であって、他のファイアウォール等を介さずに一号電子計算機へ信号を送るもの

4. 特定重要設備に送られる記録を一時的に保存する機能があり、ファイアウォール等を介してのみ送受信できるもの、およびそのファイアウォール等

5. ネットワーク構成図などを保存している電子計算機（一時的に保存するものを除く）

条文の言い回しは長いですが、並んでいるのは、境目に立っている機械です。
ルーターとファイアウォール、その手前で記録を預かるサーバー、そして構成図を置いてあるところ。

5つ目は見落としやすいところです。
図面を置いてある機械も、対象になり得ます。

それでも、この記事が納入側の話である理由

届出の欄が、こちらに聞かないと埋まらないからです。

次の章で見ますが、届け出る5項目のうち2つは、機械をおさめた側でないと正確に書けません。
だから問い合わせが来ます。

届け出るのは、製品名と製造者名

条文に書いてある2つ

第四条第一項です。

製品名と、製造者名です。

省令が並べた5項目

「その他の主務省令で定める事項」の中身は、命令の第二条第五項にあります。

5つです。
1つ目から3つ目までは、相手が自分で書けます。

4つ目と5つ目は、おさめた側に聞くほうが早い。
ここが問い合わせの出どころです。

PR

箱だけではない。中のソフトも対象

これがいちばん見落とされるところです。
命令の第二条第一項は、届出の対象を2つに分けています。

用途を決めて作られた専用機なら、箱のほうを届け出る。
汎用の機械なら、中で動いているソフトを届け出る。
こういう分け方です。

納入した側から見ると、聞かれるのは箱の型番だけではない、ということになります。
プリインストールしたOSの版、入れたデータベース、載せた業務アプリケーション。
それぞれの正式な製品名と、それぞれの製造者名です。

「サーバー1台」では、答えになりません。

届け出なくてよいものも、決まっている

同じ第二条第一項に、ただし書があります。
届出が要らない場合が2つ書かれています。

1つ目は、その特定重要電子計算機が、同じ事業者か、親会社が同じ会社か、一方が他方の親会社である会社の事業に使われるものである場合です。
グループの中で使っているものは、外されます。

2つ目は、広く一般に使用されているものとして、特別社会基盤事業所管大臣と内閣総理大臣が指定したものである場合です。

2つ目は、納入側にとって大きい話です。
広く使われているOSが指定されれば、そのぶんは聞かれません。
逆に言えば、指定されていないものは残ります。

何が指定されているかは、相手の側が確認することです。
こちらから「これは指定されているはずです」と答えないほうがよい。

クラウドを使っている場合は、読み替える

命令の第二条第四項に、かっこ書きで書かれています。

クラウドサービスを使っている特定重要電子計算機については、製品名はそのクラウドサービスの名称、製造者名はそのクラウドサービスを提供する事業者名になります。

自社が仲介して契約しているクラウドがあるなら、サービスの正式名称と、提供している事業者の正式名称が答えになります。

期限は4月以内。入れ替えれば、また来る

導入した日から4月以内、様式第一

命令の第二条第一項に、期限が書かれています。

導入した日から4月以内で、様式第一です。

すでに入っているものは、施行から6月以内

ここが、この秋にいちばん効いてきます。
法律の附則第四条です。

10月1日の時点ですでに入っている機械は、施行の日から6月以内に届け出ます。
2027年3月31日までです。

新しく買うぶんの話ではありません。
すでに動いている機械を、全部、洗い出すことになります。

だから、この秋から冬にかけて、納入側への問い合わせが集中します。
「昨年おさめていただいたサーバーですが」で始まるのは、そのためです。

なお、施行の直後に入れたものについては、命令の附則にも同じ趣旨の読み替えがあります。

変更があれば、また届け出る

一度出して終わりではありません。
法の第四条第三項です。

命令の第三条第一項によれば、変更の日から4月以内で、様式第二です。

機器を入れ替えたとき。
OSを入れ替えたとき。
ミドルウェアを別の製品に替えたとき。
そのたびに、欄を埋め直すことになります。

「軽微な変更」は、1つしかない

ただし書の「軽微なもの」に期待したくなりますが、範囲は狭いです。
命令の第三条第四項が、こう定めています。

軽微なのは、届け出た会社自身の名前が変わったときだけです。
製品名や製造者名の変更は、軽微には入りません。

つまり、この問い合わせは1回で終わりません。
取引が続くかぎり、更新のたびに来ます。

すでに出した書類で、代えられる場合がある

導入等計画書という、別の届出

基幹インフラの事業者は、これとは別に、経済安全保障推進法で「導入等計画書」を出しています。
特定重要設備を入れるときに、あらかじめ届け出る制度です。

その記載事項が、同法の第五十二条第二項に並んでいます。
第二号ハがこうです。

構成する機器とプログラムまで書かせています。
ただし「特定妨害行為の手段として使用されるおそれがあるもの」という限定が付いています。
すべての部品ではありません。

さらに第三号ロが重要維持管理等の委託の相手方、第三号ハがその再委託に関する事項です。
保守を請けている会社も、その下請けも、書かれる側にいます。

名前がそろっていれば、同じ紙で済む

命令の第二条第四項が、この2つをつないでいます。

設備または構成設備の名称が、特定重要電子計算機の製品名と同一であり、かつ、その供給者の名称が製造者名と同一である場合に限って、導入等計画書の提出をもって、今回の届出書に代えることができます。

名前がそろっていれば、同じ紙で済む。
そろっていなければ、別に出すことになります。

だから、名前をそろえておく価値がある

納入する側から見ると、こうなります。

設備として答えた名前と、電子計算機として答える名前を、同じにしておく。
カタログ名、契約書の名称、納品書の名称が社内でばらついていると、相手の手間が増えます。

相手が2枚書くことになるか、1枚で済むかが、こちらの表記のそろい方で変わります。

期限のあるものを一覧で持っておく、という形は、サーバ証明書の側でも同じです。
有効期間の上限が短くなっていく話と、台帳の作り方をまとめています。
https://note.com/yunta_fukurou/n/n30db220f551f

事故のとき、なぜ急かされるのか

報告するのは、事故だけではない

もう1つ、温度の違う問い合わせがあります。

「先月おさめた機器で、ログに見慣れない通信が残っています。
これは何ですか。
いつからですか。
至急、書面で回答してください」

その背景にあるのが第五条です。

読むべきは「原因となり得る事象」です。

実害が出た事故だけではありません。
その原因になり得る事象も、認知した時点で報告の対象になります。

現場の感覚に置き換えると、侵入された、止まった、消えた、に加えて、まだ何も起きていないが起きてもおかしくない状態まで拾いにいく、ということです。
認証の失敗が異様に多い、見覚えのない設定が入っている、といったものです。

拾いにいく相手は、その機器を知っている人になります。

「原因となり得る事象」として、6つが並んでいる

中身は命令の第四条第一項にあります。
一号の電子計算機について、イからヘまでの6つが挙げられています。

1. 正当な理由がないのに、意図に反する動作をさせる不正な指令を与える電磁的記録を受信させる行為が行われる事象

2. アクセス制御機能に対し、回線を通じて他人の識別符号が入力される事象

3. アクセス制御機能による制限を免れることができる情報または指令が入力される事象

4. つながっている他の機器のアクセス制御機能で制限されている電子計算機に対し、その制限を免れる情報または指令が入力される事象

5. 不正アクセスに使う目的で、他人の識別符号が取得される事象

6. 特定侵害事象、または1から5までの事象の痕跡が記録される事象

6つ目が効きます。

痕跡が記録されていること自体が、報告の対象です。
被害が出ていなくても、ログに残っていれば拾うことになります。

冒頭に挙げた「ログに見慣れない通信が残っています」という問い合わせは、ここから来ます。

分かっている範囲で、先に出す仕組みになっている

急かされる理由は、報告事項の書き方にもあります。
命令の第四条第三項です。

7項目あります。
報告の区分、事業者の概要、事象の概要、発生した特定重要電子計算機、技術的な事項、対応に関する事項、その他特記事項です。

かっこ書きが効いています。
速やかに報告する場合は、3号から7号までは、その時点で分かっているものだけでよい。

裏を返すと、分かっていることを先に出す仕組みです。
調べ終わるのを待たずに動きます。
だから、こちらに届く問い合わせも「至急」になります。

大臣は、資料の提出を求められる

報告のあとに、もう1段あります。
第九条です。

求められるのは事業者であって、こちらではありません。
ここは押さえておいてください。

ただ、求められた事業者が何を出せるかは、手元にある資料で決まります。
機器の構成、設定、作業の記録。
それを持っているのが誰かという話になります。

出さないと命令が来る。従わないと罰金

ここが、問い合わせが形式的に終わらない理由です。
まず第六条です。

届け出ていない、報告していない、報告の中身が違う。
そう認められると、期限を切って命令されます。

そして命令に従わないと、第八十三条です。

第九条の報告や資料の提出については、第八十四条があります。

さらに第八十六条が両罰規定です。

担当者だけでなく、会社にも罰金が科されます。

10月1日に動く罰則は、全部ではない

1つ注意があります。
この法律の罰則の章は第七十九条から第八十六条までですが、10月1日の版に条文があるのは第八十二条から第八十六条までです。

附則の第一条第四号に、こう書かれています。

第七十九条から第八十一条までは、公布から2年6月以内の別の日です。
両罰規定も、第八十条第一項に関する部分だけは、まだ動きません。

10月1日から効くのは、第八十三条の200万円と、第八十四条の30万円と、その2つについての両罰規定です。
罰則がまとめて動くわけではありません。

聞かれる側に、答える義務はあるか

法律上の義務は、ない

ありません。
この法律が義務を課しているのは、届け出る側です。

第九条で資料の提出を求められるのも、事業者です。
納入した会社に、この法律にもとづく提出義務は生じません。

答えるかどうかは、取引の話です。
契約に情報提供の条項があるかどうかで決まります。

それでも、答えられる形にしておく理由

義務ではないと分かったうえで、では実務としてどうするか。
4つです。

1. 正式表記を1枚にまとめておく。カタログの表記、契約書の表記、納品書の表記が社内でばらついていると、聞かれるたびに調べ直すことになる

2. 中のソフトまで書き出しておく。汎用機ならOSとミドルウェアとアプリケーションが対象になる。納品時に一覧を残していないと、あとから現地を見に行くことになる

3. 答えられないものを先に決めておく。他社から仕入れた部品の詳細、開発元の内部仕様、契約で開示できないもの。何を出せて何を出せないかを整理しておけば、急ぎの問い合わせでも即答できる

4. 窓口を1つにする。営業と技術のどちらに来ても同じ答えが返る状態にしておく

「確認します」を繰り返すのが、いちばん時間を食います。

逆に言えば、ここができている会社は、相手にとって扱いやすい取引先になります。
期限を抱えている側からすれば、聞けばすぐ答えが返ってくることに価値があります。

2027年3月31日までの半年は、その差がいちばん見える期間です。

取引先から事故の照会が来たときの動き方を書面にするなら、書式があります。
初動72時間フローシートと報告書式を含む6種です。

まとめ

• 2026年10月1日、サイバー対処能力強化法の第二章が施行される。届け出るのは特別社会基盤事業者で、経済安全保障推進法で指定された基幹インフラの事業者のうち、特定重要電子計算機を使っているところ。中小企業は対象にならない

• 届け出るのは、事業者の概要、特定重要設備の区分、電子計算機の区分、製品名、製造者名の5項目。後ろの2つは、おさめた側に聞かないと埋まらない

• 対象は箱だけではない。汎用の機械なら、組み込まれたオペレーティングシステム、ミドルウェア、アプリケーションがそれぞれ対象になる

• グループ内で使うものと、広く一般に使用されているものとして指定されたものは、除かれる。クラウドの場合は、サービス名と提供事業者名が答えになる

• 期限は導入した日から4月以内で様式第一。変更があれば変更の日から4月以内で様式第二。軽微とされるのは、届け出た会社自身の名称変更だけ

• 施行の時点ですでに導入されている機械は、施行の日から6月以内、つまり2027年3月31日までに届け出る。この秋から冬に問い合わせが集中する理由がここにある

• 経済安全保障推進法の導入等計画書と名称が一致していれば、そちらの提出で代えられる。名前をそろえておく価値がある

• 事故のときの報告は、実害が出た事象だけでなく、その原因となり得る事象にも及ぶ。速やかに報告する場合は、分かっている範囲で先に出す仕組みになっている

• 届出や報告を怠ったと認められた事業者には期限を定めた命令が出て、従わないと200万円以下の罰金。資料提出については30万円以下。両罰規定で法人にも科される。ただし10月1日に条文があるのは第八十二条から第八十六条までで、罰則が全部動くわけではない

• 聞かれる側に、この法律にもとづく回答義務はない。それでも急かされるのは、聞いている側に期限と罰金があるから

皆さんの会社がおさめた機械について、中で動いているソフトの製品名と製造者名を、いますぐ一覧で出せるでしょうか。

参考・引用元

法律と下位法令（いずれもe-Gov法令検索で、2026年10月1日施行の版にあたりました）

• 重要電子計算機に対する不正な行為による被害の防止に関する法律（令和7年法律第42号） https://laws.e-gov.go.jp/law/507AC0000000042

• 重要電子計算機に対する不正な行為による被害の防止に関する法律施行令（令和8年政令第47号、2026年3月23日公布） https://laws.e-gov.go.jp/law/508CO0000000047

• 重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令（2026年5月28日公布、2026年10月1日施行） https://laws.e-gov.go.jp/law/508M60000F5A004

指定と導入等計画書の側

• 経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律（令和4年法律第43号） https://laws.e-gov.go.jp/law/504AC0000000043

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40

関連する記事

この法律の全体像と、報告義務がどの順番で動くかは、別の記事で扱っています。
改正個人情報保護法とあわせて、施行の時期を追っています。
https://note.com/yunta_fukurou/n/n8144638b8dec

取引先が対象になっている会社で事故が起きたとき、最初の72時間に何が起きるかは、こちらで扱っています。
10月から始まる報告義務が、取引経由でどう効いてくるかもまとめています。
https://note.com/yunta_fukurou/n/n10bc6d66e71e

自社が被害にあったときの相談先と届出先は、別の記事で扱っています。
義務として残る届出は1つだけ、という整理をしています。
https://note.com/yunta_fukurou/n/ndb7fdddb2cf5

製品の名前で安全性を確かめる仕組みは、別の制度の側にもあります。
IoT機器のラベルを型番から引く手順をまとめています。
https://note.com/yunta_fukurou/n/nae2e31725fff