Prodej softwaru japonské kritické infrastruktuře

Co se změnilo 1. října 2026

Obě změny se často popisují jako jedna, mají ale odlišný právní základ i odlišné adresáty.

	Zákon o aktivní kybernetické obraně	Unified Standards
Co to je	Zákon č. 42 z roku 2025, japonsky サイバー対処能力強化法	Standard, o kterém rozhodlo Cybersecurity Strategic Headquarters 31. července 2026
Na koho se obrací	Určené provozovatele klíčové infrastruktury (基幹インフラ)	Na vládní úřady a jejich prostřednictvím na provozovatele v 16 odvětvích kritické infrastruktury
Co požaduje	Oznamování klíčových aktiv a hlášení incidentů vládě	Bezpečnostní opatření napříč odvětvími, od řízení a rizik dodavatelského řetězce po správu zranitelností
Jak zavazuje	Zákonné povinnosti se sankcemi	Sám o sobě vymahatelný není. K provozovatelům se dostává přes bezpečnostní standardy jednotlivých odvětví

Těchto 16 odvětví tvoří informace a komunikace, finance, letectví, letiště, železnice, elektroenergetika, plyn, státní služby, zdravotnické služby, voda, logistika, chemie, úvěry, ropa, přístavy a poštovní služby.

Spolu se standardy zveřejnil japonský National Cybersecurity Office pokyny pro tvorbu těchto bezpečnostních standardů, účinné rovněž od 1. října. Pro dodavatele jde o nejužitečnější dokument, protože podrobně popisuje, co se od provozovatelů očekává ve vztahu k firmám, od kterých nakupují.

Proč se to týká dodavatelů

Povinnosti nese provozovatel, takže dopad na vás je spíše obchodní než právní: přichází v podobě smluvních podmínek, kritérií pro zadávání zakázek a dotazníků. Co platí pro konkrétního zákazníka, závisí na jeho odvětví a na jeho vlastních bezpečnostních standardech, proto se zákazníka zeptejte a nic nepředpokládejte.

Unified Standards ukládají provozovatelům, aby rozuměli tomu, jak jejich kritické systémy závisejí na dodavatelském řetězci, aby věděli, jak na tom jejich dodavatelé jsou s bezpečností, a aby při nákupu produktů a služeb stanovili bezpečnostní požadavky. Pokyny z toho dělají konkrétní body.

Co po vás mohou provozovatelé požadovat

Pokyny rozlišují opatření, která by provozovatelé měli přijmout, a opatření, která jsou žádoucí. Tabulka ukazuje obojí spolu s tou částí důkazů, která může vzejít z vašeho buildu.

Co pokyny popisují	Úroveň	Důkazy z buildu
Bezpečnostní požadavky zapsané do smluv, s příklady, jako je řešení a hlášení závažných zranitelností (2.9 ②-2)	Měli by přijmout	Záznam každé zranitelnosti od triáže po opravené vydání
Dodavatelé zakoupených systémů hlásí, řeší a zveřejňují zranitelnosti v rámci smlouvy o údržbě (3.6 ①-2)	Měli by přijmout	Průběžné monitorování toho, co jste dodali, a vydání, kterých se jednotlivé zranitelnosti týkají
Způsob, jak při nálezu zranitelnosti nebo incidentu rychle sdílet informace s dodavatelem (2.9 ③-3)	Měli by přijmout	Historie buildů, která ukazuje, která vydání obsahují daný balíček
Pokud zadávání zakázky vyžaduje transparentnost, požádat dodavatele o vytvoření a poskytnutí SBOM (2.9 ③-4)	Žádoucí	SBOM z každého buildu, exportovaná ve formátu CycloneDX nebo SPDX
Ověření, že dodavatel vyvíjí podle postupů bezpečného vývoje softwaru (2.9 ③-4)	Žádoucí	Izolované joby buildu a vynucovaná egress policy

Vyžaduje Japonsko SBOM?

Podle Unified Standards ne, ty SBOM vůbec nezmiňují. Pokyny ji uvádějí jako možnost: provozovatel, který při zadávání zakázek potřebuje transparentnost, může dodavatele požádat o její vytvoření a poskytnutí, a pokyny odkazují na průvodce SBOM od METI ve verzi 2.0. Takovému požadavku se přesto vyplatí vyhovět, protože smlouva může z možnosti udělat závazek, který vás váže.

Co dalšího může váš zákazník hledat

• Hodnocení třetí stranou. Pokyny doporučují využívat externí hodnocení, aby se snížila práce s prověřováním dodavatelů. Jmenují posouzení shody ISMS a systém hodnocení SCS od METI a National Cybersecurity Office, jehož spuštění se plánuje přibližně na konec japonského fiskálního roku 2026.
• Systémy pro produkty a služby. Pokyny také odkazují provozovatele při stanovení výběrových kritérií na JC-STAR pro produkty IoT, ISMAP pro cloudové služby a JISEC pro IT produkty.
• Posouzení zranitelností. Provozovatelé pravidelně posuzují vlastní systémy a smluvní podmínky mohou posuzování a hlášení rozšířit i na vás.
• Podmínky pro data. Smlouvy mohou upravovat, kde se data nacházejí, ukládají, uchovávají, kam se přenášejí a jak se likvidují.

Co to znamená, pokud se už připravujete na CRA

Velkou část práce lze přenést. EU Cyber Resilience Act je samostatný režim s vlastními povinnostmi, takže jeho splnění neuspokojí to, co požaduje japonský zákazník. Obojí se ale sbíhá ke stejným otázkám: co je v softwaru, který jste dodali, kterých vydání se zranitelnost týká a co jste s ní udělali. Pokud tyto odpovědi pocházejí z vašeho buildu, můžete je pro japonského zákazníka použít znovu, místo abyste je skládali od začátku.

Kam zapadá CRACI

CRACI zaznamenává, co každý job GitHub Actions skutečně stáhl, vytváří SBOM z buildu, pak monitoruje, co bylo dodáno, a sleduje zranitelnosti od triáže až po opravené vydání. Tím získáte důkazy pro požadavky z tabulky výše.

Pokrývá to ale jen část toho, co může provozovatel očekávat. CRACI neprovádí posouzení zranitelností ani penetrační testy, neopravuje nasazené systémy a nepodává hlášení japonským úřadům. Do souladu s žádným odvětvovým standardem vás neuvede. CRACI je hostován v Evropě a jedinou certifikací, kterou má, je ISO/IEC 27001, proto obojí porovnejte s podmínkami pro data a výběrovými kritérii vašeho zákazníka.

Kritická infrastruktura Japonska: časté dotazy

Vztahuje se japonský zákon o aktivní kybernetické obraně na zahraniční dodavatele softwaru?

Jeho povinnosti oznamovat a hlásit incidenty nesou určení provozovatelé infrastruktury. Dodavatel ho spíše pocítí prostřednictvím toho, co tito zákazníci požadují ve smlouvách, proto si to ověřte u zákazníka a u svého právního poradce.

Jsou Unified Standards povinné?

Samy o sobě ne. Obracejí se hlavně na vládní úřady a stanovují, co by měly obsahovat odvětvové bezpečnostní standardy, takže to, co provozovatele zavazuje, závisí na jeho odvětví.

Kterých odvětví se to týká?

Šestnácti: informace a komunikace, finance, letectví, letiště, železnice, elektroenergetika, plyn, státní služby, zdravotnické služby, voda, logistika, chemie, úvěry, ropa, přístavy a poštovní služby.

Vyžaduje Japonsko SBOM?

Podle Unified Standards ne, ty SBOM nezmiňují. Pokyny pro bezpečnostní standardy uvádějí SBOM jako něco, o co může provozovatel dodavatele požádat, a smlouva z toho může udělat závazek.

Co požaduje oddíl o správě zranitelností?

Oddíl 3.3.6 Unified Standards žádá po provozovatelích, aby ověřovali, zda zranitelnosti postihují provozované systémy, pravidelně posuzovali své systémy a stanovili postupy záplatování s ohledem na to, že AI zkracuje dobu od objevení po zneužití.

Pokrývá příprava na CRA japonské požadavky?

Ne, ale velkou část důkazů lze přenést. SBOM, záznam o tom, kterých vydání se zranitelnost týká, a záznam o tom, jak byla řešena, jsou užitečné v obou případech.