Ohjelmistojen myynti Japanin kriittiseen infrastruktuuriin

Mikä muuttui 1.10.2026

Muutoksista puhutaan usein yhtenä kokonaisuutena, mutta niillä on eri oikeudellinen perusta ja eri kohderyhmät.

	Active Cyber Defense -laki	Yhtenäiset standardit (Unified Standards)
Mikä se on	Laki nro 42 vuodelta 2025, japaniksi サイバー対処能力強化法	Kyberturvallisuuden strategisen päämajan (Cybersecurity Strategic Headquarters) 31.7.2026 päättämä standardi
Keitä se koskee	Nimettyjä keskeisen infrastruktuurin (基幹インフラ) operaattoreita	Viranomaisia ja niiden kautta 16 kriittisen infrastruktuurin toimialan operaattoreita
Mitä se edellyttää	Keskeisistä resursseista ilmoittamista ja poikkeamien raportointia viranomaisille	Toimialat ylittäviä turvatoimia hallinnosta ja toimitusketjun riskeistä haavoittuvuuksien hallintaan
Miten se sitoo	Lakisääteisiä velvoitteita seuraamuksineen	Ei itsessään täytäntöönpanokelpoinen. Se ulottuu operaattoreihin kunkin toimialan turvallisuusstandardien kautta

16 toimialaa ovat tieto- ja viestintäala, rahoitus, ilmailu, lentoasemat, rautatiet, sähkövoima, kaasu, julkishallinnon palvelut, terveydenhuolto, vesihuolto, logistiikka, kemianteollisuus, luottopalvelut, öljy, satamat ja postipalvelut.

Standardien rinnalla Japanin kansallinen kyberturvallisuusvirasto (National Cybersecurity Office) julkaisi ohjeen näiden turvallisuusstandardien laatimiseen, joka on sekin voimassa 1.10. alkaen. Se on toimittajalle hyödyllisin asiakirja, koska siinä kerrotaan tarkasti, mitä operaattoreiden odotetaan tekevän niiden yritysten suhteen, joilta ne ostavat.

Miksi tämä koskee toimittajia

Velvoitteet kuuluvat operaattorille, joten vaikutus sinuun on kaupallinen eikä oikeudellinen: se tulee sopimusehtoina, hankintakriteereinä ja kyselylomakkeina. Se, mitä tiettyyn asiakkaaseen sovelletaan, riippuu sen toimialasta ja sen omista turvallisuusstandardeista, joten kysy asiakkaalta äläkä oleta.

Yhtenäiset standardit ohjaavat operaattoreita ymmärtämään, miten niiden kriittiset järjestelmät riippuvat toimitusketjusta, tietämään, millä tasolla toimittajien tietoturva on, ja asettamaan tietoturvavaatimukset ostaessaan tuotteita ja palveluja. Ohje muuttaa tämän yksittäisiksi kohdiksi.

Mitä operaattorit voivat pyytää sinulta

Ohje erottaa toimet, jotka operaattoreiden pitäisi toteuttaa, toimista, jotka ovat suotavia. Taulukossa ovat molemmat sekä se osa näytöstä, joka voi syntyä buildistasi.

Mitä ohje kuvaa	Taso	Näyttö buildista
Sopimuksiin kirjatut tietoturvavaatimukset, esimerkkeinä vakavien haavoittuvuuksien käsittely ja raportointi (2.9 ②-2)	Pitäisi toteuttaa	Kirjaus jokaisesta haavoittuvuudesta luokittelusta ja priorisoinnista korjattuun julkaisuun
Hankittujen järjestelmien toimittajat raportoivat, käsittelevät ja julkistavat haavoittuvuudet ylläpitosopimuksen mukaisesti (3.6 ①-2)	Pitäisi toteuttaa	Toimitetun ohjelmiston jatkuva valvonta ja tieto julkaisuista, joita kukin haavoittuvuus koskee
Keino jakaa tietoa nopeasti toimittajan kanssa, kun haavoittuvuus tai poikkeama havaitaan (2.9 ③-3)	Pitäisi toteuttaa	Buildihistoria, joka näyttää, mitkä julkaisut sisältävät paketin
Kun hankinta edellyttää läpinäkyvyyttä, toimittajaa pyydetään laatimaan ja toimittamaan SBOM (2.9 ③-4)	Suotava	SBOM jokaisesta buildista CycloneDX- tai SPDX-muodossa
Varmistetaan, että toimittaja kehittää ohjelmistoja turvallisen ohjelmistokehityksen käytäntöjen mukaisesti (2.9 ③-4)	Suotava	Eristetyt build-jobit ja valvottu egress-käytäntö

Vaatiiko Japani SBOM:n?

Yhtenäiset standardit eivät vaadi, eivätkä ne mainitse SBOM:eja. Ohje nimeää ne vaihtoehdoksi: operaattori, joka tarvitsee hankinnoissa läpinäkyvyyttä, voi pyytää toimittajaa laatimaan ja toimittamaan sellaisen, ja ohje viittaa METI:n SBOM-oppaan versioon 2.0. Pyyntöön kannattaa silti todennäköisesti vastata, koska sopimus voi tehdä vaihtoehdosta sinua sitovan.

Muuta, mitä asiakkaasi voi edellyttää

• Kolmannen osapuolen arviointi. Ohje ehdottaa ulkopuolisten arviointien käyttöä toimittajien tarkastamisen työn vähentämiseksi. Se mainitsee ISMS-vaatimustenmukaisuuden arvioinnin sekä METI:n ja kansallisen kyberturvallisuusviraston SCS-arviointijärjestelmän, jonka on määrä käynnistyä Japanin tilivuoden 2026 lopun tienoilla.
• Tuote- ja palvelujärjestelmät. Ohje ohjaa operaattoreita myös JC-STAR-järjestelmään IoT-tuotteissa, ISMAP-järjestelmään pilvipalveluissa ja JISEC-järjestelmään IT-tuotteissa, kun ne asettavat valintakriteerejä.
• Haavoittuvuusarvioinnit. Operaattorit arvioivat omia järjestelmiään säännöllisesti, ja sopimusehdot voivat laajentaa arvioinnin ja raportoinnin koskemaan sinua.
• Tietoja koskevat ehdot. Sopimukset voivat kattaa sen, missä tiedot sijaitsevat, miten ne tallennetaan, säilytetään, siirretään ja hävitetään.

Mitä tämä tarkoittaa, jos valmistaudut jo CRA:han

Suuri osa työstä on siirrettävissä. EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) on erillinen sääntelyjärjestelmä omine velvoitteineen, joten sen täyttäminen ei täytä sitä, mitä japanilainen asiakas pyytää. Molemmat palautuvat kuitenkin samoihin kysymyksiin: mitä toimittamasi ohjelmisto sisältää, mihin julkaisuihin haavoittuvuus vaikuttaa ja mitä teit asialle. Jos vastaukset tulevat buildistasi, voit käyttää niitä uudelleen japanilaiselle asiakkaalle sen sijaan, että kokoaisit ne uudelleen.

Mihin CRACI sopii

CRACI tallentaa, mitä kukin GitHub Actions -jobi todella haki, ja tuottaa SBOM:n buildista, minkä jälkeen se valvoo toimitettua ohjelmistoa ja seuraa haavoittuvuuksia luokittelusta ja priorisoinnista korjattuun julkaisuun. Näin saat näyttöä yllä olevan taulukon pyyntöihin.

Se kattaa vain osan siitä, mitä operaattori voi odottaa. CRACI ei tee haavoittuvuusarviointeja eikä tunkeutumistestauksia, ei paikkaa käytössä olevia järjestelmiä eikä raportoi Japanin viranomaisille. Se ei tee sinusta vaatimusten mukaista minkään toimialastandardin osalta. CRACI:a ylläpidetään Euroopassa, ja ISO/IEC 27001 on sen ainoa sertifiointi, joten tarkista molemmat asiakkaasi tietoja koskevia ehtoja ja valintakriteerejä vasten.

Japanin kriittinen infrastruktuuri: usein kysytyt kysymykset

Koskeeko Japanin Active Cyber Defense -laki ulkomaisia ohjelmistotoimittajia?

Sen ilmoitus- ja poikkeamaraportointivelvoitteet koskevat nimettyjä infrastruktuurioperaattoreita. Toimittaja kohtaa sen todennäköisemmin sen kautta, mitä nämä asiakkaat pyytävät sopimuksissa, joten tarkista asia asiakkaalta ja lakimieheltäsi.

Ovatko yhtenäiset standardit pakollisia?

Eivät itsessään. Ne koskevat lähinnä viranomaisia ja määrittelevät, mitä toimialojen turvallisuusstandardien pitäisi sisältää, joten se, mikä operaattoria sitoo, riippuu sen toimialasta.

Mitä toimialoja ne kattavat?

Kuusitoista: tieto- ja viestintäala, rahoitus, ilmailu, lentoasemat, rautatiet, sähkövoima, kaasu, julkishallinnon palvelut, terveydenhuolto, vesihuolto, logistiikka, kemianteollisuus, luottopalvelut, öljy, satamat ja postipalvelut.

Vaatiiko Japani SBOM:n?

Yhtenäiset standardit eivät vaadi, eivätkä ne mainitse SBOM:eja. Turvallisuusstandardien laatimisohje nimeää SBOM:n asiaksi, jota operaattori voi pyytää toimittajalta, ja sopimus voi tehdä siitä sitovan.

Mitä haavoittuvuuksien hallintaa koskeva osio edellyttää?

Yhtenäisten standardien kohta 3.3.6 edellyttää, että operaattorit tarkistavat, vaikuttavatko haavoittuvuudet käytössä oleviin järjestelmiin, arvioivat järjestelmänsä säännöllisesti ja laativat paikkausmenettelyt ottaen huomioon, että tekoäly lyhentää aikaa löytämisestä hyödyntämiseen.

Kattaako CRA:han valmistautuminen Japanin vaatimukset?

Ei, mutta suuri osa näytöstä on siirrettävissä. SBOM:t, kirjaus siitä, mihin julkaisuihin haavoittuvuus vaikuttaa, ja kirjaus sen käsittelystä ovat hyödyllisiä molemmissa tapauksissa.