Sprzedaż oprogramowania japońskiej infrastrukturze krytycznej

Co zmieniło się 1 października 2026 r.

Obie zmiany są często opisywane jako jedna, ale mają inną podstawę prawną i innych adresatów.

	Ustawa o aktywnej cyberobronie	Jednolite standardy
Czym jest	Act No. 42 of 2025, po japońsku サイバー対処能力強化法	Standard przyjęty przez Cybersecurity Strategic Headquarters 31 lipca 2026 r.
Adresaci	Wyznaczeni operatorzy infrastruktury podstawowej (基幹インフラ)	Organy administracji i za ich pośrednictwem operatorzy z 16 sektorów infrastruktury krytycznej
Czego dotyczy	Zgłaszanie kluczowych zasobów i raportowanie incydentów rządowi	Międzysektorowe środki bezpieczeństwa, od ładu organizacyjnego i ryzyka łańcucha dostaw po zarządzanie podatnościami
Jak wiąże	Obowiązki prawne obwarowane karami	Same w sobie nie są egzekwowalne. Docierają do operatorów przez standardy bezpieczeństwa poszczególnych sektorów

Te 16 sektorów to informacja i komunikacja, finanse, lotnictwo, porty lotnicze, kolej, energia elektryczna, gaz, usługi administracji, usługi medyczne, woda, logistyka, chemia, kredyt, ropa naftowa, porty i usługi pocztowe.

Obok standardów japoński National Cybersecurity Office opublikował wytyczne do tworzenia tych standardów bezpieczeństwa, które również obowiązują od 1 października. To najbardziej przydatny dokument dla dostawcy, ponieważ precyzuje, czego oczekuje się od operatorów w odniesieniu do firm, od których kupują.

Dlaczego dotyczy to dostawców

Obowiązki spoczywają na operatorze, więc skutek dla Państwa jest raczej handlowy niż prawny: przyjmuje postać zapisów umownych, kryteriów zakupowych i kwestionariuszy. To, co obowiązuje danego klienta, zależy od jego sektora i jego własnych standardów bezpieczeństwa, dlatego proszę zapytać klienta, zamiast zakładać.

Jednolite standardy wskazują, że operatorzy powinni rozumieć, jak ich krytyczne systemy zależą od łańcucha dostaw, wiedzieć, jaki jest poziom bezpieczeństwa ich dostawców, i określać wymagania bezpieczeństwa przy zakupie produktów i usług. Wytyczne przekładają to na konkretne pozycje.

O co operatorzy mogą Państwa poprosić

Wytyczne oddzielają środki, które operatorzy powinni wdrożyć, od środków pożądanych. Tabela pokazuje jedne i drugie wraz z tą częścią dowodów, która może pochodzić z Państwa buildu.

Co opisują wytyczne	Poziom	Dowody z buildu
Wymagania bezpieczeństwa zapisane w umowach, z przykładami takimi jak obsługa i raportowanie poważnych podatności (2.9 ②-2)	Do wdrożenia	Zapis każdej podatności od triażu po wydanie z poprawką
Dostawcy zakupionych systemów raportują, obsługują i ujawniają podatności w ramach umowy serwisowej (3.6 ①-2)	Do wdrożenia	Stałe monitorowanie tego, co Państwo dostarczyli, oraz wydań, których dotyczy każda podatność
Sposób szybkiego dzielenia się informacjami z dostawcą po wykryciu podatności lub incydentu (2.9 ③-3)	Do wdrożenia	Historia buildów pokazująca, które wydania zawierają dany pakiet
Gdy zakup wymaga przejrzystości, poproszenie dostawcy o utworzenie i przekazanie SBOM (2.9 ③-4)	Pożądane	SBOM z każdego buildu, eksportowany w formacie CycloneDX lub SPDX
Potwierdzenie, że dostawca stosuje praktyki bezpiecznego wytwarzania oprogramowania (2.9 ③-4)	Pożądane	Odizolowane zadania buildu i egzekwowana polityka ruchu wychodzącego

Czy Japonia wymaga SBOM?

Nie na podstawie Jednolitych standardów, które nie wspominają o SBOM-ach. Wytyczne wymieniają je jako opcję: operator, który potrzebuje przejrzystości przy zakupach, może poprosić dostawcę o utworzenie i przekazanie SBOM, a same wytyczne odsyłają do przewodnika SBOM METI w wersji 2.0. Taką prośbę prawdopodobnie i tak warto spełnić, ponieważ umowa może uczynić opcję wiążącą dla Państwa.

Na co jeszcze może zwracać uwagę Państwa klient

• Ocena przez stronę trzecią. Wytyczne sugerują korzystanie z ocen zewnętrznych, aby ograniczyć pracę związaną ze sprawdzaniem dostawców. Wymieniają ocenę zgodności ISMS oraz system oceny SCS opracowany przez METI i National Cybersecurity Office, który ma ruszyć około końca japońskiego roku fiskalnego 2026.
• Systemy dla produktów i usług. Wytyczne wskazują też operatorom JC-STAR dla produktów IoT, ISMAP dla usług chmurowych i JISEC dla produktów IT przy ustalaniu kryteriów wyboru.
• Oceny podatności. Operatorzy okresowo oceniają własne systemy, a zapisy umowne mogą rozszerzyć ocenę i raportowanie na Państwa.
• Warunki dotyczące danych. Umowy mogą określać, gdzie dane się znajdują, są składowane, przechowywane, przekazywane i usuwane.

Co to oznacza, jeśli przygotowują się Państwo już do CRA

Dużą część pracy można wykorzystać ponownie. Unijny Cyber Resilience Act jest odrębnym reżimem z własnymi obowiązkami, więc jego spełnienie nie oznacza spełnienia tego, o co prosi japoński klient. Oba sprowadzają się jednak do tych samych pytań: co znajduje się w dostarczonym oprogramowaniu, których wydań dotyczy podatność i co Państwo z tym zrobili. Jeśli te odpowiedzi pochodzą z Państwa buildu, można je wykorzystać ponownie dla japońskiego klienta, zamiast zbierać je od nowa.

Rola CRACI

CRACI rejestruje, co każde zadanie GitHub Actions faktycznie pobrało, i tworzy SBOM z buildu, a następnie monitoruje to, co zostało dostarczone, i śledzi podatności od triażu po wydanie z poprawką. Daje to Państwu dowody na potrzeby próśb z powyższej tabeli.

To tylko część tego, czego operator może oczekiwać. CRACI nie przeprowadza ocen podatności ani testów penetracyjnych, nie łata wdrożonych systemów i nie składa raportów japońskim organom. Nie zapewnia Państwu zgodności z żadnym standardem sektorowym. CRACI jest hostowane w Europie, a ISO/IEC 27001 to jedyny posiadany przez nie certyfikat, dlatego proszę sprawdzić oba te punkty pod kątem warunków dotyczących danych i kryteriów wyboru Państwa klienta.

Infrastruktura krytyczna w Japonii: najczęściej zadawane pytania

Czy japońska ustawa o aktywnej cyberobronie ma zastosowanie do zagranicznych dostawców oprogramowania?

Jej obowiązki zgłaszania i raportowania incydentów spoczywają na wyznaczonych operatorach infrastruktury. Dostawca odczuje ją raczej przez to, o co ci klienci proszą w umowach, dlatego warto sprawdzić to z klientem i z doradcą prawnym.

Czy Jednolite standardy są obowiązkowe?

Nie same w sobie. Są skierowane głównie do organów administracji i określają, co powinny zawierać sektorowe standardy bezpieczeństwa, więc to, co wiąże operatora, zależy od jego sektora.

Których sektorów to dotyczy?

Szesnastu: informacji i komunikacji, finansów, lotnictwa, portów lotniczych, kolei, energii elektrycznej, gazu, usług administracji, usług medycznych, wody, logistyki, chemii, kredytu, ropy naftowej, portów i usług pocztowych.

Czy Japonia wymaga SBOM?

Nie na podstawie Jednolitych standardów, które nie wspominają o SBOM-ach. Wytyczne do standardów bezpieczeństwa wymieniają SBOM jako coś, o co operator może poprosić dostawcę, a umowa może uczynić to wiążącym.

O co prosi sekcja dotycząca zarządzania podatnościami?

Sekcja 3.3.6 Jednolitych standardów prosi operatorów o sprawdzanie, czy podatności dotyczą eksploatowanych systemów, o okresową ocenę systemów i ustalenie procedur wdrażania poprawek, z uwzględnieniem tego, że AI skraca czas od wykrycia do wykorzystania.

Czy przygotowania do CRA obejmują wymagania japońskie?

Nie, ale dużą część dowodów można wykorzystać ponownie. SBOM-y, zapis tego, których wydań dotyczy podatność, i zapis sposobu jej obsługi przydają się w obu przypadkach.