Sälja programvara till japansk kritisk infrastruktur

Det här ändrades den 1 oktober 2026

De två förändringarna beskrivs ofta som en enda, men de har olika rättslig grund och olika målgrupper.

	Active Cyber Defense-lagen	Enhetliga standarder
Vad det är	Act No. 42 of 2025, på japanska サイバー対処能力強化法	En standard som Cybersecurity Strategic Headquarters beslutade om den 31 juli 2026
Vem det riktar sig till	Utsedda verksamhetsutövare inom kärninfrastruktur (基幹インフラ)	Statliga myndigheter och, via dem, verksamhetsutövare i 16 sektorer av kritisk infrastruktur
Vad det begär	Anmälan av viktiga tillgångar och incidentrapportering till regeringen	Sektorsövergripande säkerhetsåtgärder, från styrning och leveranskedjerisker till sårbarhetshantering
Bindande verkan	Rättsliga skyldigheter med påföljder	Inte verkställbar i sig. Den når verksamhetsutövare genom varje sektors säkerhetsstandarder

De 16 sektorerna är information och kommunikation, finans, flyg, flygplatser, järnväg, elkraft, gas, offentliga tjänster, sjukvård, vatten, logistik, kemikalier, kredit, olja, hamnar och posttjänster.

Vid sidan av standarderna publicerade Japans National Cybersecurity Office en vägledning för hur säkerhetsstandarderna ska skrivas, som också gäller från den 1 oktober. Det är det mest användbara dokumentet för en leverantör, eftersom det beskriver vad verksamhetsutövare förväntas göra när det gäller de företag de köper från.

Varför det här når leverantörer

Skyldigheterna ligger hos verksamhetsutövaren, så effekten för dig är kommersiell snarare än rättslig: den kommer i form av avtalsvillkor, upphandlingskriterier och frågeformulär. Vad som gäller för en viss kund beror på dess sektor och dess egna säkerhetsstandarder, så fråga kunden i stället för att anta.

De enhetliga standarderna uppmanar verksamhetsutövare att förstå hur deras kritiska system är beroende av leveranskedjan, att känna till leverantörernas säkerhetsläge och att ställa säkerhetskrav när de köper produkter och tjänster. Vägledningen omsätter det i konkreta punkter.

Vad verksamhetsutövare kan be dig om

Vägledningen skiljer mellan åtgärder som verksamhetsutövare bör vidta och åtgärder som är önskvärda. Tabellen visar båda, tillsammans med den del av underlaget som kan komma från ditt bygge.

Vad vägledningen beskriver	Nivå	Underlag från bygget
Säkerhetskrav som skrivs in i avtal, med exempel som hur allvarliga sårbarheter hanteras och rapporteras (2.9 ②-2)	Bör vidtas	En registrering av varje sårbarhet från triage till åtgärdad release
Leverantörer av inköpta system rapporterar, hanterar och offentliggör sårbarheter enligt underhållsavtalet (3.6 ①-2)	Bör vidtas	Löpande bevakning av det du har levererat och vilka releaser varje sårbarhet påverkar
Ett sätt att snabbt dela information med leverantören när en sårbarhet eller incident upptäcks (2.9 ③-3)	Bör vidtas	Bygghistorik som visar vilka releaser som innehåller ett paket
När upphandlingen behöver transparens, att be leverantören ta fram och tillhandahålla en SBOM (2.9 ③-4)	Önskvärt	En SBOM från varje bygge, exporterad som CycloneDX eller SPDX
Att bekräfta att leverantören utvecklar enligt säkra metoder för programvaruutveckling (2.9 ③-4)	Önskvärt	Isolerade byggjobb och en upprätthållen egress-policy

Kräver Japan en SBOM?

Inte enligt de enhetliga standarderna, som inte nämner SBOM:er. Vägledningen nämner dem som ett alternativ: en verksamhetsutövare som behöver transparens i upphandlingen kan be en leverantör ta fram och tillhandahålla en, och vägledningen hänvisar till METI:s SBOM-guide, version 2.0. Det är ändå troligen värt att tillmötesgå en sådan begäran, eftersom ett avtal kan göra ett alternativ bindande för dig.

Annat som din kund kan titta efter

• Tredjepartsutvärdering. Vägledningen föreslår externa utvärderingar för att minska arbetet med att granska leverantörer. Den nämner ISMS-bedömning av överensstämmelse och SCS-utvärderingssystemet från METI och National Cybersecurity Office, som planeras starta runt slutet av det japanska budgetåret 2026.
• System för produkter och tjänster. Den hänvisar också verksamhetsutövare till JC-STAR för IoT-produkter, ISMAP för molntjänster och JISEC för IT-produkter när de fastställer urvalskriterier.
• Sårbarhetsbedömningar. Verksamhetsutövare gör regelbundna bedömningar av sina egna system, och avtalsvillkor kan utvidga bedömning och rapportering till dig.
• Datavillkor. Avtal kan omfatta var data finns och hur de lagras, bevaras, överförs och gallras.

Vad det betyder om du redan förbereder dig för CRA

Mycket av arbetet går att återanvända. EU:s Cyber Resilience Act är ett eget regelverk med egna skyldigheter, och att uppfylla den innebär inte att du uppfyller det en japansk kund begär. Men båda handlar i grunden om samma frågor: vad som finns i programvaran du levererade, vilka releaser en sårbarhet påverkar och vad du gjorde åt den. Om svaren kommer från ditt bygge kan du återanvända dem för en japansk kund i stället för att sammanställa dem på nytt.

Var CRACI passar in

CRACI registrerar vad varje GitHub Actions-jobb faktiskt hämtade och tar fram en SBOM från bygget, bevakar sedan det som levererats och följer sårbarheter från triage till en åtgärdad release. Det ger dig underlag för önskemålen i tabellen ovan.

Det täcker bara en del av vad en verksamhetsutövare kan förvänta sig. CRACI gör inga sårbarhetsbedömningar eller penetrationstester, patchar inte driftsatta system och rapporterar inte till japanska myndigheter. CRACI gör inte att du uppfyller någon sektorsstandard. CRACI hostas i Europa och ISO/IEC 27001 är den enda certifiering det har, så kontrollera båda mot din kunds datavillkor och urvalskriterier.

Kritisk infrastruktur i Japan: vanliga frågor

Gäller Japans Active Cyber Defense-lag för utländska programvaruleverantörer?

Skyldigheterna att anmäla och rapportera incidenter ligger på utsedda verksamhetsutövare inom infrastruktur. En leverantör märker den snarare genom vad de kunderna begär i avtal, så stäm av med kunden och med din juridiska rådgivare.

Är de enhetliga standarderna obligatoriska?

Inte i sig. De riktar sig främst till statliga myndigheter och anger vad sektorernas säkerhetsstandarder bör innehålla, så vad som binder en verksamhetsutövare beror på dess sektor.

Vilka sektorer omfattas?

Sexton: information och kommunikation, finans, flyg, flygplatser, järnväg, elkraft, gas, offentliga tjänster, sjukvård, vatten, logistik, kemikalier, kredit, olja, hamnar och posttjänster.

Kräver Japan en SBOM?

Inte enligt de enhetliga standarderna, som inte nämner SBOM:er. Vägledningen för säkerhetsstandarder nämner en SBOM som något en verksamhetsutövare kan be en leverantör om, och ett avtal kan göra det bindande.

Vad begär avsnittet om sårbarhetshantering?

Avsnitt 3.3.6 i de enhetliga standarderna ber verksamhetsutövare kontrollera om sårbarheter påverkar system i drift, bedöma sina system regelbundet och fastställa rutiner för patchning, med hänsyn till att AI förkortar tiden från upptäckt till utnyttjande.

Täcker CRA-förberedelser de japanska kraven?

Nej, men mycket av underlaget går att återanvända. SBOM:er, registreringen av vilka releaser en sårbarhet påverkar och registreringen av hur den hanterades är användbara i båda fallen.