供應鏈
向日本關鍵基礎設施銷售軟體
日本有兩項網路安全變革於 2026 年 10 月 1 日生效。兩者都不是針對海外軟體廠商，但都提高了關鍵基礎設施業者對其供應商的期待。以下說明有哪些變化、您的客戶現在可以向您要求什麼，以及其中哪些要求可以由您的建置來回應。
更新日期
2026 年 10 月 1 日有哪些變化
這兩項變革常被混為一談，但兩者的法律基礎與適用對象並不相同。
| 主動網路防禦法 | 統一基準 | |
|---|---|---|
| 性質 | 2025 年第 42 號法律，日文名稱為 サイバー対処能力強化法 | 由網路安全戰略本部於 2026 年 7 月 31 日決定的基準 |
| 適用對象 | 受指定的核心基礎設施（基幹インフラ）業者 | 政府機關，並透過政府機關及於 16 個關鍵基礎設施領域的業者 |
| 要求內容 | 向政府申報關鍵資產並通報資安事件 | 跨領域的資安措施，從治理、供應鏈風險到漏洞管理 |
| 約束方式 | 附帶罰則的法律義務 | 本身不具強制力，而是透過各領域的安全基準約束業者 |
這 16 個領域為：資訊通訊、金融、航空、機場、鐵路、電力、瓦斯、政府與行政服務、醫療、水道、物流、化學、信用卡、石油、港灣與郵政。
除了這些基準之外，日本的國家網路安全統括室也發布了撰寫上述安全基準的指引，同樣自 10 月 1 日起生效。對供應商而言，這是最有用的一份文件，因為它具體說明了業者應如何對待其採購對象。
為什麼這會影響到供應商
義務由業者承擔，因此對您的影響是商業上的，而非法律上的：它會以合約條款、採購準則與問卷的形式出現。某位客戶適用哪些規定，取決於其所屬領域及其自身的安全基準，因此請直接詢問客戶，而不要自行假設。
統一基準要求業者了解其關鍵系統如何依賴供應鏈、掌握供應商的資安狀況，並在採購產品與服務時訂定資安要求。指引則將這些要求轉化為具體項目。
業者可能向您要求什麼
指引將業者應採取的措施與建議採取的措施分開列出。下表同時列出兩者，以及其中可以來自您建置的佐證資料。
| 指引所描述的內容 | 層級 | 來自建置的佐證資料 |
|---|---|---|
| 將資安要求寫入合約，例如嚴重漏洞的處理與通報方式（2.9 ②-2） | 應採取 | 每個漏洞從分級研判到修正版本的記錄 |
| 採購系統的供應商依維護合約通報、處理與揭露漏洞（3.6 ①-2） | 應採取 | 持續監控已出貨的內容，以及每個漏洞影響的版本 |
| 發現漏洞或資安事件時，能與供應商快速分享資訊的機制（2.9 ③-3） | 應採取 | 顯示哪些版本包含某個套件的建置歷史記錄 |
| 採購需要透明度時，要求供應商製作並提供 SBOM（2.9 ③-4） | 建議採取 | 每次建置產生的 SBOM，可匯出為 CycloneDX 或 SPDX 格式 |
| 確認供應商依安全軟體開發實務進行開發（2.9 ③-4） | 建議採取 | 隔離的建置作業與強制執行的對外連線政策 |
日本是否要求 SBOM？
統一基準並未要求，其中也沒有提到 SBOM。指引則將 SBOM 列為一個選項：需要採購透明度的業者，可以要求供應商製作並提供 SBOM，並參考經濟產業省（METI）的 SBOM 指南 2.0 版。即便如此，這類要求仍很可能值得配合，因為合約可以讓選項對您產生約束力。
客戶可能關注的其他事項
- 第三方評估。指引建議利用外部評估來減輕查核供應商的工作。其中提到 ISMS 符合性評鑑，以及由經濟產業省與國家網路安全統括室推動、預計於日本 2026 會計年度末左右開始的 SCS 評價制度。
- 產品與服務制度。指引也建議業者在訂定選擇準則時，參考適用於 IoT 產品的 JC-STAR、適用於雲端服務的 ISMAP，以及適用於 IT 產品的 JISEC。
- 漏洞評估。業者會定期評估自身系統，而合約條款可以將評估與通報的範圍延伸到您身上。
- 資料條款。合約可以涵蓋資料的所在位置、儲存、保留、傳輸與銷毀。
如果您已在為 CRA 做準備
大部分工作都可以沿用。歐盟 Cyber Resilience Act（CRA）是另一套具有自身義務的法規，因此符合 CRA 並不代表滿足日本客戶的要求。但兩者都歸結於相同的問題：您出貨的軟體裡有什麼、某個漏洞影響哪些版本，以及您採取了哪些處理。如果這些答案來自您的建置，您就可以將其重複用於日本客戶，而不必重新整理一次。
CRACI 的定位
CRACI 記錄每個 GitHub Actions 作業實際取用的內容，並產生來自建置的 SBOM，接著監控已出貨的內容，追蹤漏洞從分級研判到修正版本的過程。這能為上表中的要求提供佐證資料。
它只涵蓋業者可能期待的一部分。CRACI 不執行漏洞評估或滲透測試，不修補已部署的系統，也不向日本主管機關通報。它不會讓您符合任何領域的基準。CRACI 託管於歐洲，ISO/IEC 27001 是其唯一持有的認證，因此請將這兩點與客戶的資料條款及選擇準則進行核對。
日本關鍵基礎設施：常見問題
日本的主動網路防禦法是否適用於海外軟體廠商？
其申報與資安事件通報義務由受指定的基礎設施業者承擔。供應商較可能透過這些客戶在合約中提出的要求感受到影響，因此請向客戶及您的法律顧問確認。
統一基準是強制性的嗎？
本身並非強制。它主要針對政府機關，並規定各領域安全基準應包含的內容，因此對業者具有約束力的內容取決於其所屬領域。
涵蓋哪些領域？
共 16 個：資訊通訊、金融、航空、機場、鐵路、電力、瓦斯、政府與行政服務、醫療、水道、物流、化學、信用卡、石油、港灣與郵政。
日本是否要求 SBOM？
統一基準並未要求，其中也沒有提到 SBOM。安全基準的指引將 SBOM 列為業者可以向供應商要求的項目，而合約可以讓它產生約束力。
漏洞管理章節要求哪些內容？
統一基準第 3.3.6 節要求業者確認漏洞是否影響運作中的系統、定期評估其系統並訂定修補程序，同時考量 AI 會縮短從發現到遭利用的時間。
為 CRA 所做的準備能涵蓋日本的要求嗎？
不能，但許多佐證資料都可以沿用。SBOM、記錄某個漏洞影響哪些版本的資料，以及漏洞處理方式的記錄，在兩種情況下都很有用。