公開2026.02.16更新2026.10.12 ビジネス理論・用語

中小企業のBCP対策｜災害・感染症・サイバー攻撃・取引先停止のリスク別具体例と着手順

中小企業のBCP対策は、地震・水害、感染症、サイバー攻撃、仕入先や物流の停止という4つのリスクごとに「何が止まるか」を先に決めると、手を付ける順番が見えてきます。帝国データバンクの2026年調査では、BCPを策定済み・策定中・策定検討中と回答した5,311社を対象に、想定リスクと対策を集計しています。この集計で、事業中断に備えて実施・検討している対策の上位は従業員の安否確認手段（65.3%）と情報システムのバックアップ（59.5%）でした。一方、警察庁の集計では、ランサムウェア被害の約6割が中小企業で、バックアップから復元できた組織は回答40件中11件にとどまっています。

この記事では、リスク別に中小企業が先に打つ具体策と、少ない人員・予算での優先順位を官公庁の資料と帝国データバンクの企業調査をもとに整理します。BCPの策定手順や中小企業庁のひな形の使い方は中小企業のBCP策定手順で扱っているので、ここでは「計画に何を書き、何を準備するか」に絞ります。

まとめ：中小企業のBCP対策で先に手を付けるもの

リスクの種類ではなく「拠点が使えない」「人が来ない」「データが使えない」「仕入れが止まる」という結果で対策を組むと、1つの備えが複数のリスクに効きます（内閣府事業継続ガイドライン）。
最初の3手は、安否確認の手段、ネットワークから切り離したバックアップ、主要仕入先の代替候補です。いずれも大きな設備投資なしで始められます。
本文で紹介するランサムウェア被害報告では、中小企業が約6割を占める一方、被害組織のBCPでサイバー攻撃を想定していたのは45件中6件でした。既存のBCPには、感染端末の隔離担当、連絡先、システム停止中の代替業務を具体的に加えます。
感染症は従業員の最大40%程度の欠勤を目安に、続ける業務と止める業務を事前に分けます。
代替拠点や在庫の二重化は費用がかさむため、同業他社との相互支援や重要部材だけの積み増しなど、実現しやすい方法から選びます。

以下、リスク共通の考え方、リスク別の具体策、予算が限られるときの着手順の順に説明します。

リスク共通の停止影響と対策の整理

内閣府ガイドラインの原因事象と結果事象

内閣府の「事業継続ガイドライン」（令和5年3月）は、自社に起きた事態を「直下型地震」のような原因事象で考えるのではなく、「自社の○○拠点が使用不能」のような結果事象で考えて対応策を検討するよう推奨しています。同じガイドラインは、重要な要素の代替を確保する代替戦略が幅広い発生事象に共通して有効となる可能性が高いとも書いています。

中小企業にとってこの考え方が効くのは、リスクごとに別々の計画を作る余力がないからです。次の表は、4つのリスクが業務停止につながる経路と、共通で効く備えの例です。

結果事象	主な発生経路の例	共通で効く備え
事務所・工場が使えない	地震・浸水、感染者発生による休業	代替拠点の候補地・相互支援
従業員が出社できない	交通途絶、発症・看病、休校	安否確認・代替担当者
データ・システムが使えない	機器の損壊・浸水、ランサムウェア	切り離したバックアップ・手作業様式
部材・商品が入らない	仕入先の被災・倒産、物流の混乱	代替調達先・重要部材の在庫

「データ・システムが使えない」という結果に備えるバックアップや代替システムは、地震とサイバー攻撃の両方で業務再開の手段になります。ただし初動は原因で変わります。地震なら身の安全と安否確認、ランサムウェアなら感染端末の切り離しが先で、ここは原因別に手順を分けて書きます。

ハザードマップと取引先所在地に基づく被災想定

想定する被害の大きさは、国土交通省の「重ねるハザードマップ」で事務所・倉庫・主要取引先の所在地を確認するところから始めます。洪水・土砂災害・高潮・津波のリスクを1枚の地図に重ねて表示できるため、浸水が想定される拠点と、想定されない拠点を短時間で切り分けられます。

地震は地域によって前提が変わります。地震調査研究推進本部が2026年1月1日を基準に計算した南海トラフ地震（M8〜M9クラス）の30年以内の発生確率は「60%〜90%程度以上」（すべり量依存BPTモデル）と「20%〜50%」（BPTモデル）の2通りで、どちらも最も高いランクに分類されています。太平洋側に拠点や仕入先がある企業は、自社が無事でも取引先が止まる前提で計画を立てます。

自然災害（地震・水害）への具体策

地震対策の優先事項：安否確認と設備・在庫の固定

地震の初動で最初に必要になるのは、誰が無事で誰が出社できるかの情報です。帝国データバンクの2026年調査でも、事業中断に備えた実施・検討内容の1位は「従業員の安否確認手段の整備」（65.3%）でした。中小企業なら、連絡網をメール・SMS・チャットの2系統以上で用意し、回答の集計担当と代理を決め、未回答者への再連絡まで試しておけば、発災時の役割分担を確認できます。従業員数が増えて手作業の集計が回らなくなったら、安否確認システムの導入を検討する段階です。

物の備えでは、棚・サーバーラック・工作機械の転倒防止と、重要書類やPCを床に直置きしない配置を優先します。転倒防止は地震対策、床から離す配置は浸水対策として検討します。工作機械やラックの固定費用は、設備と施工内容ごとに見積もります。

水害対策：想定浸水深に応じた重要設備の配置

ハザードマップで浸水が想定される拠点では、サーバー、分電盤、在庫のうち単価の高いものを想定浸水深より上の階・棚へ移すのが基本です。止水板や土のうは浸水の深さと継続時間によって効果が変わるため、まず「どこまで水が来るか」をハザードマップで確かめてから選びます。台風の接近など事前に備えられる場合もありますが、急な大雨や増水を数日前から予測できるとは限りません。気象庁の早期注意情報やキキクル、河川の水位情報を確認し、「危険が高まる前に在庫を上段へ移す」「安全に作業できる段階でサーバーを停止・移設し、避難が必要になったら作業を中止する」といった事前行動のタイムラインを書いておくと、計画が実際に動きます。

代替拠点の確保：候補地の選定と同業他社との相互支援

内閣府ガイドラインは、現在の拠点と同等の能力を持つ代替拠点は平常時の費用や採算性の面で容易でないとしたうえで、代替拠点の場所だけを決めて設備投資せずに立ち上げ訓練のみ行う方法や、同業他社と災害時の相互支援を合意する方法を「実現しやすい方法」として挙げています。自社の目標復旧時間と予算に照らして常設の二重化が必要な業務を絞り、それ以外はこうした方法で備えます。距離の離れた同業者と、互いの受注を一時的に引き受ける覚書を交わしておくのが、中小企業で取りやすい形です。

感染症への具体策

欠勤4割を想定した継続業務と休止業務の選別

2024年7月2日に全面改定された新型インフルエンザ等対策政府行動計画は、一般の事業者に対して可能な範囲で業務継続計画を策定することを勧奨しています（義務ではありません）。この計画に基づく事業者向けガイドラインは、人員計画の目安として従業員の最大40%程度の欠勤を想定する例を示しています。学校や保育施設の臨時休業で、本人が発症していなくても出勤できない従業員が出るためです。

40%は固定の基準ではなく目安ですが、中小企業では「10人の職場で4人が来られない日」を具体的に想像できる数字として使えます。その日に必ず続ける業務（受注、出荷、給与支払いなど）と、停止による損失や契約上の期限から休止できる業務を選び、継続業務には代替担当者を割り当て、実際に代行できるよう訓練します。

テレワークに移せる業務と移せない業務の線引き

政府行動計画は、オンライン会議、テレワーク、時差出勤など人と人との接触機会を減らす取り組みに備えた準備を検討するよう、事業者に勧奨しています。ただし製造・配送・店舗のように現場でしか回らない業務は移せません。事前にやっておくのは、移せる業務（経理、受発注、問い合わせ対応）に必要なデータとシステムが社外から使えるかの確認と、移せない業務の交代制シフトの案づくりです。社外から業務システムに入る経路を作ると、その入口がサイバー攻撃の入口にもなる点は次の章で扱います。

サイバー攻撃（ランサムウェア）への具体策

中小企業が被害の約6割、BCPにサイバー攻撃を含めた被害組織は45件中6件

警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、令和8年上半期のランサムウェア被害報告123件のうち79件が中小企業でした。令和7年の通年でも226件中143件が中小企業で、規模別の割合は前年と同じく約6割です。

同じ資料の被害組織へのアンケートでは、BCPの策定状況について回答した45件のうち、サイバー攻撃を想定に含むBCPを策定していたのは6件、サイバー攻撃を想定に含まないBCPを策定していたのが18件、未策定が21件でした。BCPを持っていても、その中身が地震や感染症だけだったケースが多いということです。

警察庁令和8年上半期の集計	件数
ランサムウェア被害報告（うち中小企業）	123件（79件）
復旧に1か月以上かかった・復旧中（有効回答48件）	25件
調査・復旧費用が1,000万円以上（有効回答35件）	21件
バックアップから復元できた（有効回答40件）	11件
BCPにサイバー攻撃を想定済み（有効回答45件）	6件

復旧期間・費用・BCPの各項目は被害組織全体へのアンケートで、中小企業だけの集計ではありません。それでも、調査・復旧費用が1,000万円以上の組織が約6割（35件中21件）という水準は、売上規模の小さい企業ほど重くのしかかります。

バックアップの隔離保管と復元テスト

同じ集計で、被害組織の88%（50件中44件）はバックアップを取得していました。ところがバックアップから復元を試みた40件のうち、復元できたのは11件です。復元できなかった29件の理由は、バックアップ自体の暗号化・消去が14件、運用不備が8件でした。社内ネットワークにつながり、攻撃者がアクセスできるバックアップは、本体と一緒に暗号化・消去されるおそれがあります。

中小企業が押さえる要点は2つです。1つは、少なくとも1世代をネットワークから切り離した媒体か、書き換えできない設定のクラウドストレージに置くこと。もう1つは、年に1回以上、実際にそのバックアップから業務データを戻してみることです。取得方式の違いや手順はバックアップのやり方で詳しく説明しています。佐賀大学は2026年9月24日に事務用端末を停止し、9月28日に通常業務を再開しました。大学の公表資料には復元方法の説明がないため、早期再開の理由がバックアップだったとまでは言えません。警察庁の統計と合わせた佐賀大学のランサムウェア被害の解説では、攻撃者に消されない複製の作り方を扱っています。

IPAガイドライン第4.0版：6か条と自社診断25項目

情報処理推進機構（IPA）は2026年3月27日に「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開しました。最初に取り組む「情報セキュリティ6か条」は、OSやソフトウェアを最新にする、ウイルス対策ソフトを導入する、パスワードを強化する、共有設定を見直す、バックアップを取る、脅威や攻撃の手口を知る、の6項目です。

次の段階は、ガイドライン付録の「5分でできる！情報セキュリティ自社診断」（25項目）で弱い箇所を洗い出すことです。6か条に取り組むと自己宣言できるのがSECURITY ACTIONの一つ星、自社診断を実施して情報セキュリティ基本方針を策定・公開すると二つ星で、取引先からセキュリティ体制を問われたときの説明材料にもなります。どちらも認証ではなく自己宣言で、ロゴマークは無料で使えます。

システム停止中の手作業運用と復旧後のデータ反映

ランサムウェアの復旧は、警察庁の集計で1か月以上かかった組織と復旧中の組織を合わせると48件中25件にのぼります。その間の受注・出荷・請求を紙や表計算ソフトでどう回すかを決めておくのが、サイバー攻撃向けBCPの中身です。アサヒグループは2025年秋のランサムウェア被害の際、受注を手作業で続けながら出荷する商品を絞り込みました。経緯はアサヒビールのサイバー攻撃の時系列にまとめています。中小企業では、得意先別の受注書の様式と、手書き伝票から後でシステムに戻すときの担当を決めておくと、システム停止中に継続できる受注・出荷の範囲を確認できます。

サプライチェーン（仕入先・物流の停止）への具体策

単一仕入先への依存の把握と代替先との取引準備

帝国データバンクの2026年調査では、想定リスクとしての「物流の混乱」が36.5%と前年から9.0ポイント上がり、対策として「調達先・仕入先の分散」（42.1%）も5.2ポイント増えました。「取引先の倒産・廃業」（27.4%）や「取引先の被災」（26.0%）を想定する企業も4社に1社を超えています。

中小企業がまずやるのは、仕入れ金額の上位と、金額は小さくても代わりがない部材の仕入先をリストにすることです。そのうち1社にしか頼れないものについて、代替候補を1社探し、平時から少量でも取引して口座を開き、品質・納期・供給可能量を確認します。候補先の所在地や上流の調達先が既存先と重なり、同時に供給停止するおそれがないかも調べます。災害時に初めて連絡した相手から、すぐに供給を受けられるとは限らないためです。評価軸の決め方はサプライヤー管理と二社購買の判断が参考になります。

代替困難な部材の選別と予備在庫の確保

同じ調査で「予備在庫の確保」を実施・検討している企業は13.8%にとどまります。全品目の在庫を増やすと資金繰りを圧迫するため、積み増しは代替候補が見つからなかった部材と、調達に数か月かかる部材に限るのが現実的です。どのくらい持つかは、その部材の仕入先が止まってから代替先の供給が始まるまでの日数を目安にします。物流の寸断が心配な業種は、輸送手段や倉庫の分散を物流BCPの観点で確認してください。

取引先へのBCP・セキュリティ体制の説明準備

サプライチェーンの問題は、自社が止まる側だけではありません。大企業の取引先として、BCPの有無やセキュリティ対策の水準を質問票で確認される場面が増えています。サイバー攻撃では、取引先経由で親企業のシステムに侵入される経路が問題視され、取引先の対策水準を★3・★4の段階で示すセキュリティ対策評価制度（SCS評価制度）も2027年3月頃に申請受付が始まる予定です。SECURITY ACTIONの宣言やBCPの要点を1枚にまとめた資料を用意しておくと、質問票への回答が早くなります。

予算と人手が限られる中小企業の着手順

4つのリスクすべてに一度に備える必要はありません。帝国データバンクの調査で中小企業がBCPを策定しない理由の上位は、スキル・人材・時間の不足でした。そこで、費用が小さく複数のリスクに効くものから順に手を付けます。

順番	対策	効くリスク	主な追加費用・工数
1	安否確認の手段と代理	災害・感染症	連絡網の設定・送受信テストの工数
2	切り離したバックアップと復元テスト	サイバー・災害	媒体・クラウド代
3	代わりのない仕入先の代替候補	サプライチェーン・災害	試験発注・品質確認の費用
4	欠勤時に続ける業務の一覧	感染症・災害	業務の洗い出しの工数
5	システム停止時の手作業様式	サイバー・災害	様式づくりの工数
6	代替拠点の場所・相互支援協定	災害	訓練の人件費

帝国データバンクも調査結果の考察で、安否確認手段の整備、データバックアップ、代替調達先の確保といったシンプルな施策から着手し、影響の大きいリスクへ広げていくのが現実的だとしています。設備の耐震化や止水設備、非常用電源のように費用がかかる対策は、事業継続力強化計画の認定を受けると税制優遇や金融支援の対象になる場合があります。制度の使い分けはBCP対策の補助金・助成金を確認してください。

中小企業のBCP対策でよくある失敗

失敗の典型は、ひな形の全様式を埋めることを目標にして、半年かけて書類が完成した時点で止まるケースです。帝国データバンクの調査でも、未策定の中小企業の25.2%が「書類作りで終わってしまい、実践的に使える計画にすることが難しい」を理由に挙げています。上の表の1〜3だけでも先に実行し、計画書はそれを後から書き起こす順番にしたほうが、災害時に動く仕組みが早く手に入ります。もう1つの失敗は、BCPを地震だけで作り、サイバー攻撃を想定から外すことです。警察庁の集計が示すとおり、被害組織の多くがこの状態でした。

よくある質問

BCP対策として企業ですぐにできることは何ですか？

少ない追加費用で始めやすく、複数のリスクに備えられるのは、安否確認の連絡手段と代理担当の決定、ネットワークから切り離したバックアップの取得と復元テスト、代わりのいない仕入先の代替候補探しの3つです。帝国データバンクの2026年調査でも、安否確認（65.3%）とバックアップ（59.5%）が企業の実施・検討内容の上位でした。

中小企業の災害対策にはどのようなものがありますか？

地震では安否確認の手段と棚・機器の転倒防止、水害ではハザードマップで浸水深を確かめたうえでの重要設備の移設と、気象情報に応じた事前作業・作業中止・避難のタイムライン作成が中心です。拠点が使えない場合に備え、代替拠点の場所だけを決めておく、同業他社と相互支援を約束するといった費用を抑えた方法も内閣府ガイドラインで紹介されています。

BCPと防災マニュアル（緊急対応マニュアル）は何が違いますか？

防災マニュアルは避難や初期消火など、人命と建物を守る初動の手順書です。BCPは、危機発生時にも重要業務を継続し、中断した場合は目標時間内に復旧するため、優先業務や拠点・人・データ・仕入先などの確保策を平時から定める計画です。防災マニュアルはBCPの初動部分に含まれると考えると整理しやすく、定義や目標復旧時間の決め方はBCPとはで解説しています。