SBOM義務化の現在地｜経済産業省の手引とEU CRAが課す期限と対応範囲

SBOMを用意すべきかどうかは、日本の法律ではなく「EU市場に製品を出すか」で決まります。2026年8月時点で国内にSBOMを直接義務づける法律はなく、経済産業省が示しているのは手引という指針です。一方でEUのサイバーレジリエンス法（CRA）は2027年12月11日の全面適用でSBOM作成を必須要件に含め、2026年9月11日からは報告義務が先行して動き出しました。米国は逆方向で、2026年1月付のOMB M-26-05が連邦調達の一律要件を撤回しています。この記事では日本・EU・米国の要求水準を並べ、自社が対象になる条件と着手の順序を整理します。

まとめ：EU向け出荷の有無で分かれるSBOM義務の期限と提出物

判断の分岐点は一つです。EU市場にデジタル要素を持つ製品を上市するなら、2027年12月11日以降はSBOMの作成がCRAの必須要件（Annex I Part II(1)）となり、CEマーキングを付けて販売する前提条件になります。該当しないなら、2026年8月時点で法的な提出義務は生じません。

ただし義務がないことと、SBOMを用意しなくてよいことは別です。国内の開発現場に効いてくるのは法規制より取引先からの要求で、その水準は経済産業省の手引ver2.0と、2026年7月に経産省・国家サイバー統括室が署名した国際ガイダンスが事実上の基準になっています。米国は2026年1月付のOMB M-26-05で連邦調達の自己証明を撤回しましたが、医療機器のSection 524Bのように法律で提出を求める枠は残ったままです。

着手の順序は、対象判定、生成の自動化、提出形式の合意という3段階で考えると迷いません。この記事ではまず法域別の要求水準を一覧にし、そのうえでEU・米国それぞれの条件と、規制対象外の企業が取引先要求にどう向き合うかを扱います。

日本とEU・米国で分かれるSBOM要求の現在地と経済産業省の手引の位置づけ

SBOMの法規制は制度ごとに対象も強制力も違います。まず全体の地図を作り、そのうえで自社が引っかかる制度だけを深く読む順番が効率的です。

法域別の義務レベルと提出期限を並べた2026年8月時点の一覧

2026年8月時点で、SBOMに関わる主な制度は次の5つです。強制力の強い順ではなく、日本企業が引っかかりやすい順に並べています。

この表で自社が該当する行が1つもなければ、法規制としてのSBOM対応は急ぎません。1行でも該当するなら、その制度が求める形式と期限を先に確定させてから、ツールや体制の話に進みます。

経済産業省の手引ver2.0が示す導入プロセスと法的拘束力の範囲

経済産業省の「ソフトウェア管理に向けたSBOMの導入に関する手引」は、2023年7月のver1.0を2024年8月にver2.0へ改訂したものです。ver2.0では導入をフェーズに分け、脆弱性管理とライセンス管理それぞれの手順を具体化しました。

誤解が起きやすいのはこの手引の性格です。手引は行政指針であり、従わなくても罰則はありません。国内法でSBOMの作成・提出を一般の民間製品に義務づける規定は、2026年8月時点で存在しない。それでも手引が読まれるのは、発注側が調達要件を書くときの参照元になっているからです。

実務では、手引の記載項目をそのまま提出フォーマットの下敷きにするのが早道になります。部品表に何を書くかという中身については、SBOMの定義と記載項目、SPDXやCycloneDXの違いを整理した解説で扱っています。

2026年7月署名の国際ガイダンスが国内の実務水準に与える影響

2026年7月29日、CISAが「2026 Minimum Elements for a Software Bill of Materials」を公表しました。経済産業省と内閣官房 国家サイバー統括室を含む18機関が共同署名しています。2021年7月にNTIAが示した最小要素を5年ぶりに見直し、必須データ項目として10項目を新設した改訂です。

署名は法的義務を生みません。生むのは基準の一致です。日本の手引が参照する最小要素と、EU・米国が参照する最小要素が同じ土台に乗ったことで、「日本向けのSBOM」と「輸出向けのSBOM」を別々に作る必要が薄れました。逆に言えば、旧来の2021年版の項目だけで作ったSBOMは、取引先の検収で差し戻される可能性が出てきます。

新設された項目には生成ツールとそのバージョン、コンポーネントのハッシュ値など、手作業では埋めにくいものが含まれます。手書きのExcel台帳で運用していた企業ほど、生成の自動化を先に決める必要があります。どの製品タイプでそれを担うかは、生成・管理・SCAのタイプ別にSBOMツールを比較した記事で整理しました。

医療機器や自動車など業界別の調達基準が先行して求める記載事項

横断的な法規制がない国内でも、業界単位では先行しています。医療機器は米国FDAのSection 524Bが申請要件としてSBOMを求めるため、米国へ出す製品を持つメーカーは国内向けの体制も同じ基準に合わせざるを得ません。

自動車はUN-R155とISO/SAE 21434がサイバーセキュリティマネジメントシステムを求め、その中で部品構成の把握が前提になります。SBOMという語で条文に書かれているわけではないものの、供給元・版数・依存関係を記録していなければ要求を満たせない構造です。

この2業界に共通するのは、規制当局ではなく発注元が窓口になる点です。完成品メーカーが認証を取るために、部品を納める側へ記載事項が降りてきます。自社が直接の規制対象かどうかだけを見て判断すると、取引先からの要求を取りこぼします。

EU CRAが2026年9月と2027年12月に課すSBOM要件と対象企業の条件

SBOMを法律の必須要件として明記した制度は、2026年8月時点でEU CRAが最も影響範囲の広いものです。日付が2つあり、何が始まるかが違います。

Annex I Part II(1)が定める機械可読SBOMとトップレベル依存関係

CRAのSBOM要件は本文ではなくAnnex I（附属書I）のPart II(1)にあります。製造者は、製品に含まれる脆弱性とコンポーネントを特定・文書化し、その手段として広く使われる機械可読形式でSBOMを作成すること。求められる範囲は「少なくとも製品のトップレベル依存関係」です。

ここを読み違えると過剰投資になります。全依存関係を再帰的に展開した完全なSBOMは要件ではありません。直接依存するコンポーネントを機械可読形式で出せていれば、必須要件としては満たします。PDFやExcelで人が読む前提の部品表は、機械可読の条件を外れるため作り直しになります。

CRAの対象製品区分や適合性評価の手続きそのものは、サイバーレジリエンス法の対象範囲と適合性評価を扱った解説で扱っています。本記事はSBOMに関わる部分に絞ります。

2026年9月11日の報告義務と2027年12月11日の全面適用の切り分け

2026年9月11日から動いているのは、脆弱性とインシデントの報告義務です。積極的に悪用されている脆弱性や重大なインシデントを把握した製造者は、ENISAと所管CSIRTへ24時間以内に早期警告を出し、以降72時間・14日の段階で追加報告を行います。

2027年12月11日は全面適用の日で、必須要件とCEマーキングの前提がそろわない製品はEU市場に出せなくなります。SBOM作成義務が効き始めるのはこちらです。

実務上の落とし穴は、先に来る報告義務のほうがSBOMを必要とする点にあります。24時間以内に「その脆弱性が自社製品のどれに入っているか」を答えるには、部品構成が事前に機械可読で揃っていなければ間に合いません。2027年の期限だけを見て準備を組むと、報告義務の運用で詰まります。

EU市場に製品を出荷する日本企業が対象になる条件と罰則の上限額

対象は「EU域内に上市する」事業者です。EUに法人がなくても、EU向けに製品を販売していれば製造者としての義務が生じます。輸入者・流通業者にも確認義務があるため、商社経由で自社製品がEUへ流れている場合は自社が該当します。

受託開発の立場では判定が分かれます。顧客の製品に組み込まれるソフトウェアを納める場合、CRA上の製造者は顧客側です。ただし顧客が適合性を示すためにSBOMを必要とするため、契約上の提出義務という形で同じ作業が回ってきます。

罰則は必須要件違反で最大1,500万ユーロ、または全世界年間売上高の2.5%のいずれか高い方です。金額の大きさより、市場に出せなくなることのほうが事業影響としては直接的といえます。

米国のSBOM要求が2026年1月のOMB M-26-05で緩んだ後に残る義務

2026年に入って米国側の要求は明確に緩みました。ただし全部が消えたわけではなく、緩んだ枠と残った枠を分けて見る必要があります。

M-22-18とM-23-16の撤回で変わった連邦調達の自己証明の扱い

OMBは2026年1月付のM-26-05で、M-22-18（2022年9月）とM-23-16（2023年6月）を撤回しました。この2本は、連邦機関がソフトウェアベンダーから安全な開発実践の自己証明フォームを取得することを求め、必要に応じてSBOMの提出も要求できるとしていたものです。

撤回後は、各機関が包括的なリスク評価に基づいて検証方法を決める形に変わりました。標準様式による一律の自己証明はなくなり、SBOMを求めるかどうかも機関の裁量です。2025年6月の大統領令14306が先行して関連要件を整理しており、その流れをOMBの実務ルールに落としたのがM-26-05にあたります。

米国政府向けにソフトウェアを納めている企業にとっては、提出先ごとに要求が変わる状態になったということです。共通様式を1つ用意すれば済んだ時期より、案件単位の確認が要ります。

医療機器のSection 524Bは撤回対象外で提出義務が続く理由

撤回されたのは大統領令に基づく調達ルールであり、法律そのものではありません。FD&C Act Section 524Bはサイバーデバイスの製造者に対し、商用・オープンソース・市販既製品のソフトウェアコンポーネントについてSBOMの提供を求めており、この条文は残っています。

運用面でも変わりません。FDAは2023年3月29日以降の申請でSBOMを含む要件を適用し、2023年10月1日からは要件を満たさない申請をRefuse to Acceptの対象としています。米国市場向けの医療機器を開発しているなら、調達ルールの動きとは無関係に提出が必要です。

法律で定めた義務と、行政の調達方針で定めた義務。この2つを混ぜて「米国のSBOM要求は撤回された」と読むのが、2026年に最も起きやすい誤読です。

米国の緩和を理由にSBOM着手を先送りする判断が成立しない条件

ここは言い切ります。EU向け出荷がある企業、米国のサイバー医療機器を扱う企業、そして完成品メーカーへ部品としてソフトウェアを納めている企業では、米国の緩和を理由にした先送りは成立しません。M-26-05が影響するのは米国連邦機関への直接納入という限られた経路だけだからです。

先送りが実際に成立するのは、販売先が国内のみで、取引先から提出要求が来ておらず、製品にオープンソースコンポーネントをほとんど含まない場合です。この3条件がそろうなら、他のセキュリティ対策を優先して構いません。

逆に危ういのは、EU向け出荷が商社経由で、自社は直接輸出していないと認識している場合です。上市の事実は流通経路ではなく市場で判定されるため、自社の出荷記録だけを見ていると対象判定を外します。

法規制の対象外でも取引先からSBOM提出を求められる場面と着手順序

国内企業がSBOMに着手する動機は、法規制よりも取引です。規制の対象外という判定が出たあとに何を決めておくべきかを整理します。

一次サプライヤ経由でSBOM提出要求が下りてくる取引上の力学

CRAの義務を負うのは完成品をEUに上市する製造者ですが、その製造者は自社製品に組み込んだ第三者コンポーネントの中身を把握しなければ適合を示せません。そこで契約条項という形で、部品を納める側に記載事項が下りてきます。

この流れは規制の施行日より前に始まります。2027年12月に適合を示す製品の設計は2026年から2027年前半に固まるため、要求が来るのはその設計段階です。施行日を基準に準備すると、要求のほうが1年以上早く到着します。

要求が来る前に決めておくと交渉が楽になるのは、出力形式と更新頻度の2点です。攻撃側がコンポーネントの弱点を狙う構図については、サプライチェーン攻撃の手口と侵入経路を整理した解説が背景として役立ちます。

受託開発でSBOMを納品物に含める場合の契約条項と保守の範囲

受託開発でSBOMを納品物に加えるときは、作成そのものより、納品後の更新責任をどこで切るかで揉めます。SBOMは納品時点のスナップショットにすぎず、公開される脆弱性情報は納品後も増え続けるためです。

契約で明記しておきたいのは次の3点です。

• 納品するSBOMの形式と対象範囲（トップレベル依存関係までか、推移的依存も含むか）
• 納品後に判明した脆弱性の調査と報告を、保守契約に含めるか都度見積とするか
• 顧客が第三者へSBOMを開示する際の取り扱い（コンポーネント構成は技術情報にあたる）

3点目を落とすと、納品したSBOMが顧客の顧客へそのまま渡り、自社の構成情報が意図しない範囲に出ます。開示先を限定する条項を先に入れておくほうが安全です。

SBOM対応の着手を見送ってよい条件と遅れて詰む場面の線引き

着手を見送ってよいのは、販売先が国内に閉じ、取引先からの要求もなく、外部コンポーネントの依存が浅い製品だけです。その場合はSBOMより先に、脆弱性が公開されたときに影響範囲を調べられる状態を作るほうが投資対効果が高くなります。

詰むのは、EU向け案件が営業段階で決まってから対応を始めるパターンです。ビルドの自動化ができていない開発体制では、生成の仕組みを入れるだけで数か月かかります。設計が固まってから部品構成を後追いで文書化する作業は、最初から生成する場合の数倍の工数になります。

自社の依存関係を把握できているか自信が持てない段階なら、SBOMの整備より先に現状の脆弱性を洗い出すほうが順序として妥当です。外部の目で棚卸しする場合は脆弱性診断・セキュリティ診断で構成情報を含めて確認し、その結果をSBOM整備の起点にする進め方が取れます。

よくある質問

SBOMの義務化と法規制について、対象判定と期限に関する質問をまとめました。

国内向けだけの製品でもSBOMを用意する必要はありますか？

2026年8月時点で、国内向け製品にSBOMの作成・提出を義務づける法律はありません。経済産業省の手引は指針であり、罰則を伴う規定ではないためです。ただし発注側が調達要件として手引を参照するケースは増えており、官公庁案件や大手製造業向けの案件では契約条件として提出を求められることがあります。法的義務ではなく取引条件として発生する、と理解しておくのが実態に近い判断です。

EU CRAの対象になるかはどう判断すればよいですか？

判定軸は「EU域内に製品を上市しているか」の一点です。EUに法人や拠点がなくても、EU向けに販売されていれば製造者としての義務が生じます。商社や販売代理店を経由している場合も、最終的にEU市場へ出ていれば該当します。自社の輸出記録だけでは判定できないため、販売チャネルの先まで確認してください。顧客の製品に組み込まれる形で納めている場合は、CRA上の製造者は顧客側ですが、契約経由で同等の対応を求められます。

SBOMを提出しないと本当に販売できなくなりますか？

EU市場については、2027年12月11日以降そうなります。SBOMの作成はCRAのAnnex I Part II(1)に定める必須要件で、必須要件を満たさない製品はCEマーキングを付けて上市できません。罰則は最大1,500万ユーロまたは全世界年間売上高の2.5%のいずれか高い方ですが、事業への影響としては市場アクセスを失うことのほうが直接的です。日本国内や米国の一般的な民生品については、販売の前提条件にはなっていません。

経済産業省の手引に沿えばEU CRAの要件も満たせますか？

記載項目については近づきますが、自動的に満たすわけではありません。2026年7月に公表された国際ガイダンスに経産省が署名したことで、日本の手引が参照する最小要素とEU側が前提とする項目の土台は共通化されました。一方CRAはSBOMの作成だけでなく、機械可読形式であること、報告義務や脆弱性対応プロセスと連動していることを求めます。手引に沿った部品表を出発点にして、形式と運用をCRA側の条文で確認する進め方になります。

SBOM対応はいつから着手すれば2027年12月に間に合いますか？

EU向け製品を持つなら、2026年中の着手が現実的な線です。理由は施行日ではなく設計スケジュールにあります。2027年12月に適合を示す製品の設計は2026年から2027年前半に固まり、部品構成の記録はその段階から積み上げる必要があるためです。既にビルドが自動化されていれば生成ツールの組み込みは数週間で済みますが、手作業のビルドが残る体制では準備に数か月かかります。まず自社のビルド工程が自動化されているかを確認してください。

関連記事

• SBOMとは？ソフトウェア部品表の目的・フォーマットと作成・運用の判断を解説：本記事が扱う制度要求に対して、部品表そのものの定義と記載項目を確認できます。
• SBOMツールの比較と選び方｜生成・管理・SCAのタイプ別に選定基準を解説：制度要求を満たす生成・管理の仕組みを、製品タイプ別に選ぶ基準を整理しています。
• サイバーレジリエンス法（CRA）とは？対象製品・義務・罰則と2027年適用までの実務：CRAの対象範囲、製品区分ごとの適合性評価、罰則の詳細を扱っています。
• サプライチェーン攻撃とは？手口・被害事例と企業が取るべき対策：SBOMが規制で求められる背景にある攻撃手口を解説しています。
• サプライチェーンセキュリティとは？リスクと対策の全体像：SBOMを含む供給網全体のセキュリティ対策の中での位置づけを確認できます。