第１ 本記事の対象と結論
１ 対象と基準日
本記事は，発注者が委託先・外注先などの取引先に対し，セキュリティ認証の取得，有償のセキュリティサービスの利用，体制の整備又はサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★の取得を求める場面を扱う。
基準日は令和８年１１月７日であり，法令はe-Gov法令検索で同日に確認した現行版による。
国家サイバー統括室は，令和８年１１月５日の注意喚起「個人情報の漏えい等につながる不正アクセスへの対策について」で，委託先を含めたサプライチェーン全体を管理の対象とするよう求めた。
同じ箇所で，委託先に対策を求める際の費用負担と取引上の地位にも注意を促している。
本記事は，この注意喚起が参照する経済産業省・公正取引委員会の文書と，独占禁止法及び製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律（以下「取適法」という。）の条文を基に，要請するときの注意点を整理する。
２ 結論
結論は次のとおりである。
① 取引先にサイバーセキュリティ対策の実施を要請すること自体は，直ちに独占禁止法上問題となるものではない。
② ただし，要請の方法や内容によっては，優越的地位の濫用（独占禁止法２条９項５号）として問題となり得る。
③ 経済産業省・公正取引委員会は，問題となるおそれがある行為として，対策のコスト上昇を考慮しない一方的な対価の決定，根拠や範囲が不明確なセキュリティ対策費の負担要請，合理的な必要性のない指定サービスの購入・利用強制を挙げる。
④ 取適法の対象となる取引では，買いたたき，購入・利用強制，経済上の利益の提供要請及び協議に応じない一方的な代金の決定（取適法５条）が問題となる。
⑤ 実務上は，求める対策を特定し，価格協議の機会を設け，応じない場合の理由を書面又は電子メールで回答し，同等以上の対策を認めることが，違反の未然防止につながる。
第２ 委託先のセキュリティ対策を求める必要性
１ 国家サイバー統括室の注意喚起
令和８年１１月５日の注意喚起は，業務委託先や保守事業者の環境を足掛かりとして発注元のシステムへ侵入される事案が確認されていると述べる。
そして，委託先が利用するリモート接続環境は攻撃者にとって「正規の認証情報を用いた侵入口」となり得るとし，「こうした場合でも、サービス停止や情報漏えいに伴う影響は発注元である事業者自身が負うことになります。」と説明する（同注意喚起９頁）。
同注意喚起は，委託先の接続経路への多要素認証の適用，作業が完了した委託先のアカウントの無効化，発注仕様書や業務委託契約書への秘密保持義務・再委託の手続・インシデント発生時の通知義務と連絡先・契約終了時のデータ消去の明記，SCS評価制度等の客観的な評価の活用を対策例として挙げる（同１０頁）。
また，「委託先に対策を求める際は、費用負担や実施方法について十分に協議し、取引上の地位を利用した一方的な負担の押し付けとならないよう留意してください」と述べ，参考資料として経済産業省・公正取引委員会の文書を挙げている（同９頁・１３頁）。
２ 個人情報保護法２５条の監督義務
個人データの取扱いを委託する場合には，個人情報保護法２５条が委託元の監督義務を定める。
同条は，「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。」と規定する。
委託先にセキュリティ対策を求めることは，この監督義務を果たす手段でもある。
監督の具体的な方法は，外部委託先で個人情報が漏えいした場合の委託元の対応で扱っている。
もっとも，監督義務があることは，対策の費用を一方的に委託先へ負わせてよい理由にはならない。
委託元の法的義務と，取引条件の決め方は，別に検討する必要がある。
第３ 経済産業省・公正取引委員会の考え方
１ 要請すること自体は直ちに問題とならない
経済産業省と公正取引委員会は，令和４年１０月２８日に「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」を公表し，令和７年１２月２６日に同文書を補足する想定事例と解説を追加した。
同文書の第３の２は，Ｑ＆Ａの形で考え方を示している。
同文書は，「発注側となる事業者が、取引の相手方に対し、サイバーセキュリティ対策の実施を要請すること自体が直ちに独占禁止法上問題となるものではありません。」とする。
他方で，「要請の方法や内容によっては、独占禁止法上の優越的地位の濫用として問題となることもある」とも述べる。
独占禁止法上問題となるのは，行為者の取引上の地位が相手方に優越しており，相手方が今後の取引への影響等を懸念して要請を受け入れざるを得ないことが前提である（同文書の注１）。
独占禁止法２条９項５号は，「自己の取引上の地位が相手方に優越していることを利用して、正常な商慣習に照らして不当に」，同号イからハまでの行為をすることを不公正な取引方法と定めている。
令和７年１２月２６日の追加資料（概要，想定事例及び解説の３点）は，発注者側が取引先にSCS評価制度に基づく対策を要請する場面を想定し，独占禁止法や取適法との関係を整理して「問題とならない」事例とその解説を示したものである。
その内容は，下記５で説明する。
２ 取引の対価の一方的決定
優越的地位にある事業者が，サイバーセキュリティ対策を要請し，その実施によって相手方に生じるコスト上昇分を考慮することなく，一方的に著しく低い対価を定める場合は，独占禁止法上問題となる。
同文書は，違反の未然防止の観点から，積極的に価格交渉の機会を設け，相手方と十分に協議して，対策の内容や費用負担の在り方を決定することが望まれるとする。
同文書は，問題となるおそれがある例として次の二つを挙げる。
① 有償のセキュリティサービスの利用やセキュリティの認証の取得を要請したのに，コスト上昇分を取引価格に反映する必要性について，価格交渉の場で明示的に協議しないまま従来どおり据え置くこと
② セキュリティ対策責任者の設置，従業員教育，被害発生時の対処フローの遵守などの体制の構築を要請し，人件費などのコスト上昇を理由に価格の引上げを求められたのに，応じない理由を書面，電子メール等で回答しないまま据え置くこと
３ セキュリティ対策費の負担の要請
優越的地位にある事業者が，セキュリティ対策費などの名目で相手方に金銭の負担を要請する場合も，注意を要する。
同文書は，負担額や算出根拠等が明確でなく相手方にあらかじめ計算できない不利益を与える場合や，相手方が得る直接の利益等を勘案して合理的と認められる範囲を超えた負担となる場合は，独占禁止法上問題となるとする。
４ 購入・利用強制
優越的地位にある事業者が，対策の要請に際し，合理的な必要性がないのに自己の指定する商品の購入や役務の利用を強制する場合も，独占禁止法上問題となる。
同文書は，相手方が要請と同等以上の対策を既に講じていて新たなサービスを利用する必要がないのに，指定する事業者のより高価なセキュリティサービスを利用させる例を挙げている。
SCS評価制度について，経済産業省は「本制度の評価基準を達成するにあたっては、特定のセキュリティ対策製品の導入が必須とされているものではありません。」と説明している。
したがって，★の取得を求める場合でも，特定の製品やサービスの利用を条件とするには，別に合理的な必要性を説明できるかを検討する必要がある。
５ 令和７年１２月の想定事例と解説
追加の想定事例は，大企業が取引先の中堅企業に対し，SCS評価制度の★４に相当する組織体としての対策の実施を要請し，その中堅企業も自らの取引先である中小企業に同様の対策を要請する場面を想定している（概要，想定事例１頁）。
大企業は，説明会で対策の必要性と具体的な方法を説明し，要請の際には費用負担の考え方や対策に要した費用も価格交渉の対象となることを説明しており，取引先からの価格交渉は円満に合意に至り，その結果を双方が書面に記録して保存したとされている（想定事例１頁～３頁）。
解説は，製品・サービスの仕様として求める対策ではなく，取引の相手方に組織体としての対策を求める場面を対象とし，想定事例のような対応をとった場合には，通常は独占禁止法及び取適法上の問題は生じないと考えられるとする（解説３頁）。
また，当時国において検討中であったSCS評価制度の評価基準に基づく対策の実施は，サプライチェーンに属する企業にとって必要性と合理性があり，取引の相手方に合理的範囲を超えた負担を課すものではないと考えられるとする一方，合理的な必要性がないのに対策を強制する場合など，要請の方法や内容によっては独占禁止法や取適法上問題となるとしている（解説４頁）。
解説は，組織体としての対策の費用は，製品・サービスの直接経費ではなく，労務費や一般管理費といった間接経費として計上されることが想定されるとし，発注側企業は，間接経費の転嫁について価格交渉の申出があった場合にはその申出に応じる必要があるとする（解説５頁）。
対策の実施を直接要請していない発注側企業も，取引の相手方から価格交渉の申入れがあった場合には，積極的に交渉に応じる必要があるとされている（解説６頁）。
第４ 取適法が適用される取引
１ 対象となる取引
令和８年１月１日に施行された取適法は，下請代金支払遅延等防止法（下請法）を改めた法律である。
同法は，製造委託，修理委託，情報成果物作成委託，役務提供委託及び特定運送委託を対象とし，委託事業者と中小受託事業者の区分を資本金の額又は常時使用する従業員の数で定める（取適法２条８項・９項）。
例えば，常時使用する従業員の数が３００人を超える法人が３００人以下の事業者に製造委託等をする場合（同条８項５号）や，１００人を超える法人が１００人以下の事業者に情報成果物作成委託又は役務提供委託（政令で定める情報成果物及び役務に係るものを除く。）をする場合（同項６号）も対象となる。
経済産業省・公正取引委員会の文書は，公表当時の下請法について，同法と独占禁止法のいずれも適用可能な行為には通常は下請法が適用されると説明していた。
同ページの本文のＱ＆Ａは下請法の名称のままであるため，現在の条文は取適法で確認する必要がある。
２ 問題となり得る規定
セキュリティ対策の要請に関係し得る取適法５条の規定は，次のとおりである。
① ５条１項５号：給付の内容と同種又は類似の内容の給付に対し通常支払われる対価に比し著しく低い代金の額を不当に定めること（買いたたき）
② ５条１項６号：給付の内容を均質にし又はその改善を図るため必要がある場合その他正当な理由がある場合を除き，自己の指定する物を強制して購入させ，又は役務を強制して利用させること
③ ５条２項２号：自己のために金銭，役務その他の経済上の利益を提供させることによって，中小受託事業者の利益を不当に害すること
④ ５条２項４号：費用の変動その他の事情が生じた場合に，協議に応じず，又は必要な説明・情報の提供をせず，一方的に代金の額を決定すること
５条２項４号は，「中小受託事業者の給付に関する費用の変動その他の事情が生じた場合において、中小受託事業者が製造委託等代金の額に関する協議を求めたにもかかわらず、当該協議に応じず、又は当該協議において中小受託事業者の求めた事項について必要な説明若しくは情報の提供をせず、一方的に製造委託等代金の額を決定すること。」と定める。
本記事の整理としては，委託事業者の要請によってセキュリティ対策の費用が増えた中小受託事業者が代金の協議を求めた場合に，この規定との関係を検討することになる。
また，取適法５条１項７号は，中小受託事業者が違反の事実を公正取引委員会，中小企業庁長官又は事業所管大臣に知らせたことを理由とする不利益な取扱いを禁じている。
第５ 要請するときの実務
１ 求める対策を特定する
「十分なセキュリティ対策を講じること」とだけ求めると，必要な費用も，達成したかどうかも判断できない。
SCS評価制度を使う場合は，求める★の段階，参照する要求事項・評価基準の版，取得の単位と対象範囲を特定する。
経済産業省は，２社間の取引契約等において，委託元が委託先に適切な段階（★）を提示し，対策を促して実施状況を確認する使い方を想定している。
契約上の確認事項は，SCS評価制度の契約実務で扱っている。
２ 価格協議の機会を設け，記録する
要請と同時に，費用の見積りと取引価格への反映の要否を協議する場を設ける。
価格の引上げに応じない場合は，その理由を書面又は電子メールで回答し，協議の経過を残しておく。
これは，経済産業省・公正取引委員会の文書が挙げる問題例を裏返した実務上の対応であり，記録さえあれば適法になるという趣旨ではない。
３ 同等以上の対策を認める
取引先が既に同等以上の対策を講じている場合に備え，指定するサービスに代えて，同等以上であることの説明や証跡の提出で足りるとする余地を設ける。
特定の製品・事業者を指定する場合は，接続方式の統一や監視体制との連携など，指定する合理的な必要性を説明できるようにしておく。
４ 支援策を案内する
経済産業省・公正取引委員会の文書は，サイバーセキュリティお助け隊サービス，セキュリティアクション及び中小企業の情報セキュリティ対策ガイドラインの活用を取引先に促すことを期待している。
経済産業省は，中小企業がSCS評価制度の★３・★４を取得しやすくするため，サイバーセキュリティお助け隊サービスの新類型の実証事業を令和８年９月から行っている。
令和８年１１月６日の「サイバーセキュリティ緊急対策パッケージ」も，同サービスに被害発生時の診断，定期バックアップと復旧支援，定期脆弱性診断等の支援メニューを加えるとしている。
お助け隊サービスの選び方は，法律・税理士事務所の情報セキュリティ自社診断と「サイバーセキュリティお助け隊」の選び方を参照されたい。
５ 要請を受けた側の対応
要請を受けた取引先は，求められている対策の内容と範囲，費用の見積り，既存の対策で足りる部分を整理した上で，代金の協議を書面又は電子メールで申し入れることが考えられる。
協議の申入れ，回答及び合意の内容を残しておくことは，後に取適法５条２項４号の適用が問題となったときの資料にもなる。
対策の実施を要請していない別の発注者に価格交渉を申し入れることが難しい場合は，公正取引委員会の相談窓口や，公益財団法人全国中小企業振興機関協会の取引かけこみ寺に相談することも考えられる（解説６頁）。
第６ よくある質問
１ 取引先にSCS評価制度の★の取得を求めてもよいか
求めること自体は直ちに独占禁止法上問題とはならない。
もっとも，取得の費用を考慮しないまま取引価格を据え置いたり，合理的な必要性なく特定の事業者のサービスの利用を求めたりすると，優越的地位の濫用や取適法５条の問題となり得る。
２ セキュリティ対策の費用は誰が負担するのか
法律が一律に負担者を決めているわけではなく，当事者間の協議と契約で決める。
国家サイバー統括室の注意喚起も，費用負担や実施方法について十分に協議するよう求めている。
３ 委託先が原因で漏えいしても発注者の責任になるのか
委託先の環境が入口になった場合でも，サービス停止や情報漏えいの影響は発注元が負うと国家サイバー統括室は説明している。
個人データの取扱いを委託した場合は，個人情報保護法２５条の監督義務もある。
民事上の責任の有無は，契約内容と事実関係によるので，外部委託先で個人情報が漏えいした場合の委託元の対応の第８を参照されたい。
第７ 関連記事
① 国家サイバー統括室の注意喚起（令和８年１１月５日）と緊急対策パッケージ―事業者が確認すべき対策と法的義務の区別
② SCS評価制度の契約実務―★３・★４の取得，脆弱性対応期限及び委託先管理
③ 外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督
④ Web制作・保守会社にPHPを更新する責任はあるか―保守契約の範囲，サポート終了版，責任制限条項と重過失
第８ 出典
① 内閣官房国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について～ウェブサイトやモバイルアプリに関する基本的な対策の徹底～」（２０２６年１１月５日）９頁・１０頁・１３頁
② 経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」（令和４年１０月２８日，令和７年１２月２６日更新）第３の２
③ 経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップ構築促進に向けた想定事例及び解説（概要）」（令和７年１２月２６日）
④ 経済産業省・公正取引委員会「【想定事例】発注側企業からの「サプライチェーン強化に向けたセキュリティ対策評価制度」４つ星相当の対策の実施要請を踏まえ、発注側企業と取引の相手方とが円満に価格交渉を行うためのプラクティス」（令和７年１２月２６日掲載）１頁～３頁
⑤ 経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて（令和４年10月28日 経済産業省・公正取引委員会）を踏まえた想定事例について（解説）」（令和７年１２月２６日掲載）３頁～６頁
⑥ 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（令和８年１０月２８日更新）
⑦ サイバーセキュリティに関する関係閣僚会議「サイバーセキュリティ緊急対策パッケージ（案）について」（令和８年１１月６日，資料２）別紙１３頁
⑧ e-Gov法令検索「私的独占の禁止及び公正取引の確保に関する法律」２条９項５号
⑨ e-Gov法令検索「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律」２条８項・９項，５条
⑩ e-Gov法令検索「個人情報の保護に関する法律」２５条