RESOURCE

SBOM最小要素の国際ガイダンスが改訂｜2026年版の変更点と実務対応｜ハチマルヤ合同会社（808）

2026.08.13

2026年7月30日、経済産業省と内閣官房国家サイバー統括室が、SBOM（ソフトウェア部品表）の最小要素に関する国際ガイダンス「2026 Minimum Elements for a Software Bill of Materials（SBOM）」に共同署名しました。[※1]

これは2021年に米国NTIAが公表した「最小要素」文書の改訂版にあたり、日本・米国を含む14か国のサイバーセキュリティ当局等が名を連ねています。

「また新しい規制が増えるのか・・」と嫌になった方もいるかもしれません。しかし結論から言うと、このガイダンスは新たな要求事項を創設するものではありません。[※1] とはいえ、SBOMをすでに生成している企業にとっては、内容を見直す明確なきっかけになります。

この記事では、ハチマルヤ合同会社（808）のコンサルタントが、今回の改訂で何が変わったのか、企業として何をすべきかを整理します。

SBOMそのものの基礎知識は、以下の記事で解説しています。

→ SBOMとは？EU CRA・米国大統領令が示す「ソフトウェア部品表」と企業の実務対応

何が発表されたのか

ガイダンスの位置づけ

今回署名された「2026 Minimum Elements for a Software Bill of Materials（SBOM）」は、SBOMに最低限含めるべきデータと、その取り扱い方を定義した国際的な共通文書です。[※1]

経緯を整理すると次の通りです。

時期	出来事
2021年7月	米国NTIAが「SBOMの最小要素」文書を公表
2025年8月	米国CISAが最小要素を更新した草案文書を公表
2025年9月	SBOM国際ガイダンス第一弾「共有ビジョン」に日本が共同署名
2026年7月30日	改訂版「2026 Minimum Elements」に日本を含む14か国が共同署名

共同署名したのは、日本・米国のほか、オーストラリア、カナダ、チェコ、フランス、ドイツ、インド、イタリア、韓国、オランダ、ニュージーランド、ポーランド、スロバキアの計14か国のサイバーセキュリティ当局等です。[※1]

日本の取り組みが国際事例として紹介された

注目すべき点として、経済産業省が策定した「ソフトウェア管理に向けたSBOMの導入に関する手引 ver2.0」が、SBOM導入を支援するための各国の事例として本ガイダンスの中で紹介されました。[※1]

日本国内でSBOM導入を進めてきた企業にとっては、その取り組みの方向性が国際的な文書の中で参照される形になったといえます。

最も重要な点：新たな義務ではない

実務担当者として最初に押さえるべきは、このガイダンスの性格です。

経産省の発表では、「本ガイダンスは新たな要求事項を創設するものではなく、SBOMを新たに生成する際や、既存のSBOMの内容を見直す際に、今後の脆弱性対応の効率化等を踏まえて推奨事項として参照することが期待される内容」と明記されています。[※1]

つまり、次のような整理になります。

期限までに何かを提出する義務が新たに発生したわけではない
既存のSBOMが直ちに「不適合」になるわけでもない
ただし、今後SBOMを生成・更新する際の実質的な標準として参照される

「急いで対応しなければ罰則がある」という性質のものではありませんが、すでにSBOMを運用している企業にとっては、内容を点検する良いタイミングです。

2026年版で何が変わったのか

改訂の内容は、大きく「データフィールド」と「プラクティス及びプロセス」の2つに分かれます。[※1]

データフィールド：SBOM文書を構成するデータそのもの
プラクティス及びプロセス：組織がSBOMデータをどのように取り扱い、文書化するか

新設されたデータフィールド（10項目）

今回の改訂で新たに追加された項目です。[※1]

分類	新設された項目
SBOM文書自体に関するもの	SBOM作成主体の署名、SBOMデータフォーマット名、SBOMデータフォーマットバージョン、SBOM生成コンテキスト、SBOMバージョン
生成ツールに関するもの	SBOMツール名、SBOMツールのバージョン
コンポーネントに関するもの	コンポーネントのハッシュ値、コンポーネントのハッシュ・アルゴリズム、コンポーネント・ライセンス

追加項目の傾向を見ると、「そのSBOMが誰によって、どのツールで、いつ、どういう文脈で作られたか」を明確にする方向の項目が増えています。SBOMを受け取った側が、そのデータの信頼性や鮮度を判断できるようにするための拡充だと読み取れます。

また、コンポーネントのハッシュ値・ハッシュアルゴリズムの追加は、コンポーネントの同一性をより厳密に特定できるようにするものです。名称やバージョンだけでは判別しきれないケースへの対応と考えられます。

更新された項目（7項目）

既存項目のうち、定義や記載方法が更新されたものです。[※1]

SBOM作成主体、SBOMタイムスタンプ、コンポーネント提供主体、コンポーネント依存関係、コンポーネント識別子、コンポーネント名、コンポーネント・バージョン

削除された項目（1項目）

アクセス制御に関する項目が削除されました。[※1]

プラクティス及びプロセスの更新

データの取り扱い方についても、次の項目が更新されています。[※1]

SBOMデータ更新への対応、カバレッジ、配布及び提供、不明情報の明示、頻度、機械処理可能なデータ

「不明情報の明示」が項目として存在する点は、実務上重要です。すべてを完全に把握できないケースがあることを前提に、「わからない部分をわからないと明示する」ことが求められていると理解できます。完璧なSBOMでなければ意味がない、という考え方ではありません。

適用範囲：AIソフトウェア・SaaSも対象

本ガイダンスの適用範囲は、オープンソースソフトウェア、AIソフトウェア及びSaaSを含む、すべてのソフトウェアとされています。[※1]

AIソフトウェアやSaaSが明示的に含まれている点は、従来の「パッケージソフトウェアや組込みソフトウェアの部品表」というイメージから範囲が広がっていることを示しています。

なお、特定の種類のソフトウェアに対して必要となり得る追加要素については、本ガイダンスの対象範囲外とされています。[※1]

EU CRAとの関係

今回のガイダンスの中では、EU CRA（サイバーレジリエンス法）について、デジタル要素を有する製品の製造者に対し、技術文書の一部としてSBOMの提供を義務付けていることが示されています。[※1]

ここは誤解が生じやすい点なので補足します。CRAが求めているのは、機械可読形式のSBOMを作成し技術文書として保持すること、および規制当局から要求があった場合に提供することです。一般公開や顧客への提供までを義務づけるものではありません。

EU市場向けに製品を提供している企業は、CRAの全面適用（2027年12月）に向けて、SBOMの作成と保持の体制を整える必要があります。

企業として何をすべきか

すでにSBOMを生成している企業

まず、自社のSBOMに新設項目が含まれているかを確認してください。特に、SBOM生成ツールの名称・バージョン、データフォーマットのバージョン、コンポーネントのハッシュ値などは、使用しているツールによっては自動で出力されている場合があります。

確認の結果、不足している項目があれば、次のいずれかで対応します。

SBOM生成ツールの設定を見直す（出力項目の追加）
ツールのバージョンを更新する（新しい版が対応している可能性）
ツール自体の乗り換えを検討する（現行ツールが対応していない場合）

いずれも「今すぐ全部やらなければならない」性質のものではありません。次回のSBOM生成・更新のタイミングで反映する計画を立てれば十分です。

これからSBOMを整備する企業

これから着手する企業にとっては、むしろ好都合なタイミングです。最初から2026年版の最小要素に沿った形で設計できるため、後からの手戻りが発生しません。

ツール選定の際は、「2026年版の最小要素に対応しているか」を確認項目に加えることをおすすめします。

SBOMの必要性自体を判断していない企業

そもそも自社にSBOMが必要かどうかを判断できていない場合は、次の3点を確認してください。

EU市場向けにデジタル製品を提供しているか（EU CRAの対象になる）
取引先からSBOMの提出を求められているか
脆弱性が公表された際に、自社製品への影響を素早く特定したいか

いずれにも当てはまらない場合、優先度は相対的に低くなります。なお、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3・★4の要求事項には、SBOMを直接求める項目は含まれていません。この点は以下の記事で詳しく解説しています。

→SCS評価制度にSBOMの要求事項はない。それでも整備すべき理由

まとめ

2026年7月30日、経産省・内閣官房国家サイバー統括室がSBOM最小要素の国際ガイダンスに14か国と共同署名[※1]
新たな要求事項を創設するものではなく、推奨事項という位置づけ
データフィールドは10項目が新設、7項目が更新、1項目が削除
新設項目の傾向は「そのSBOMが誰に・どのツールで・どう作られたか」を明確にする方向
適用範囲にAIソフトウェア・SaaSが明示的に含まれる
経産省の「SBOM導入に関する手引 ver2.0」が国際事例として紹介された
すでにSBOMを生成している企業は、次回の生成・更新時に新設項目への対応を反映すれば十分

よくある質問（FAQ）

Q1：既存のSBOMをすぐに作り直す必要がありますか？

必要ありません。本ガイダンスは新たな要求事項を創設するものではなく、推奨事項として参照されることが期待される内容です。[※1] 既存のSBOMが直ちに不適合になるわけではないため、次回の生成・更新のタイミングで新設項目への対応を検討すれば十分です。

Q2：SBOMのフォーマットはSPDXとCycloneDXのどちらを使えばよいですか？

本ガイダンスは特定のフォーマットを指定するものではありません。どちらも国際的に広く使われているフォーマットのため、自社の開発環境や使用ツールとの親和性、取引先の要件で判断してください。なお今回の改訂では、SBOMデータフォーマット名・フォーマットバージョンがデータフィールドとして新設されているため、どのフォーマットのどのバージョンで作成したかを明示することが求められる方向にあります。[※1]

Q3：AIソフトウェアやSaaSも対象と聞きましたが、具体的に何をすればよいですか？

本ガイダンスの適用範囲にAIソフトウェア・SaaSが含まれることは明記されていますが、それぞれに固有の追加要素については本ガイダンスの対象範囲外とされています。[※1] まずは既存のソフトウェアと同様に、コンポーネントの構成を把握することから始めるのが現実的です。

Q4：日本国内でSBOMが義務化される予定はありますか？

本ガイダンスは国際的な推奨事項の整理であり、国内での義務化を意味するものではありません。日本では経済産業省が「ソフトウェア管理に向けたSBOMの導入に関する手引 ver2.0」を策定しており、この手引が今回のガイダンスの中で各国の事例として紹介されています。[※1] 今後の動向については、経産省・IPAの公式発表を継続的に確認することをおすすめします。

ハチマルヤ合同会社（808）では、SBOM導入支援からEU CRA対応、SCS評価制度への対応まで、専門チームがサポートしています。「自社にSBOMが必要かどうか」の判断段階からご相談を受け付けています。まずはお気軽に無料相談をご利用ください。