中小のサイバー対策費は誰が負担するのか、経産省・公取委要請が取引現場に与える影響

ファクタリング賛否両論の山崎です。銀行員時代から数えると20年以上、中小企業の資金繰りと取引条件の相談に向き合ってきました。今回は、日経新聞が報じた中小のサイバー対策費、大企業に価格転嫁要請というテーマを取り上げます。

背景にあるのは、経済産業省と公正取引委員会が示している、サプライチェーン全体のサイバーセキュリティ強化と取引適正化の流れです。発注側が中小企業にセキュリティ対策を求めること自体は自然な動きです。ただし、その費用を中小企業だけに背負わせるなら、話は別。資金繰りの現場にも影響が出ます。

ニュースの概要・背景

サイバー対策は「任意の努力」から「取引条件」へ

中小企業にとって、サイバーセキュリティ対策は以前なら「できれば取り組むもの」という位置づけでした。ところが今は、大企業との取引継続、入札、委託契約の前提条件として扱われる場面が増えています。

経済産業省と公正取引委員会は、サプライチェーン上の弱点を狙った攻撃が顕在化・高度化していると整理しています。中小企業の対策が不十分な場合、その企業自身の事業停止だけでなく、取引先の情報流出や、大企業への侵入口になるリスクもあります。

参考：経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」

そのため、発注側が取引先にセキュリティ対策を求めること自体は、直ちに問題とはされていません。問題になるのは、その求め方です。対策を要請しながら、費用上昇分を価格に反映しない。ここに取引適正化上の論点が生まれます。

経産省・公取委が示した考え方

経産省と公取委は、発注側企業が取引先にセキュリティ対策を要請する際、対策内容や費用負担について価格交渉の機会を設け、十分に協議することが望ましいとしています。とくに、有償サービスの利用や認証取得を求めたにもかかわらず、コスト上昇分を協議せず価格を据え置く行為は、独占禁止法上問題となるおそれがあると示されています。

下請法の対象取引では、コスト上昇分を考慮せず著しく低い代金を不当に定めると、「買いたたき」として問題になる可能性もあります。2026年1月1日からは、下請法が「中小受託取引適正化法」、通称「取適法」へ変わります。法律名の変更だけでなく、発注側の取引姿勢をより厳しく見る流れと受け止めるべきです。

具体的な内容・データ・影響

価格転嫁の対象になり得る費用

サイバー対策費といっても、内容は一つではありません。中小企業の現場では、次のような支出が発生します。

• ウイルス対策ソフト、EDR、監視サービスなどの導入費
• セキュリティ認証や外部診断にかかる費用
• 従業員教育、社内規程整備、担当者の人件費
• バックアップ、クラウド管理、事故対応体制の整備費
• 取引先指定ツールやサービスの利用料

これらは「会社の安全対策だから自社負担で当然」と片づけられがちです。もちろん、自社の基礎的な防衛は経営責任の一部です。ただ、特定の大企業との取引継続のために追加対応を求められる場合、その費用を単純に中小企業側だけで吸収するのは公平ではありません。

公的資料が示す危機感

IPAの「情報セキュリティ10大脅威 2025」では、組織向け脅威の1位に「ランサム攻撃による被害」、2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています。サプライチェーン攻撃は7年連続で10大脅威に入っており、もはや一時的な流行ではありません。

IPAは中小企業向けに「中小企業の情報セキュリティ対策ガイドライン」第4.0版も公開しています。個人事業主や小規模事業者を含む中小企業を対象に、経営者が認識すべき指針と社内で実践する手順をまとめたものです。2026年4月時点の最新版では、バックアップの重要性やサプライチェーン強化に向けた評価制度の考え方も取り込まれています。

論点	従来の見方	今後強まりそうな見方
サイバー対策	各社の自助努力	サプライチェーン維持の共同責任
対策費	中小企業の固定費	取引条件に応じた価格転嫁対象
発注側の対応	要請すれば足りる	費用負担と価格交渉まで必要
中小企業の対応	言われたら従う	根拠資料を示して協議する

取適法への移行も見逃せない

2026年1月1日から、下請法は「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律」、略称「中小受託取引適正化法」、通称「取適法」へ改正されます。公正取引委員会は、法律名の変更と施行期日を公表しています。

参考：公正取引委員会「取適法」

政府広報オンラインも、取適法では中小受託取引の公正化と受託側の中小企業の利益保護が強化されると説明しています。新たな禁止行為として、協議に応じない一方的な代金決定なども整理されています。

参考：政府広報オンライン「2026年1月から下請法が『取適法』に」

サイバー対策費の転嫁は、この取引適正化の流れと同じ線上にあります。発注側の都合で必要になるコストを、受注側が黙って負担する時代ではなくなりつつあります。

中小企業・個人事業主が知っておくべきポイント

まず「何を求められたのか」を記録する

発注先からセキュリティ対策を求められたら、口頭だけで済ませないことです。メール、仕様書、契約書、チェックシートなど、要請内容が分かる資料を残してください。

整理しておきたい項目は、次の4つです。

この記録があるかどうかで、価格交渉の説得力は変わります。発注側も、根拠のある相談には応じやすい。逆に「なんとなく費用が増えた」では、交渉材料として弱くなります。

見積書にサイバー対策費を埋もれさせない

中小企業の見積書では、サイバー対策費が一般管理費や諸経費に埋もれがちです。これでは、発注側から見ると費用増の理由が見えません。

たとえば、次のように分けて示す方法があります。

項目	記載例
基本業務費	製造、開発、保守、納品対応など
セキュリティ対応費	取引先指定の監視サービス、認証維持、教育費
初期対応費	導入設定、外部診断、規程整備
継続費用	月額サービス料、監査対応、担当者工数

すべてを満額転嫁できるとは限りません。それでも、費用の見える化をしなければ交渉は始まりません。価格転嫁は、感情論ではなく資料づくりです。

入金までの資金ギャップに備える

価格交渉がまとまっても、実際の入金は後になります。サイバー対策費の支払いが先行するなら、短期資金の手当ても同時に考える必要があります。

選択肢としては、銀行融資、制度融資、補助金、リース、分割払いなどがあります。IPAは、補助金申請との関係でSECURITY ACTIONや、デジタル化・AI導入補助金における自己宣言の扱いも案内しています。こうした制度情報も、資金繰り計画と合わせて確認したいところです。

売掛金が確定している場合は、ファクタリングも選択肢の一つです。金融庁は、一般にファクタリングを「事業者が保有している売掛債権等を期日前に一定の手数料を徴収して買い取るサービス」と説明し、法的には債権の売買、つまり債権譲渡契約だとしています。

参考：金融庁「ファクタリングの利用に関する注意喚起」

ただし、金融庁は偽装ファクタリングへの注意も呼びかけています。手数料が高すぎる取引や、実質的に貸付けと同じ機能を持つ取引には警戒が必要です。資金化の早さだけで選ばない。この点は、実務上かなり大切です。

ファクタリング賛否両論としての見解

「対策を求めるなら、費用も協議する」が筋

私は、発注側が中小企業にセキュリティ対策を求めることには賛成です。サプライチェーンのどこか一社が攻撃されれば、影響は広範囲に及びます。今の時代、サイバー対策は品質管理や納期管理と同じく、取引の基礎条件になりつつあります。

一方で、発注側が「対策は義務、費用はそちら持ち」という姿勢を取るなら、それは取引の力関係を利用した負担転嫁です。銀行員時代にも、大企業との取引を失いたくない一心で、不採算案件を抱え続ける中小企業を何社も見てきました。売上は大きいのに、手元資金が残らない。月末になると、経営者の顔色が変わるのです。

今回の経産省・公取委の整理は、その構造に一石を投じるものです。セキュリティ対策をサプライチェーン全体の利益として求めるなら、費用負担もサプライチェーン全体で考える。自然な流れです。

ファクタリングは「価格転嫁の代替」ではない

ここは誤解してほしくありません。ファクタリングは、価格転嫁できない費用を穴埋めする魔法の資金調達ではありません。

発注側が負担すべき費用を中小企業が飲み込み、その苦しさをファクタリングで回すだけなら、根本解決にならないからです。

ファクタリングが有効なのは、正当な対価が認められ、売掛金として発生しているのに、入金まで時間がある場合です。たとえば、価格改定後の請求が確定している。大型案件で入金サイトが長い。サイバー対応費を含む売掛金が回収見込みである。こうした場面では、資金繰りの選択肢として検討余地があります。

価格転嫁の交渉と、入金までの資金管理。この2つを分けて考えることが、これからの中小企業には必要です。

まとめ

サイバー対策費は、もはや中小企業だけの問題ではありません。経産省・公取委の整理は、発注側が対策を求めるなら、費用負担や価格交渉にも向き合うべきだという方向性を示しています。2026年1月1日の取適法施行を前に、取引現場の空気は確実に変わり始めています。

中小企業は、求められた対策内容と費用を記録し、見積書や交渉資料に落とし込むことが大切です。そのうえで、入金までの資金ギャップには銀行融資やファクタリングなどを冷静に使い分ける。守るべきは、サイバー空間だけではありません。自社の利益と資金繰りも、同じように守る対象だと考えてみてはいかがでしょう。