「配布するソフトウェアに NOTICEファイル を同梱してください」——取引先や監査、社内の法務チェックでそう言われて、何から手をつければよいか分からない、というご相談をよくいただきます。NOTICEファイルの役割と、実際に作るまでの手順を整理します。

NOTICEファイルとは

NOTICEファイル（NOTICE.txt / CREDITS.md 等の名称で呼ばれます）は、製品に組み込んだOSS（オープンソースソフトウェア）の著作権表示・ライセンス文をまとめて記載した文書です。MIT・Apache-2.0・BSD系など多くのOSSライセンスは、ソフトウェアを配布する際に「著作権表示とライセンス条文を残すこと」を条件にしています。この条件（表示義務）を満たすために作るのがNOTICEファイルです。

表示義務があるかどうかは、ライセンスの種類によって変わります（ライセンス早見表）。

なぜ今、必要になるのか

  • 配布のタイミングで義務が発生する：社内利用だけなら問題にならないことが多い義務も、製品として顧客に渡した瞬間に発生します。
  • 取引先のチェック項目に含まれるようになった：SBOM提出要求（取引先からSBOM提出を求められたら）とセットで、著作権表示の同梱を確認する取引先が増えています。
  • 監査・DD（デューデリジェンス）で確認される：M&A・上場審査などで、OSSの表示義務が果たされているかを確認されるケースがあります。

作り方の手順

1. 依存関係を棚卸しする

まず、製品に組み込まれているOSSの一覧を作ります。package.json・requirements.txt・go.mod などの依存マニフェストや、既存のSBOMがあればそれが出発点になります。無料ツールでの一覧化は依存ライブラリのOSSライセンスを確認する方法で言語別に紹介しています。

2. 各OSSのライセンスを確認する

一覧が出たら、それぞれのOSSがどのライセンス（MIT・Apache-2.0・BSD・GPL 等）かを確認します。パッケージが宣言しているライセンスと、同梱されている実際のライセンス文が一致するかも合わせて見ます。

3. 著作権表示とライセンス全文を収集する

各OSSの配布物（多くはリポジトリ直下の LICENSE や NOTICE ファイル、パッケージのメタデータ）から、以下を集めます。

  • 著作権表示（Copyright (c) 20xx Author Name の形式）
  • ライセンス全文、またはライセンス名と参照先
  • Apache-2.0の場合は、そのOSS自身が持つ NOTICE ファイルの内容（同梱されている場合はそのまま引き継ぐ必要があります）

4. フォーマットにまとめる

集めた情報を、OSSごとに区切って1つの文書にまとめます。決まった形式はありませんが、一般的には「コンポーネント名・バージョン・ライセンス名・著作権表示・ライセンス全文」を並べた構成にします。

5. 配布物に同梱する

完成したNOTICEファイルを、製品のインストーラーやリポジトリ、マニュアル等、ユーザーが実際に確認できる場所に含めます。

見落としやすい注意点

  • GPL・LGPLは著作権表示だけでは終わらない：ソースコード開示など追加の義務が発生することがあります（GPLとは / LGPLと動的リンク）。
  • 同梱されているNOTICEファイルの「引き継ぎ」を忘れがち：Apache-2.0のOSSは、そのOSS自身が持つNOTICEファイルの記載内容を、自社のNOTICEファイルにも引き継ぐ必要があります。
  • バージョンアップのたびに更新が要る：依存関係が変われば、NOTICEファイルも更新が必要です。一度作って終わりではありません。

無料ツールでできること・できないこと

依存関係のライセンス名を一覧化する無料ツールは複数ありますが（依存ライブラリのOSSライセンスを確認する方法）、多くは「ライセンス名」までしか出しません。著作権表示の正確な文言や、同梱すべきNOTICE内容の引き継ぎは、パッケージごとに個別確認が必要になり、コンポーネント数が増えるほど作業量が膨らみます。

検出の「先」を、人が伴走します

OSSClearでは、依存マニフェストまたはOSS一覧をお預かりし、各OSSの著作権表示・ライセンス文を収集・整形したNOTICEファイルを作成代行しています。GPL/LGPL等が含まれる場合の一般的な義務の整理も合わせてお伝えします。

本サービスは技術的・事実的な情報整理であり、法的助言ではありません。GPLの伝搬可否・派生物該当性など具体的な法的判断は貴社の顧問弁護士等にご確認ください。