「製品のSBOM（ソフトウェア部品表）を提出してください」——取引先からこう求められたとき、ただファイルを出せばよい、とは限りません。「どの形式で・どの品質で・誰がどこまで責任を持つか」を契約で取り決めておくことが、後のトラブルを防ぎます。経済産業省の手引きが、その参考例を示しています。
経産省「SBOM取引モデル」とは
経済産業省「ソフトウェア管理に向けたSBOMの導入に関する手引 ver2.0」（2024年8月）には、付録として 「SBOM取引モデル」 が追加されました。これは、ソフトウェアの受発注者間の契約で、SBOMについて規定すべき主な事項を整理したものです。代表的な論点：
- フォーマット：SPDX か CycloneDX か、どのバージョンか
- 品質・範囲：どこまでの部品を・どの精度で記載するか
- 責任：記載漏れ・誤りがあった場合の責任の所在
- コスト負担：SBOM作成・更新の費用を誰が持つか
- 機密保持：部品情報の取り扱い（NDA等）
- 更新：依存が変わったときの再提出の頻度・方法
なぜ中小企業が困るのか
取引先（完成品メーカー等）は、自社の規制対応（EU CRA など）や調達基準のためにSBOMを求めます。一方、サプライヤー側の中小企業では——
- 「SBOMは出せるが、契約でどこまで約束してよいかわからない」
- 「記載漏れの責任を全部負わされたら困る」
- 「更新のたびに無償で出すことになるのか」
——という不安が生まれます。何も取り決めずに出すと、後で責任やコストの押し付け合いになりがちです。手引きの取引モデルは、この交渉の”たたき台”になります。
中小がやること（実務）
- 求められているSBOMの中身を確認（対象製品・形式・範囲・期限）。
- 契約条項を取引モデルに沿って整理：フォーマット・品質・責任範囲・コスト・機密・更新頻度を、無理のない形で取り決める。
- 出せる体制を作る：依存の棚卸し（SBOM）と、更新して再提出できる運用（SBOMを作った後の実務）。
契約条項そのものの法的効力・最終的な文言は、貴社の顧問弁護士にご確認ください。本記事および当社の支援は、技術的・事実的な整理と意思決定の支援であり、法的助言ではありません。
OSSClearが支援できること
- 製品のOSSライセンスを整理したクリアランスレポート（取引先に出せる形に）。
- 経産省「SBOM取引モデル」に沿った、取引条項の論点整理のたたき台づくり（フォーマット・品質・責任・コスト・更新を、貴社が不利にならない形に）。最終的な契約文言は顧問弁護士へ。
- 取引先要求やEU CRA対応の無料サンプル・相談、まずは5分セルフチェック。
取引先からのSBOM要求は、「契約でどう取り決めるか」まで整えて初めて安心です。公的な手引きを土台に、中小でも無理なく対応できます。