取引先から求められたセキュリティ対策の費用は誰が払う？2026年1月施行の取適法（旧・下請法）と、価格交渉を申し入れる7つの手順【中小企業向け】

取引先から「セキュリティ対策をしてください」「このチェックシートに答えてください」「このサービスを入れてください」と求められたとき、その費用を自社だけで抱え込む必要はありません。
国（公正取引委員会・経済産業省）は、発注側が対策を求めること自体は問題ないとしたうえで、そのコスト上昇分を価格に反映せずに取引価格を据え置くことは法律上問題になり得るとはっきり示しています。

さらに2026年1月1日、下請法が「取適法（中小受託取引適正化法）」に変わりました。
ここで「協議に応じない一方的な代金決定の禁止」という新しい禁止行為が追加され、価格を上げてほしいと言われたのに協議にも説明にも応じず据え置くことが、明文で禁じられています。

この記事では、中小企業の経営者・情シス担当者に向けて、取引先からセキュリティ対策を求められたときに「費用は誰が持つのか」「どうやって価格交渉を申し入れるのか」「何を証拠として用意すればよいのか」を、法律の条文と国の公表資料にもとづいて整理します。

この記事は法律の一般的な解説です。実際に自社の取引が取適法の対象になるか、個別の行為が違反にあたるかは、契約内容や取引の実態によって判断が変わります。具体的な対応を決める前に、弁護士や公正取引委員会・中小企業庁の相談窓口で確認してください。記事の最後に無料で使える公的な相談先をまとめています。

そもそも、取引先からのセキュリティ要請は断れる？

結論から言うと、要請そのものは断れませんし、断るべきでもありません。取引先が自社に対策を求めるのは、サプライチェーン全体を守るために正当な行為だからです。

公正取引委員会と経済産業省が令和4年10月28日に公表した「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」には、次のように書かれています。

サプライチェーン全体としてのサイバーセキュリティ対策の強化は、サイバー攻撃による被害によってサプライチェーンが分断され、物資やサービスの安定供給に支障が生じないようにするために重要な取組であり、発注側となる事業者が、取引の相手方に対し、サイバーセキュリティ対策の実施を要請すること自体が直ちに独占禁止法上問題となるものではありません。
（経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」令和4年10月28日）

問題になるのは「要請すること」ではなく「要請の方法と、そのあとの費用の扱い」です。
同じ資料は続けて「ただし、要請の方法や内容によっては、独占禁止法上の優越的地位の濫用として問題となることもあるため、注意が必要です」と明記し、問題となり得る行為を3つに整理しています。

問題になり得る行為	どういう場面か	法律上の位置づけ
取引の対価の一方的決定	対策を求めておきながら、それによるコスト上昇分を考慮せず、価格交渉の場で明示的に協議もせずに取引価格を据え置く	独占禁止法＝優越的地位の濫用／取適法＝買いたたき
セキュリティ対策費の負担の要請	「セキュリティ対策費」などの名目で金銭の負担を求めるが、金額と算出根拠が不明確で、あらかじめ計算できない不利益を与える	独占禁止法＝優越的地位の濫用／取適法＝不当な経済上の利益の提供要請
購入・利用強制	同等以上の対策をすでに実施しているのに、合理的な必要性がないまま指定のセキュリティサービスを買わせる	独占禁止法＝優越的地位の濫用／取適法＝購入・利用強制

この3つはいずれも「取引上の地位が相手方に優越していること」が前提です。対等な立場の会社同士の値段の話し合いが、そのまま違法になるわけではありません。問題になるのは「今後の取引への影響を心配して、要請を受け入れざるを得ない」関係にあるときです。

▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策

2026年1月に何が変わった？──下請法は「取適法」になりました

2026年1月1日、下請法（下請代金支払遅延等防止法）の改正法が施行され、法律の名前・用語・適用範囲・禁止行為がまとめて変わりました。
正式名称は「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律」、略称は「中小受託取引適正化法」、通称は「取適法（とりてきほう）」です。

これまで（〜2025年12月31日）	これから（2026年1月1日〜）	意味
下請代金支払遅延等防止法（下請法）	中小受託取引適正化法（取適法）	法律の名前
親事業者	委託事業者	発注する側
下請事業者	中小受託事業者	受注する側
下請代金	製造委託等代金	支払われる代金

「下請」という言葉そのものが法律から消えたのが最大の特徴です。改正の内容は次の5点にまとめられます。

改正のポイント	内容	受注側にとっての意味
従業員基準の追加	従来の資本金基準に加えて、従業員数（製造委託等は300人、役務提供委託等は100人）の基準が追加された	資本金を1,000万円以下に抑えている発注先でも、従業員数で対象になる場合がある
協議に応じない一方的な代金決定の禁止	価格協議の求めに応じない、必要な説明をしないなど、一方的な代金決定が新たに禁止行為に追加された	「値上げしてほしい」と言ったのに無視されて据え置き、が明文で禁止された
手形払等の禁止	手形払が禁止され、支払期日までに満額を得ることが困難な支払手段も禁止された	資金繰りが改善しやすくなる
特定運送委託の追加	製造等の目的物の引渡しに必要な運送の委託が対象取引に追加された	運送を請け負う事業者も保護対象に入る
面的執行の強化	事業所管省庁にも指導・助言の権限が付与され、報復措置の禁止に係る情報提供先にも追加された	相談・情報提供の窓口が増えた

このうち、取引先からのセキュリティ要請と費用負担に直接効いてくるのが「協議に応じない一方的な代金決定の禁止」です。これは後ほど詳しく見ます。

自社は取適法で守られる？──資本金と従業員数の2つの基準

取適法が適用されるかどうかは、（1）取引の内容と（2）発注側・受注側の資本金または従業員数の組み合わせで決まります。資本金基準と従業員基準はどちらかに当てはまれば適用対象になります。

取引の種類	委託事業者（発注側）	中小受託事業者（受注側）
製造委託・修理委託・特定運送委託／情報成果物作成委託・役務提供委託（プログラム作成、運送、倉庫保管、情報処理に限る）	資本金3億円超 または常時使用する従業員300人超	資本金3億円以下 または常時使用する従業員300人以下
同上（資本金1千万円超3億円以下の層）	資本金1千万円超3億円以下	資本金1千万円以下
上記以外の情報成果物作成委託・役務提供委託	資本金5千万円超 または常時使用する従業員100人超	資本金5千万円以下 または常時使用する従業員100人以下
同上（資本金1千万円超5千万円以下の層）	資本金1千万円超5千万円以下	資本金1千万円以下

「取引先は資本金1,000万円だから取適法の対象外です」と言われても、そのまま引き下がらないでください。2026年1月からは従業員基準が加わっており、資本金が小さくても常時使用する従業員が300人（または100人）を超えていれば委託事業者になります。中小企業庁の資料では、資本金基準と従業員基準の両方を満たす場合は資本金基準が優先され、資本金基準が適用されない場合に従業員基準が適用される、と整理されています。

そして重要なのは、取適法の対象取引に当たらない場合でも、独占禁止法の「優越的地位の濫用」は別に適用され得るという点です。
公取委・経産省の資料も、独占禁止法と取適法のいずれも適用可能な行為については通常は取適法が適用される、という関係を示しています。
取適法の枠に入らなくても、泣き寝入りする理由にはなりません。

▶ 関連記事：委託先・外注先のセキュリティ管理はどこまで必要？個人情報保護法25条の監督義務と2026年改正・中小企業がやる7つのこと

費用を払うのは誰か──国が示した3つの線引き

ここからが本題です。取適法には委託事業者に対する4つの義務と11の禁止事項が定められていますが、そのうちセキュリティ対策の費用負担に直接効くのは次の4つです。

禁止事項	条文	セキュリティの文脈での意味
買いたたき	第5条第1項第5号	対策を求めておきながら、通常支払われる対価に比べて著しく低い代金を不当に定めること
購入・利用強制	第5条第1項第6号	正当な理由がないのに、指定するセキュリティ製品やサービスを強制して購入・利用させること
不当な経済上の利益の提供要請	第5条第2項第2号	「セキュリティ対策費」などの名目で、代金の支払とは別に金銭や役務を提供させること
協議に応じない一方的な代金決定	第5条第2項第4号	費用が上がったので協議したいと求めたのに、応じない・説明しないまま代金を決めること

公正取引委員会・経済産業省の資料は、このうち「取引の対価の一方的決定」について、問題となるおそれがある具体例を2つ挙げています。どちらも中小企業が実際に経験しやすい場面です。

○ 取引の相手方に対し、有償のセキュリティサービスの利用やセキュリティの認証の取得を要請したにもかかわらず、コスト上昇分の取引価格への反映の必要性について、価格の交渉の場において明示的に協議することなく、従来どおりに取引価格を据え置くこと
○ 取引の相手方に対し、セキュリティ対策責任者の設置、従業員へのセキュリティ教育の実施、サイバー攻撃による被害発生時における自らが定めた対処フローの遵守など、セキュリティ体制の構築を要請した結果、人件費などのコスト上昇を理由とする取引価格の引上げを求められたにもかかわらず、それに応じない理由を書面、電子メール等で取引の相手方に回答することなく、従来どおりに取引価格を据え置くこと
（同資料より）

2つ目の例に注目してください。
「応じない理由を書面や電子メールで回答しないまま据え置くこと」が問題とされています。
つまり、値上げに応じるかどうか以前に、応じない場合でも理由を文書で返すことが求められているということです。
逆に言えば、受注側は「書面で回答をください」と求める正当な根拠を持っています。

同資料はさらに、違反を防ぐ観点から発注側に求められる姿勢もはっきり書いています。

このため、違反行為の未然防止を図る観点からは、積極的に価格の交渉の機会を設け、取引の相手方と十分に協議を行い、サイバーセキュリティ対策の内容や費用負担の在り方を決定することが望まれます。
（同資料より）

▶ 関連記事：ISMS・Pマーク・SECURITY ACTION・SCS評価制度はどれを取るべき？4制度の違いと費用・期間・有効期限の比較

「協議に応じない一方的な代金決定」とは何が違う？

2026年1月から追加された第5条第2項第4号は、条文でこう定められています。

四　中小受託事業者の給付に関する費用の変動その他の事情が生じた場合において、中小受託事業者が製造委託等代金の額に関する協議を求めたにもかかわらず、当該協議に応じず、又は当該協議において中小受託事業者の求めた事項について必要な説明若しくは情報の提供をせず、一方的に製造委託等代金の額を決定すること。
（中小受託取引適正化法 第5条第2項第4号）

従来の「買いたたき」は金額そのものが著しく低いかどうか（＝市価との比較）を見る規定でした。
中小企業庁の説明資料は、この新しい規定を「交渉プロセスに着目した規定」と位置づけています。
市価がいくらかを立証しなくても、「協議に応じなかった」という事実だけで問題にできるようになったということです。

論点	買いたたき（第5条第1項第5号）	協議に応じない一方的な代金決定（第5条第2項第4号）
何を見るか	決まった代金の金額（対価に着目）	代金の決め方・交渉の過程（プロセスに着目）
立証のハードル	「通常支払われる対価（市価）」の認定が必要	市価の認定は不要。協議に応じたか・説明したかを見る
受注側が使いやすい場面	同種の取引と比べて明らかに安すぎるとき	値上げを申し入れたのに返事がない・話し合いにならないとき

さらに、この規定の運用基準には受注側にとって決定的に有利な整理が入っています。

「決定」には、代金を引き上げ、又は引き下げることのほか、据え置くことも含まれる。
（中小企業庁「2026年1月施行！～下請法は取適法へ～ 改正ポイント説明会」資料より）

つまり「値上げしないから何も決めていない」という言い訳は通りません。据え置きも「決定」であり、協議に応じずに据え置けば禁止行為に当たり得ます。

運用基準は、それぞれの言葉の意味も具体的に説明しています。

条文の言葉	運用基準での説明
費用の変動その他の事情が生じた場合	代金の額に影響を及ぼし得る事情がある場合をいい、労務費・原材料価格・エネルギーコスト等の高騰による費用の変動のほか、納期の短縮、納入頻度の増加や発注数量の減少等による取引条件の変更、需給状況の変化、委託事業者から従前の代金の引下げを求められた場合などの事情が含まれる
協議に応じず	明示的に拒む場合のほか、協議の求めを無視したり、協議の実施を繰り返し先延ばしにしたりして、協議の実施を困難にさせる場合を含む
必要な説明若しくは情報の提供をせず	求めた特定の事項について、自由な意思により代金の額を決定するために必要な説明又は根拠となる情報の提供をしないこと

「協議の実施を繰り返し先延ばしにする」が明示的に含まれている点は重要です。「今は忙しいので来期に」を何度も繰り返されている状態は、それ自体が問題になり得ます。いつ・誰に・どういう形で協議を申し入れ、どう返答されたかを、メールなど日付の残る形で記録しておいてください。

セキュリティ対策費は見積書のどこに載せる？

経済産業省・公正取引委員会は令和7年12月26日に、上記の令和4年の資料を補足する「想定事例」と「解説」を公表しました。
これは、発注側が国のサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に基づく対策を要請し、受注側と価格交渉を行って円満に合意するまでを描いた事例集です。

この解説には、セキュリティ対策費をどう扱うかについて、実務でそのまま使える整理が書かれています。

対策の種類	費用の扱い	価格交渉の進め方
取引の目的である製品・サービス自体のセキュリティ対策	仕様書や契約書に明記され、製品・サービスの原価の一部（直接経費）として扱われる	従来どおり見積の中で価格交渉を行う
会社としてのセキュリティ対策（EDR導入・監視・専門人材の雇用など）	仕様書には書かれないため、労務費や一般管理費といった間接経費として計上される	間接経費の増加分について、別途価格交渉を申し入れる

解説はこう述べています。

取引の相手方は、この間接経費の増加について、サイバーセキュリティ対策が自社の利益にもつながり得ることや、発注側企業における自社からの仕入割合などを勘案した上で、価格交渉を行うことが考えられます。発注側企業としては、取引の相手方から、製品・サービスの価格への間接経費の転嫁について価格交渉の申出があった場合には、その申出に応じる必要があります。
（経済産業省・公正取引委員会「想定事例について（解説）」より）

「応じることが望ましい」ではなく「応じる必要があります」と書かれている点が重要です。価格交渉の申し入れは、遠慮すべきお願いではなく、国が正面から認めた行動だということです。

実務上のポイントは「自社からの仕入割合を勘案する」という一文です。
会社全体のセキュリティ費用を1社にまるごと請求することはできません。
その取引先の売上構成比に応じて按分するのが、話し合いのたたき台として現実的です。

▶ 関連記事：エンドポイントセキュリティの費用はいくら？EPP・EDR・MDRの料金相場と補助金で抑える方法

要請してきていない他の取引先にも、値上げを求められる？

ここが、この解説でもっとも見落とされやすく、しかも中小企業にとって効く論点です。

会社としてEDRを導入し、監視サービスを契約すれば、その費用はA社向けの仕事だけでなくすべての取引に共通してかかります。
ではセキュリティ対策を要請してきたA社にだけ値上げを求めるのが筋なのか、という問題です。
解説の答えははっきりしています。

また、発注側企業は、取引の相手方から価格交渉の申入れがあった場合には、直接的にサイバーセキュリティ対策の実施要請を行っていない場合でも、積極的に交渉に応じる必要があります。
（同解説より）

つまり「うちは何も頼んでいないのに、なぜ値上げなのか」という発注先に対しても、価格交渉を申し入れてよいということです。同じ解説は、受注側の立場についてもこう書いています。

このような場合、取引の相手方から積極的に価格交渉を申し入れることも必要になります。しかしながら、取引の相手方にとって、要請を行っていない発注側企業に価格交渉の申入れをすることは容易ではありませんので、このような場合には、公的機関や中小企業支援機関に相談することも大切です。
（同解説より）

1社への値上げ交渉が通っただけでは、対策費用の一部しか回収できません。セキュリティ対策は会社全体にかかる固定費なので、売上構成に応じて複数の取引先に分けて相談するのが本来の姿です。言い出しにくいときこそ、記事の最後にまとめた無料の相談窓口を使ってください。

同等の対策をしているのに、指定の製品を買わされそう

すでにISMS認証を取得している、あるいはSECURITY ACTIONの二つ星を宣言してEDRも導入している。
それなのに「うちのグループ会社が扱っているこのサービスを入れてください」と言われる──これは購入・利用強制の問題です。

公取委・経産省の資料は、具体例をこう挙げています。

例えば、取引の相手方が、サイバーセキュリティ対策の実施の要請を受け、当該要請と同等又はそれ以上のサイバーセキュリティ対策を講じているため、新たなセキュリティサービスを利用する必要がないにもかかわらず、自己の指定する事業者が提供するより高価なセキュリティサービスを利用することを要請し、当該事業者から利用させることは、独占禁止法上問題となります。
（同資料より）

中小企業庁の説明資料は、取適法の「購入・利用強制」についてさらに踏み込んだ整理をしています。

論点	運用上の整理
「指定する物・役務」の範囲	委託事業者が自ら販売するものに限らない。委託事業者の子会社、関連会社、取引先特約店等が販売する商品・役務も含まれる
「強制して」の意味	取引の条件とする場合や、購入しないことに不利益を与える場合のほか、取引関係を利用して事実上、購入・利用を余儀なくさせている場合も含まれる
発注側が「任意でお願いしただけ」と思っていても	受注側にとってその依頼を拒否できない場合もあり得るので、事実上購入等を余儀なくさせていると認められる場合は法違反となる

したがって、対応の順番はこうなります。
まず「自社はすでに同等以上の対策を実施している」ことを、証拠として示せる状態にしておくこと。
そのうえで、それでも指定製品でなければならない理由の説明を求めることです。
説明できる合理的な必要性があるなら、それは正当な要請です。

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件

▶ 関連記事：自工会・部工会のサイバーセキュリティガイドラインとは？レベル1〜3の153項目・チェックシート（自己問診票）の出し方と中小企業がまずやる19項目

発注側に「支援」をお願いすることもできる？

ここまでは費用の話でしたが、令和4年の資料はお金の話だけをしているわけではありません。
同じ資料は、発注側企業に対して「取引先のサイバーセキュリティ対策の強化を促しつつ、サプライチェーン全体での付加価値の向上に取り組み、取引先とのパートナーシップの構築を目指していただきたい」と求めており、発注側がやることとして期待されている具体的な取組を4つ挙げています。

受注側から見れば、これは「値上げ」以外に相談できることのリストです。

発注側に期待されていること	国の資料での位置づけ	受注側からの切り出し方
パートナーシップ構築宣言	取引先との連携・共存共栄を「発注者」側の立場から代表者名で宣言するもの。宣言に際し、取引先へのサイバーセキュリティ対策の助言・支援等が例示され、下請振興基準にも記載されている	発注先が宣言しているかをポータルサイトで確認し、宣言の趣旨に沿って協議をお願いしたいと伝える
セキュリティプレゼンターの紹介	IPAが登録する普及啓発人材。「発注側企業からも…取引先へのセキュリティプレゼンターの紹介等が期待される」と明記されている	「何から手をつければよいか分からない」と正直に伝えて、専門家の紹介を求める
サイバーセキュリティお助け隊サービスの活用促進	24時間の見守り・駆付け対応・簡易サイバー保険をワンパッケージで安価に提供する制度。政府も利用料を補助金の対象にして普及を後押ししている	「まずお助け隊サービスの水準から始めたい」と提案し、要請された水準とのすり合わせを行う
SECURITY ACTIONの宣言	中小企業が自ら対策に取り組むことを自己宣言する制度。「民間の取引においても、宣言の有無を取引や入札の条件の一つに含めるといった取組が図られることが期待される」と明記されている	費用0円で宣言でき、補助金の申請要件にもなる。最初の一歩として提示する

とくにパートナーシップ構築宣言は、資料の中でこう説明されています。

「パートナーシップ構築宣言」は、サプライチェーンの取引先や価値創造を図る事業者の皆様との連携・共存共栄を進めることで、新たなパートナーシップを構築することを、「発注者」側の立場から企業の代表者の名前で宣言するものである。
（同資料より）

経済産業省は2026年7月7日、この宣言をした企業が7月6日時点で10万社に到達したと発表しました。
宣言した企業名はポータルサイトで公開されているため、取引先が宣言しているかどうかは自社で調べられます。

宣言はあくまで自主的なもので、宣言していれば自動的に守られるわけではありません。ただし宣言している会社に対して「宣言の趣旨に沿ってご協議をお願いしたい」と切り出すのは、角が立ちにくく、相手も社内で説明しやすい形です。なお、お助け隊サービスの登録サービスは登録状況によって入れ替わりますので、検討時点で最新のリストを確認してください。

▶ 関連記事：サイバーBCPはどう作る？事業継続力強化計画（ジギョケイ）にサイバー攻撃を書く手順と、認定10万件・補助金の加点・税制の落とし穴

守られなかったら、どうなる？

取適法に違反した場合、委託事業者側には次のようなことが起きます。

起きること	根拠	内容
勧告と社名公表	第10条	公正取引委員会が、代金の引上げ、減じた額や遅延利息の支払、不利益な取扱いの中止など必要な措置をとるべきことを勧告する。勧告を受けた事業者名と違反内容は公表される
指導	第8条	公正取引委員会、中小企業庁長官、事業所管省庁が指導・助言を行う（2026年1月から事業所管省庁にも権限が付与された）
罰金（50万円以下）	第14条〜第16条	発注内容の明示義務違反、書類の作成・保存義務違反のほか、報告拒否・虚偽報告・検査の妨害について、行為者と法人の双方に50万円以下の罰金
原状回復（返還）	運用上	違反により受注側が被った不利益について、返還等の措置がとられる

これは絵に描いた餅ではありません。公正取引委員会が令和7年5月12日に公表した「令和6年度における下請法の運用状況」によると、実際の運用規模は次のとおりです。

項目	令和6年度の実績
定期調査の対象	発注側90,000名・受注側330,000名（合計420,000名）
措置件数	8,251件（勧告21件＋指導8,230件）
勧告の違反類型（最多）	不当な経済上の利益の提供要請11件、代金の減額8件、買いたたき1件、購入等強制1件
実体規定違反の内訳	支払遅延4,094件（57.0%）、減額1,263件（17.6%）、買いたたき852件（11.9%）
原状回復の実績	発注側149名から受注側3,026名に対し、総額13億5,279万円相当
買いたたきへの対応	最低賃金の引上げ等に伴う買いたたきについて勧告1件・指導851件

「言ったら取引を切られるのでは」という不安には、法律が正面から答えています。取適法第5条第1項第7号は、公正取引委員会・中小企業庁長官・事業所管省庁に違反行為を知らせたことを理由に、取引数量の削減や取引停止など不利益な取扱いをすることを報復措置として禁止しています。加えて公正取引委員会と中小企業庁は、匿名で情報提供できる「違反行為情報提供フォーム」を設けています。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法

現実には、価格交渉はどれくらいできている？

中小企業庁は毎年9月と3月を「価格交渉促進月間」とし、終了後にフォローアップ調査を実施しています。2026年6月26日に公表された2026年3月分の調査結果は次のとおりです。

指標	2026年3月時点
価格交渉が行われた割合	90.7%（前回89.4%から約1ポイント増）
価格転嫁率	54.2%（前回から約1ポイント増）
原材料費の転嫁率	55.7%
労務費の転嫁率	50.0%
エネルギーコストの転嫁率	48.9%
官公需における価格転嫁率	48.4%（前回から約4ポイント減）

価格交渉が行われた割合は9割を超えている一方で、実際に価格へ転嫁できたのは約半分という状況です。裏を返せば、交渉のテーブルにつくこと自体は、もはや特別なことではなくなっているということでもあります。

なお、この調査では、全額転嫁に至らなかった企業のうち、発注側から「納得できる説明があった」と回答した企業が約6割にとどまっています。
説明がないまま据え置かれている企業が、いまも4割程度残っていると読めます。

では、何から始めればいい？──7つの手順

取引先からセキュリティ対策を求められたときの進め方を、実務の順番で整理します。手順1から4までは費用がかかりません。

順番	やること	ポイント	費用の目安
1	要請の内容を文書で受け取る	口頭ではなくメールや文書で、何を・いつまでに・どの水準で求められているのかを確定させる。チェックシートがある場合はその写しを保管する	0円
2	自社が今できていることを棚卸しする	すでに実施している対策（ウイルス対策・バックアップ・パスワード管理・教育など）を一覧にする。SECURITY ACTIONの自社診断25項目が便利	0円
3	足りない項目と、それにかかる費用を洗い出す	「何を新たに買う必要があるか」「年間いくらかかるか」を金額で出す。ここが交渉の根拠になる	0円
4	価格交渉を書面（メール）で申し入れる	「セキュリティ対策の要請に伴い年間◯◯円の費用が発生するため、価格についてご協議をお願いしたい」と、日付の残る形で送る	0円
5	協議の記録を残す	いつ協議し、どんな説明があったか、合意内容は何かを書面やメールで残す。合意できた場合も内容を記録して保存する	0円
6	対策を導入し、実施の証拠を残せる形にする	導入して終わりではなく、ログ・教育の受講記録・資産台帳など「やっている証拠」が出る仕組みにする	月数百円〜／台
7	他の取引先にも順次相談する	対策費は会社全体の固定費なので、売上構成に応じて他の発注先にも協議を申し入れる。言い出しにくければ公的窓口に相談する	0円

交渉で効くのは感情ではなく数字と根拠です。「対策が大変なので上げてください」ではなく、「貴社からの要請に対応するため、年間◯◯円の追加費用が発生します。当社売上に占める貴社の比率は◯%のため、◯◯円分のご協議をお願いします」という形にすると、相手も社内で稟議を上げやすくなります。

▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？中小企業の約7割が「各自の対応」という現実と、優先順位・費用・外部の使い方

「対策をしている証拠」はどう作る？

価格交渉でも、取引先のチェックシートへの回答でも、必要になるのは「やっていると言えること」ではなく「やっていると示せること」です。
当社が取り扱っている製品のうち、証拠が残る形で対策を積み上げられるものを整理しました。

項目	LANSCOPE エンドポイントマネージャー	ISM CloudOne	セキュリオ	SentinelOne データお守り隊	Sophos Cyber Risk Management
何を証明できるか	PC・ソフトの資産台帳／操作ログ／USB制御	資産管理／脆弱性診断／操作ログ／SaaS利用状況	従業員教育の受講記録／標的型メール訓練の結果	24時間365日の監視と検知・対応の記録	外部公開資産と社内資産の脆弱性の可視化
提供形態	クラウド（SaaS）	クラウド（SaaS）	クラウド（SaaS）	クラウド（EDR＋SOC）	クラウド（マネージド）
初期費用（税別）	30,000円／契約	30,000円	100,000円	0円	要見積り
料金の目安（税別）	月500円／台（ベーシック） ライトA 月300円／ライトB 月400円	月360〜600円／台（台数で逓減）	50名以下 月18,000円 50名超 1名 月360円〜	1ユーザー 月1,000円 （上位は1,100円／1,660円）	資産・ユーザー数に応じた年額
ログの保存	標準2年（最大5年）	検索90日／DB365日／アーカイブ12か月	受講履歴を蓄積	脅威侵入後1年	スキャン結果を継続保持
取引先要請で埋まる項目	IT資産管理・アクセス制御・記録の保存	IT資産管理・脆弱性対応・記録の保存	従業員教育・体制整備	マルウェア対策・検知と対応・24/365監視	脆弱性の特定と管理
無料で試せるか	60日間の体験あり	要問い合わせ	2週間の試用あり	要問い合わせ	評価用トライアルあり
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

取引先のチェックシートで最初につまずくのは、たいてい「IT資産の一覧」と「教育の記録」です。
どちらも高価な仕組みではなく、資産管理ツールと教育ツールで埋められる項目です。
逆に、EDRや脆弱性管理は「24時間365日の運用」が前提になるため、社内に人がいない会社ほど外部の監視サービスとセットで考えたほうが現実的です。

万一すでに感染が疑われる状態であれば、原因を特定する調査サービスもあります。
マルウェア感染調査サービスは300台まで298,000円（税別）、500台まで498,000円（税別）で、17時までの注文で翌日から対応します（詳細レポートは別途500,000円）。

マルウェア感染調査の詳細

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方

▶ 関連記事：セキュリティ教育ツール比較｜eラーニング・標的型メール訓練の費用と選び方

費用はどのくらいかかる？

従業員30名・PC30台の会社が、取引先のチェックシートでよく求められる範囲（資産管理・教育・EDRと監視）をひととおり揃えた場合の目安です。

内訳	金額（税別）
LANSCOPE エンドポイントマネージャー ベーシック（月500円×30台）	初期30,000円＋年180,000円
セキュリオ ARライト（50名以下 月18,000円）	初期100,000円＋年216,000円
SentinelOne データお守り隊（1台 月1,000円×30台）	初期0円＋年360,000円
初年度の合計	約886,000円（月あたり約73,800円）
2年目以降	年756,000円（月あたり63,000円）
棚卸し・規程づくり・価格交渉の申し入れ	0円
【参考】感染後のマルウェア感染調査（300台まで）＋詳細レポート	798,000円

初年度で約89万円。一方、実際に感染してから原因を調べるだけで約80万円がかかります。しかも調査費用を払って分かるのは「何が起きたか」であって、止まった納品も、取引先に与えた迷惑も戻ってきません。

そして本題に戻ると、この89万円のうち、いくらかは取引先に相談できる費用です。
取引先からの要請がきっかけで発生した間接経費であれば、国が「価格交渉の申出には応じる必要がある」と明記している範囲の話だからです。

▶ 関連記事：法人向けセキュリティソフトの料金・月額相場はいくら？費用の内訳と補助金で抑える方法

補助金は使える？

セキュリティ対策の導入費用にはデジタル化・AI導入補助金が使える場合があります。取引先からの要請に応えるための導入も、対象のITツールであれば同じように申請できます。

枠	補助額	補助率
通常枠	5万円〜450万円	原則1/2（小規模事業者は要件により最大4/5）
セキュリティ対策推進枠	5万円〜150万円	小規模事業者2/3・中小企業1/2（サービス利用料は最大2年分）

申請にはあらかじめSECURITY ACTIONの自己宣言IDとGビズIDが必要です。また交付決定前に発注・契約・支払をしたものは補助の対象になりません。「取引先に言われたので急いで発注した」が、そのまま補助金を取り逃す原因になります。要件は年度ごとに変わるため、必ず最新の公募要領を確認してください。

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ

どこに相談すればいい？

価格交渉を自社だけで進める必要はありません。無料で使える公的な窓口があります。

相談先	何ができるか	特徴
取引かけこみ寺	取引上の悩みを無料で相談できる（公益財団法人全国中小企業振興機関協会が中小企業庁の委託を受けて運営）	2026年1月から「下請かけこみ寺」より名称変更。取適法の対象にならない取引の相談も可能
公正取引委員会の一般相談	電話やメールで相談内容を説明し、口頭で回答を受ける	相談者・相談内容は非公表。迅速に回答が得られる
公正取引委員会の事前相談制度	これから行おうとする具体的な行為が法律上問題ないか、書面で回答を受ける	申出者名と相談・回答内容が公表されることへの同意が必要
違反行為情報提供フォーム	取適法違反や優越的地位の濫用の疑いを情報提供する	匿名で情報提供できる。公正取引委員会・中小企業庁が設置

公正取引委員会は各地方事務所にも取適法の相談窓口を置いており、中小企業庁と各経済産業局にも取引適正化の窓口があります。
「これは違反なのか」を自分で判断しようとせず、まず匿名や非公表の相談から始めるのが現実的です。

よくある質問

Q. 取引先からのセキュリティ対策の要請は、断ってもよいですか？

A. 断ることはおすすめしません。
要請そのものは国も「直ちに独占禁止法上問題となるものではありません」としており、正当な行為です。
断るのではなく「実施します。
ついては費用について協議させてください」と返すのが正しい対応です。
対策を拒むと、取引の継続そのものが難しくなる可能性があります。

Q. 「うちは資本金1,000万円以下なので取適法の対象外です」と言われました

A. 2026年1月から従業員基準が追加されており、資本金が小さくても常時使用する従業員が300人（役務提供委託等は100人）を超えていれば委託事業者になります。
まずは従業員数を確認してください。
また、仮に取適法の対象取引に当たらない場合でも、独占禁止法の優越的地位の濫用は別に適用され得ます。

Q. 価格交渉を申し入れたら、取引を切られませんか？

A. 取適法第5条第1項第7号は、公正取引委員会・中小企業庁長官・事業所管省庁に違反行為を知らせたことを理由とする取引数量の削減や取引停止などを、報復措置として禁止しています。
また情報提供は匿名でも行えます。
まずは通常の価格交渉として書面で申し入れ、それでも協議に応じてもらえない場合に公的窓口を検討する、という順番が現実的です。

Q. 見積書にセキュリティ対策費をどう書けばよいですか？

A. 製品・サービスの仕様に直接関わる対策であれば直接経費として、会社全体の対策であれば労務費や一般管理費といった間接経費として計上する、というのが国の解説の整理です。
会社全体の費用を1社に全額請求するのではなく、その取引先の売上構成比に応じて按分した金額を示すと話が進みやすくなります。

Q. すでにISMSを取得しているのに、指定のサービスを買えと言われました

A. 同等以上の対策をすでに講じており、新たなサービスを利用する必要がないにもかかわらず、指定業者のより高価なサービスを利用させることは、独占禁止法上問題になり得ます。
まず「自社はこの水準の対策をすでに実施している」ことを資料で示し、それでも指定製品が必要な理由の説明を求めてください。
合理的な必要性が説明できる場合は正当な要請です。

Q. 要請してきていない他の取引先にも、値上げを求めてよいのですか？

A. はい。
国の解説は「直接的にサイバーセキュリティ対策の実施要請を行っていない場合でも、積極的に交渉に応じる必要があります」と明記しています。
セキュリティ対策費は会社全体にかかる固定費なので、複数の取引先に分けて相談するのが本来の姿です。
言い出しにくい場合は取引かけこみ寺などの公的窓口に相談してください。

Q. 取引先が「パートナーシップ構築宣言」をしているか、どう調べればよいですか？

A. 宣言した企業名はポータルサイトで公開されており、企業名で検索できます。
宣言していれば、取引先へのサイバーセキュリティ対策の助言・支援は宣言に例示されている取組の一つです。
「宣言の趣旨に沿ってご相談させてください」という切り出し方は、値上げ交渉よりも相手が受け止めやすい入り口になります。

Q. 従業員10名の会社でも、こうした交渉はできますか？

A. できます。
取適法も独占禁止法も企業規模で保護の対象を分けてはいません。
むしろ規模が小さいほど「今後の取引への影響を心配して要請を受け入れざるを得ない」関係になりやすく、保護の趣旨がまさに当てはまる立場です。
まずは手順1〜4（費用0円）から始めてください。

Q. IT担当者がいなくても、チェックシートに答えられますか？

A. 答えられます。
多くのチェックシートで最初につまずくのは「IT資産の一覧」と「教育の記録」で、どちらも資産管理ツールと教育ツールを入れれば自動的に記録が残ります。
人手で毎月集計する運用は続かないので、記録が自動的に貯まる仕組みにするのが結局いちばん安く済みます。

Q. まず何から相談すればよいですか？

A. 「取引先から何を求められているか（文書）」と「自社の現状（できていること・いないこと）」の2つが揃えば、必要な対策と費用はすぐに見積もれます。
費用が出れば、それがそのまま価格交渉の根拠になります。
アーデントでは、対策の選定から補助金の活用まで一緒に整理できますので、お気軽にご相談ください。

まとめ

取引先からセキュリティ対策を求められたとき、要請そのものを断ることはできません。
しかしその費用を自社だけで抱え込む必要もありません。
国（公正取引委員会・経済産業省）は、対策の要請によるコスト上昇分を考慮せずに取引価格を据え置くことは法律上問題になり得るとし、価格交渉の申出には応じる必要があると明記しています。

2026年1月1日に下請法は取適法（中小受託取引適正化法）へと変わり、「協議に応じない一方的な代金決定」が新たに禁止行為として加わりました。
市価がいくらかを立証しなくても、「協議に応じてもらえなかった」という事実だけで問題にできるようになったということです。
運用基準は、据え置きも「決定」に含まれ、協議の先延ばしも「協議に応じない」に含まれると整理しています。

やるべきことは難しくありません。
要請の内容を文書で受け取り、自社の現状を棚卸しし、足りない分の費用を金額で出し、書面で価格交渉を申し入れる。
ここまでは費用がかかりません。
そのうえで、記録が自動的に残る仕組みを入れておけば、次に別の取引先からチェックシートが届いたときにも同じ資料で答えられます。

そして、言い出しにくいときのために公的な窓口が用意されています。取引かけこみ寺も、公正取引委員会の一般相談も無料で、相談内容は非公表です。ひとりで抱えず、使える制度を使ってください。

▶ 関連記事：サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目と、社長が最初にやる7つのこと

▶ 関連記事：SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは？★3・★4の違いと26の要求事項

▶ 関連記事：取引先からセキュリティ対策の証明を求められたら？中小企業がすぐできる対応