経済産業省は、「サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）version 1.1」の改訂案について意見公募（パブリックコメント）を実施している。10月23日に公募を開始しており、提出期限は日本時間2026年12月21日（月）必着となっている。
CPSFは参照用のフレームワークであり、新たな法令ではない。電子政府の総合窓口（e-Gov）の公示には根拠法令条項の記載がなく、行政手続法に基づく手続ではなく任意の意見募集と位置付けられている。
改訂案の主な変更点
経産省は2019年4月18日にVersion 1.0を発行した。改訂案の改訂履歴によると、発行から約7年が経過し、対策要件や対策例の一部が最新のセキュリティ動向を反映できていないという。そのため今回の改訂は、最新の主要規格を踏まえて再編された第Ⅲ部（対策要件および対策例集）と添付資料が中心となっている。経産省の意見公募要領では、NISTサイバーセキュリティフレームワーク2.0をはじめとする国際的な動向の反映に主眼を置いたとしている。
第Ⅲ部では、対策要件を統治、識別、防御、検知、対応、復旧の6つの機能に分類している。添付Dでは、これらをNIST CSF 2.0のサブカテゴリ、NIST SP 800-171 Rev.3の要件、およびISO/IEC 27001:2022付属書Aの管理策と対応付けている。添付Cは、対策例をNIST SP 800-53 Rev.5 Release 5.2.0、ISO/IEC 27001:2022、ならびにIEC 62443-2-1:2024およびIEC 62443-3-3:2013の各規格と紐付けている。一方、添付DのSP 800-171対応表はSP 800-53のRelease 5.1.1を引用しているため、両方の添付資料を照合する読者は2つの異なるリリース番号を目にすることになる。
サプライヤーが確認すべき点
改訂案は発注元企業に対し、取引先に特定の対策要件を求めるよう促している。そのためのプロセスとしてサプライチェーン・リスクマネジメントのカテゴリにあるCPS.GV.SC-01やSC-05からSC-11、および関連項目を挙げており、契約の全期間にわたるガバナンスを目的としている。添付Cでは、対策例をBasic、Advanced、High-Advancedの3つのレベルに分けて提示している。CPS.GV.SC-05におけるHigh-Advancedの対策例では、発注元がサプライヤーに対し、重要な製品についてソフトウェア部品表などの構成部品インベントリを提出・維持するよう契約で義務付けることが挙げられている。
添付Cは、記載された対策例はあくまで一例であり、他の実装方法でも対策要件を満たすことができるとしている。それでも、顧客との契約でCPSFが引用されているサプライヤーは、改訂案のレベル分けや規格との対応関係を自社の現行の管理策と照らし合わせて確認しておきたいところだ。
先送りされた項目
改訂案はAI関連のリスクには踏み込んでいない。経産省は、AIの活用や脅威の動向を踏まえ、来年度以降にさらなる改定を検討する予定だとしている。改訂案の改訂履歴によると、AIに関する対応は国際的なフレームワークの策定状況や動向を踏まえて進めるという。
意見の提出方法
意見はe-Govの意見提出フォーム（案内は日本語のみ）から日本語または英語で提出できる。あるいは、意見提出用紙を電子メールで[email protected]宛てに送付することも可能だ。経産省は個別の意見には回答しないとしており、提出された意見は個人情報を除いた上で公開される可能性がある。なお、改訂案におけるversion 1.1の改訂年月日は仮置きのままとなっている。