元請・発注者から損害賠償を求められるケース｜建設業の確認事項

「サイバー事故が原因で工事に支障が出た。損害を負担してほしい」。建設会社の経営者が元請や発注者からこのような連絡を受けたら、どのように対応すればよいのでしょうか。

施工管理システムの停止、図面の漏えい、メールの不正利用などによって、取引先から損害賠償を請求される可能性があります。しかし、請求を受けたからといって、その金額を直ちに支払う義務が確定するわけではありません。

重要なのは、請求の理由、事故と損害の関係、契約上の責任、金額の根拠を一つずつ確認することです。この記事では、元請・発注者との信頼関係を大切にしながら、必要な事実を整理する実務手順を解説します。

1．元請・発注者から請求される場面とは

建設会社がサイバー事故に遭うと、自社のパソコンや業務システムだけでなく、元請や発注者の業務にも影響が及ぶ可能性があります。例えば、工程表の確認ができない、共有していた設計情報が外部へ流出する、取引先を装ったメールが送信されるといった場面です。

こうした事態で取引先に費用や損失が生じた場合、損害賠償を求められることがあります。ただし、請求の内容や責任の有無は、契約関係と事故の具体的な状況によって異なります。

2．ケース① 工事遅延・工程変更

施工管理システムや図面共有サービスが停止すると、作業指示や工程調整に支障が生じる場合があります。元請から、工程変更に伴う追加費用や遅延損害金などを請求されるケースが考えられます。

ただし、システム停止と工事遅延は同じではありません。現場で代替資料を利用できたか、実際にどの作業が遅れたか、天候や資材納入など別の要因がなかったかを確認する必要があります。

確認したい資料

• 事故前後の工程表
• 現場日報・作業実績
• システム障害の発生・復旧記録
• 元請との工程変更協議
• 追加費用の請求書・明細

3．ケース② 図面・設計情報の漏えい

建設会社が保管する図面や設計資料には、発注者の施設情報、設備配置、工事仕様、未公開計画などが含まれる場合があります。こうした情報が不正アクセスによって外部へ流出すると、発注者や元請から説明や対応を求められる可能性があります。

まず確認したいのは、実際にどの情報が対象となったかです。漏えいの疑いがあることと、外部流出が確認されたことは区別し、専門事業者の調査結果などに基づいて説明しましょう。

確認する事項

• 対象となる図面・設計資料の種類
• 秘密保持契約や情報管理条項
• 情報の閲覧・共有権限
• 外部流出の痕跡と調査上の限界
• 元請・発注者から求められている対応

図面の漏えいが疑われるからといって、必ず設計変更費用などの賠償責任が発生するわけではありません。請求された費用と事故との関係を確認することが重要です。

4．ケース③ 顧客情報・個人情報の漏えい

建設会社では、施主の氏名、住所、連絡先、社員情報、協力会社の担当者情報などを取り扱います。こうした情報が漏えいした場合、元請や発注者から調査、説明、通知対応などを求められることがあります。

個人データの漏えい等については、一定の要件に該当すると、個人情報保護委員会への報告や本人通知が必要になる場合があります。誰がどの義務を負うかは、情報の管理関係や法令上の位置付けなどによって確認が必要です。

5．ケース④ メール不正利用・誤送金

建設業では、請求書や振込先の連絡をメールで行うことがあります。取引先を装った偽メールや、実際のメールアカウントの不正利用によって振込先の変更を指示され、誤送金が発生する可能性があります。

誤送金が発生した場合でも、どの会社がどの範囲の責任を負うかは、メールの不正利用状況、本人確認手続き、契約内容、関係者の対応などを踏まえた検討が必要です。メールアカウントが不正利用された会社が、当然に全額を負担するとは限りません。

確認する資料

• 送受信メールの原本とヘッダー情報
• 請求書・振込先変更の履歴
• 電話等による確認記録
• 実際の振込記録
• 不正アクセスの調査結果

6．ケース⑤ 協力会社や元請への影響拡大

建設現場では、元請・下請・協力会社がクラウドや共有システムを利用することがあります。一社のアカウントが不正利用された場合、共有資料の閲覧やシステムの利用に影響が及ぶ可能性があります。

ただし、同じシステムを利用していたというだけで、事故の原因や責任が確定するわけではありません。接続関係、アクセス権限、操作履歴、事故発生前後の状況を調査する必要があります。

元請から調査費用や対応費用の負担を求められた場合も、請求内容と契約上の責任、事故との関係を確認しましょう。

7．損害賠償責任が認められるかの確認

損害賠償責任は、請求を受けたという事実だけで決まるものではありません。契約上の義務や法令上の責任、事故との因果関係、損害の発生と範囲などを具体的に検討する必要があります。

外部からサイバー攻撃を受けた場合でも、当然に責任を免れるとは限りません。一方、適切な管理を行っていたか、契約で何が求められていたかなどによって、責任の判断が異なる場合があります。

8．契約書・約款で確認する重要事項

元請や発注者から請求を受けたら、該当する工事の契約書や基本取引契約書、秘密保持契約、情報管理に関する合意などを確認します。一般的な契約書だけでなく、個別工事の特約や仕様書に条件が定められている場合もあります。

確認する際は、契約上の責任範囲だけでなく、事故通知の期限、協議手順、損害賠償の制限、保険加入に関する条件なども整理しましょう。

確認したい契約条項

• 秘密保持・情報管理義務
• 工期・納期・工程変更
• 損害賠償と遅延損害金
• 責任制限・免責に関する定め
• 事故発生時の通知義務
• 第三者への再委託・協力会社管理
• 紛争時の協議・解決手続き

契約書に損害賠償条項がある場合でも、すべての請求額が無条件で認められるわけではありません。具体的な条項の適用や有効性については、必要に応じて法律専門家へ確認してください。

9．請求金額の根拠と証拠資料

損害賠償請求では、請求金額の内訳を確認することが重要です。調査費用、復旧費用、追加人件費、工事遅延に関する費用などが含まれている場合があります。

ただし、請求書に記載された金額が、そのまま法的に認められる損害額になるとは限りません。実際の支出、事故との関係、契約上の負担範囲などを整理しましょう。

10．請求を受けた直後の初動対応

元請や発注者から損害賠償の連絡があった場合は、まず相手の説明を正確に確認し、請求の内容と期限を記録しましょう。事故への対応と並行して、関係資料の保全や契約内容の確認を進めます。

取引先との関係を守るためにも、連絡を放置することは避けたいところです。一方で、責任や支払額が未確認の段階で、賠償を確約することも避ける必要があります。

初動対応の基本手順

1. 請求内容・金額・回答期限を確認する
2. 契約書と関連資料を確保する
3. 事故の調査状況と影響範囲を整理する
4. 保険会社・代理店へ速やかに事故連絡する
5. 必要に応じて弁護士等の専門家へ相談する
6. 確認済みの事実と調査中の事項を分けて回答する

11．サイバー保険・賠償責任保険の確認

サイバー保険には、契約内容によって第三者への損害賠償責任や事故対応費用などを補償するものがあります。しかし、元請や発注者からの請求が、すべて補償対象になるわけではありません。

特に、契約で特別に引き受けた責任、工事遅延に関する経済的損失、誤送金に関する損失などは、保険商品や約款によって取扱いが異なります。一般的な賠償責任保険や工事関連保険についても、対象となる事故と損害の種類を確認する必要があります。

保険会社へ確認したい事項

• 事故通知の方法と期限
• 請求されている損害の種類
• 補償対象となる事故・費用の範囲
• 免責事項・補償限度額・免責金額
• 弁護士費用や専門家費用の取扱い
• 示談・支払い前の承認条件

12．損害賠償請求への10項目チェックリスト

元請・発注者から損害賠償を求められた際は、次の10項目を確認しましょう。すぐに結論が出ない事項は「確認中」として記録し、担当者と確認予定を決めることが重要です。

13．まとめ｜請求・責任・補償を分けて判断する

建設会社がサイバー事故に遭った場合、元請や発注者から損害賠償を求められる可能性があります。しかし、請求を受けたことと、法律上の責任が確定することは同じではありません。

まず請求の内容を確認し、契約書、事故の原因、損害との関係、金額の根拠を整理しましょう。そのうえで、保険会社や必要な専門家へ相談し、相手先には確認済みの事実を丁寧に伝えることが重要です。

参考資料

• IPA｜中小企業の情報セキュリティ対策ガイドライン
• IPA｜情報セキュリティ
• JPCERT/CC｜インシデント対応関連情報
• 個人情報保護委員会｜法令・ガイドライン等
• 国土交通省｜建設工事標準請負契約約款等の確認先
• e-Gov法令検索｜民法等の確認先

建設業のサイバーリスクと実務対策は、パキラのサイバーリスク情報サイトでも紹介しています。

※本記事は一般的な情報提供を目的としています。記載したケースは想定例であり、特定企業の事故を示すものではありません。契約上の責任、損害賠償額、法令上の義務、保険の補償可否は個別の事実関係や契約条件に基づいて確認してください。