第41条（認定の基準）

法第二十八条の経済産業省令で定める基準は、次の各号のいずれかに該当することとする。 一 次のいずれにも該当すること。 イ 事業者が、最新の情報処理技術の変化による影響を踏まえた観点から、企業経営の方向性及び情報処理技術の活用の方向性を決定し、公表していること。 ただし、意思決定機関（会社法（平成十七年法律第八十六号）第二条第一号に規定する会社（以下「会社」という。）のうち、取締役会設置会社（会社法第二条第七号に規定する取締役会設置会社をいう。以下同じ。）にあっては取締役会、取締役会設置会社でない会社及びその他の法人又は団体にあっては取締役会に準ずる機関とする。以下同じ。）を設けている場合には、意思決定機関の決定に基づいたものに限る。 ロ 事業者が、最新の情報処理技術の変化による影響を踏まえた観点から、次に掲げる事項を含む企業経営及び情報処理技術の活用の具体的な方策（以下単に「戦略」という。）を決定し、公表していること。 ただし、意思決定機関を設けている場合には、意思決定機関の決定に基づいたものに限る。 （１） 戦略において、当該戦略を効果的に推進するための体制が示されていること。 （２） 戦略において、最新の情報処理技術の活用のための環境整備に関する具体的な方策が示されていること。 ハ 事業者が、戦略の達成状況に係る評価に関する指標を決定し、公表していること。 ニ 事業者において、戦略の推進等の実務の執行を総括する責任者（以下「実務執行総括責任者」という。）が、効果的な戦略の推進を図るために必要な情報発信を実施していること。 ホ 実務執行総括責任者が、主導的な役割を果たし、最新の情報処理技術の変化を踏まえた事業者が利用する情報処理システム（法第二条第三項に規定するものをいう。以下この条、第四十六条、様式第十六及び様式第十七において同じ。）における課題を把握していること。 ヘ サイバーセキュリティ（サイバーセキュリティ基本法（平成二十六年法律第百四号）第二条に規定するサイバーセキュリティをいう。次号ニにおいて同じ。）に関する対策の的確な策定及び実施を行っていること。 ト 法又は法に基づく命令その他関係法令に違反する重大な事実がないこと。 二 次のいずれにも該当すること。 イ 前号イからトまでのいずれにも該当すること。 ロ 事業者が、次のいずれにも該当する情報処理システムの運用及び管理（他の事業者に委託する場合を含み、外国政府等による影響を受けている場合を除く。）を行っていること。 （１） 運用及び管理を行う者が異なる複数の情報処理システムの連携を円滑に行うための効率的なデータの流通、処理及び利用等に関する機能（以下「データ流通機能」という。）並びに当該連携を行うために複数の情報処理システムに共通して必要な機能（データ流通機能として備えるものを除く。以下「連携サービス機能」という。）を備える情報処理システム（以下「データ連携システム」という。） （２） 運用及び管理を行う者が異なる複数の情報処理システムの連携によりこれらの者が多様なデータを活用できることを目的として、情報処理システムの運用及び管理を行う者がその開発、運用及び管理を単独で行った場合における収益性が見込めないことその他の理由により、その開発、運用及び管理を共同で行うことが合理的と認められるデータ連携システムであって、法第四十七条第一項第九号に規定する業務に応じてガイドラインその他の機構が定める文書にのっとったもの ハ 事業者が、データ連携システムにおいて扱うデータに関して、守秘義務の遵守、目的外利用の禁止その他のデータの管理に関する事項を定め、当該データ連携システムの利用者に取引条件として開示していること。 ニ 事業者が、データ連携システムにおけるアクセス制御機能の整備、暗号化対策、サイバーセキュリティに関する対策、可用性の確保その他のデータ連携システムの安全性及び信頼性の確保のために必要な措置を継続的に講じていること。 ホ 事業者が、データ連携システムに接続する情報処理システムが満たすべき要件の明確化その他の情報処理システムの安全性及び信頼性が確保されていることを確認するために必要な措置を継続的に講じていること。 ヘ 事業者が、データ連携システムと他のデータ連携システムとの相互の連携を確保するために、当該データ連携システムが準拠する基準を公表していること。 ト 事業者が、データ連携システムに係る事業の実施に必要な経営の安定性及び経営資源（設備、技術、個人の有する知識及び技能その他の事業の運営に活用される資源をいう。）を確保していること。