日本政府がIoT機器セキュリティ認証「JC-STAR」を2027年から義務化、中国製太陽光・蓄電池が事実上排除へ

「中国製のソーラーパネルや蓄電池が使えなくなるって本当？うちの会社は大丈夫？」
「JC-STARって聞いたことあるけど、自治体だけの話じゃないの？」

チップス

ボスっ、日本政府がIoT機器のセキュリティ認証を義務化するって聞きましたでしゅ。うちの会社にも関係あるんでしゅか？

ボス

大いに関係がある。太陽光発電・蓄電池・自治体のIT機器と対象は広い。中国製品は現時点でJC-STAR認証取得数がゼロだ。調達先の見直しを迫られる企業は少なくない。

自治体へのサイバー攻撃が相次ぎ、個人情報の流出や住民サービスの停止が繰り返されています。
それを受け日本政府は、IoT機器のセキュリティ認証「JC-STAR」を段階的に義務化する方針を固めました。
この記事では、制度の概要と企業・自治体が対応すべき内容を解説します。

調達先の選定から設備更新の計画まで、早めに動くほど対応コストが下がります。

日本のIoTセキュリティ認証「JC-STAR」とは何か

JC-STARは、経済産業省が2025年に開始したIoT製品向けのサイバーセキュリティ認証制度です。

制度の背景と仕組み

ネットワークに接続するIoT機器は、通信の脆弱性を突かれてサイバー攻撃の踏み台にされるリスクがあります。
自治体でも個人情報の漏洩やサービス停止被害が相次いだことが、制度化の直接の引き金になりました。
JC-STARの主な特徴は以下の通りです。

自治体向けのIT機器はこれに加え、内閣サイバーセキュリティセンターが管理する「ISMAP」の認定も条件になります。
どちらも中国製品は現時点で認証を取得できておらず、事実上の参入障壁となっています。

チップス

認証を取得できていない製品はもう使えなくなるんでしゅか？ 今持っているやつはどうなるんでしゅ？

ボス

既存の機器はすぐに使えなくなるわけではない。更新タイミングで認定品に切り替える形だ。ただし新規調達は義務化の時期から認定品のみになる。準備は早めに始める必要がある。

義務化のスケジュール

制度の適用は段階的に進む予定で、対象によって時期が異なります。
自社や自治体がどのフェーズに当たるかを把握することが、対応計画の第一歩です。
主な適用スケジュールは以下の通りです。

2027年は複数のフェーズが重なる節目の年です。
対応が必要な機器の棚卸しと、代替製品の選定を今から進めることが現実的な対策になります。

中国製品の事実上排除と企業が取るべき対応

JC-STAR・ISMAPはいずれも中国製品の認証取得実績がゼロで、市場への参入が実質的に閉じられています。

サプライチェーン全体を見直す必要がある理由

この政策の本質は「特定国の排除」ではなく、サイバーリスクのある機器を重要インフラから排除することです。
ただし結果として、中国製の太陽光パネル・蓄電池・IT機器の多くが対象外になります。
企業に影響が及ぶ具体的なシナリオは以下の通りです。

チップス

うちの会社、屋根に太陽光パネルついてるんでしゅけど、それも対象になるんでしゅか？

ボス

系統連系しているなら対象になる可能性がある。2027年4月が高圧設備の起点だ。まず設備の仕様とメーカーを確認し、JC-STAR取得の有無を問い合わせるところから始めるといい。

今から動ける3つの対応策

義務化まで1年以上ある今が、最も余裕を持って動けるタイミングです。
場当たり的な対応を避けるため、組織として計画的に進めることが重要です。
優先度の高い対応策を以下にまとめます。

経済産業省のJC-STAR公式ページには認証取得済み製品一覧が公開されており、調達先選定の参考になります。
総務省も自治体向けに専用相談窓口を設置しており、自治体と取引のある民間企業も活用できます。

まとめ：サイバーセキュリティを調達基準の中心に置く時代へ

日本政府のJC-STAR義務化は、IoT機器のサイバーリスクを調達の段階から排除する方向への大きな転換です。
中国製品が事実上の排除状態となる一方、国内外の認証取得済みメーカーへの需要が集中します。
企業は「使っている機器が認証を取得しているか」を今すぐ確認し、2027年の義務化に向けた調達計画を立て直すことが求められます。

チップス

セキュリティって買う前から考えなきゃいけないんでしゅね。調達担当に伝えてみましゅ！

ボス

それが正しい考え方だ。「安いから」という理由だけで機器を選ぶ時代は終わりつつある。セキュリティを調達基準の中心に据えることが、組織を守る最初の一手だな。