JC-STARとは2026｜効いてくるのはラベルでなく要件化の日付

「JC-STARのラベルが付いた製品を選べばいいのですか」——2026年に入ってから、この質問をいただく機会が増えました。答えは半分は「はい」ですが、実務としては「いいえ」です。この制度で効いてくるのは、ラベルが付いているかどうかそのものではなく、自社が買う機器カテゴリがいつ要件化されるかという日付のほうだからです。本記事では制度の全体像と、買う側がいま確認すべきことを整理します。

JC-STARとは何か｜経済産業省の監督下でIPAが運営するラベリング制度

正式名称は「セキュリティ要件適合評価及びラベリング制度」

JC-STARは略称で、正式名称は「セキュリティ要件適合評価及びラベリング制度」といいます。経済産業省の監督下で、IPA（独立行政法人 情報処理推進機構）が構築・運営しています。

この一文だけで、実務上重要なことが2つ決まります。ひとつは、これが民間の認証ビジネスや業界団体の自主マークではなく、国の政策として設計された制度だということ。もうひとつは、運営の実務をIPAが担っているため、適合製品の情報がIPAの公開リストに集約されるということです。買う側から見れば、「その製品が本当に適合しているか」を、ベンダーの営業資料ではなく公開リストで確認できる、という意味になります。

制度の目的も明快です。調達者・消費者が製品のセキュリティ状況を簡単に取得できるようにすること。つまり、セキュリティのレベルを引き上げることそのものよりも、すでに存在している差を外から見えるようにすることに主眼が置かれています。ここを取り違えると、制度の読み方を最初から間違えます。

2025年3月25日に何が始まったのか

時系列を押さえておきます。

注目してほしいのは、2025年3月25日に始まったのが「申請受付」と「製品リストの公開」の2つだという点です。制度が動き出した日は、同時に買う側が製品を検索できるようになった日でもあります。制度開始のニュースは供給側の話として報じられがちですが、調達実務にとっては後者のほうが直接的な変化でした。

なぜいまIoT製品のセキュリティ認証なのか

背景として、NICTERの観測によるサイバー攻撃関連パケット数は、2024年に過去最高の約6,862億パケットを記録しています。IoT製品の台数も2019年以降、毎年増加を続けています（2023年のデータまで確認）。

台数が増え、攻撃の観測量が増えている。この2つが重なると、個々の製品の作り込みを個別に評価する余力が、買う側にはなくなります。工場に入るネットワーク機器、カメラ、センサーゲートウェイを1台ずつセキュリティ監査していたら、調達は止まります。だから、製品側にあらかじめ最低限のラインを引かせて、それを外から見えるようにするというアプローチが選ばれた。JC-STARはその文脈に置かれた制度です。

ETSI EN 303 645やNISTIR 8425との関係

JC-STARは、ETSI EN 303 645やNISTIR 8425といった国内外の規格とも調和しつつ、独自に定める適合基準に基づいてIoT製品の適合性を確認・可視化する制度、と説明されています。

この「調和しつつ、独自に定める」という言い回しは、正確に読む価値があります。JC-STARはETSI EN 303 645の認証制度そのものではありません。要件の考え方を国際的な標準と揃えたうえで、日本の制度としての適合基準を別に持っている、という構造です。したがって「ETSI EN 303 645に準拠しています」というベンダーの説明があっても、それは自動的にJC-STARの★1適合を意味しません。逆もまた同じです。

調達仕様書を書くときは、ここを混ぜないでください。「国際規格に準拠していること」と「JC-STAR ★1適合ラベルを取得していること」は、確認できる情報の粒度がまったく違います。前者は主張、後者は公開リストで照合できる事実です。

JC-STARのレベルは「要件の厳しさ」より「誰が評価するか」で分かれている

★1〜★4の全体像

ここが制度理解のいちばんの急所です。★の数を見て「★1は簡単、★4は厳しい」と読むのは、半分しか合っていません。

要件の厳しさは確かに★1から★4へ上がっていきます。ですが、制度としての性質が変わるのは★2と★3のあいだです。★1と★2はベンダーの自己宣言、★3と★4は独立した第三者評価機関の評価報告書に基づいてIPAが認証する。ここに一本、太い線が引かれています。

自己適合宣言と第三者認証は、役割が違う

★1が自己適合宣言だと知ると、「では★1のラベルには意味がないのでは」という反応が返ってくることがあります。この読み方は正確ではありません。

自己適合宣言は、多くの製品に短期間で最低限のラインを行き渡らせるための仕組みです。第三者評価は、時間と費用をかけて確からしさを担保するための仕組みです。両者は競合ではなく、カバレッジと深さのどちらを取るかという役割分担です。工場に入るIoT機器は種類が多く、1製品ずつ第三者評価を通していたら、制度が普及する前に機器の世代が変わってしまいます。★1を自己宣言としたことで、幅広いカテゴリに短期間でラインを引くことが可能になっています。

一方で、自己宣言である以上、ラベルの有無だけでは「その製品が安全だ」とは言えません。★1は共通して求められる最低限の要件を満たしていると製造者が宣言したという事実を示すものであって、製品の総合的な品質保証ではない。この2つは矛盾しません。制度がそう設計されている、というだけです。

買う側の実務としては、次のように使い分けるのが素直です。

• ★1／★2 — 足切りに使う。「これが無い製品は候補から外す」という下限のフィルタ。
• ★3／★4 — 加点に使う。第三者評価が入っている分、重要度の高い系統や、外部接続点に置く機器の選定根拠として使える。

★1を「品質の証明」として使おうとすると期待外れになりますが、「候補を絞る下限」として使えば、これほど手軽な指標はありません。公開リストで型番を照合するだけで済むからです。

★2以上のスケジュールと対象類型

★2〜★4については、2025年3月の運用開始時点では★1のみが先行し、★2以上は2026年度以降の開始が予定されているとされていました。

その後の公表内容では、★2以上は政府調達での活用が見込まれる「ネットワークカメラ」「通信機器」の2類型を対象として、2026年1月以降に申請受付を開始する予定とされています。また、★3の適合要件は2026年6月12日に公開されました。

工場側の視点で読むと、この2類型の選ばれ方には意味があります。ネットワークカメラと通信機器は、いずれも外部から見えやすく、台数が多く、更新が後回しにされやすい機器です。工場でいえば、構内監視カメラや、無線アクセスポイント・産業用スイッチ・ルーターといったネットワーク機器が、この2類型に近い位置にあります。工場ネットワークの構成要素としてのこれらの機器の位置づけは、工場の無線LANと産業用ネットワーク設計で別途整理しています。

なお、★2以上の申請受付について本記事が書いているのは、上記の「公表された予定」までです。実際の受付開始や対象類型の追加については、IPAの公式ページで最新の情報を確認してください。制度は分野ごとに個別に進んでいるため、公表予定と実際の進捗にはずれが生じ得ます。

「IP通信をしない機器」は制度の対象外になる

もうひとつ、レベルの話と並んで押さえておくべき切り分けがあります。IP通信の機能を持たない機器は、制度の対象外と整理される場合があります。

具体例として、安川電機は2026年4月13日に、同社のPCS（パワーコンディショナ）単体はIP通信機能がないため制度の対象外である、と公式に発表しています。ラベルが無いことが、そのまま「対応が遅れている」を意味するわけではない、ということです。

これは調達実務にとって重要な区別です。機器リストを作って「ラベルの有無」だけで色分けすると、そもそも対象外の機器が未対応として赤くなります。棚卸しの最初の一手は、ラベルの確認ではなく「この機器はIP通信をするか」の仕分けです。この点は後半のチェックリストでもう一度扱います。

JC-STAR ★1の要件は、現場の言葉に訳すと何を求めているのか

適合製品の仕様として公表されている★1のセキュリティ要件は、次の5項目です。条文のままだと調達仕様書に落としづらいので、現場の運用言葉に訳し直します。

5項目のうち、調達で効くのは5番目

5項目は横並びに見えますが、購買判断への影響がいちばん大きいのは最後の「サポート期間内のセキュリティアップデート提供」です。

理由は単純で、他の4項目は納入時点で満たされているかどうかを確認すれば終わりますが、5番目だけは将来の時間軸に対する約束だからです。工場の設備は10年、15年と使います。導入から5年でセキュリティアップデートの提供が終わる機器を、更新計画を持たずに入れてしまうと、そこから先は「脆弱性が公表されても直らない機器」を工場のネットワークに置き続けることになります。

この5番目を調達仕様書に反映する方法は、後半のチェックリストで具体的に書きます。ここで先に結論だけ言えば、確認すべきなのは「サポートがあるか」ではなく「いつ終わるか」です。

3番目の「設定値の暗号化」が効く場面

もうひとつ、現場で見落とされやすいのが3番目の設定値の暗号化です。

これが効くのは、機器を導入するときではなく、手放すときと、預けるときです。リース返却、修理のためのメーカー送付、故障機の廃棄、そして海外拠点間での機器の融通。このとき、設定ファイルが暗号化されないまま、ネットワーク構成やパスワードのハッシュ、接続先の情報を保持していると、それはそのまま持ち出されます。

タイに拠点を持つ企業の場合、機器の修理や交換で現地ベンダーに実機を渡す場面が日本国内より多くなりがちです。設定値の暗号化は、その運用のリスクを機器側で下げる要件だと理解しておくと、意義が見えやすくなります。ネットワーク機器を含めた工場側のセキュリティ設計全体については、タイ工場のOTセキュリティとIEC 62443で扱っています。

★1の要件は「特別なこと」を要求していない

5項目を並べて気づかれたと思いますが、★1が求めているのは、いずれもセキュリティの世界では長く言われてきた基本です。初期パスワードを変えさせる、総当たりを止める、設定を暗号化する、更新を配る、いつまで配るかを決める。目新しい技術要件はひとつもありません。

だからこそ、★1の意味は「高いハードルを越えた」ではなく、「この5つを満たしていない製品が、市場から見分けられるようになった」ことにあります。制度の価値は上限を引き上げたことではなく、下限を可視化したことにある。この理解が、次の章につながります。

効いてくるのは日付｜要件化のロードマップは太陽光・蓄電分野で先行している

太陽光・蓄電分野のロードマップ

ここからが本記事の主題です。JC-STARで実務に効いてくるのは、ラベルの有無ではなく、要件化の日付です。

そして現時点で明確な日付が並んでいるのは、太陽光・蓄電分野です。

この表は太陽光・蓄電分野の話です。他の分野に一般化しないでください。 工場の生産設備やFA機器、事務系のネットワーク機器について、同じような日付が決まっているわけではありません。

そのうえで、この表が示している構造には普遍性があります。順番を見てください。制度が始まり、次に補助金の要件になり、その次に系統連系という接続の条件になっています。任意取得の制度が実務に効き始めるとき、多くの場合この順序をたどります。「取ったほうがいい」から「取っていないと補助金が下りない」へ、そして「取っていないと接続できない」へ。

つまり、買う側が監視すべき指標は「ラベル取得製品が何件になったか」ではありません。自社の機器カテゴリについて、補助金要件や接続条件にJC-STARが顔を出し始めたかです。前者は供給側の指標、後者は自分の調達が止まるかどうかの指標です。

「実質必須化」は「義務化」ではない

用語の使い方を明確にしておきます。2026年度の環境省ストレージパリティ補助金における「実質必須化」は、補助金を申請する場合に事実上そろえる必要があるという意味であって、その製品を買うすべての人に取得が課されるという意味ではありません。

JC-STARについて、現時点で取得を一律に義務づける規定は確認されていません。「JC-STARが義務化された」という表現を見かけたら、それは正確ではありません。制度は任意のまま、個別の分野で、個別の場面で、要件として引用され始めているというのが実際に起きていることです。

この違いは、社内説明で効きます。「義務化されるらしい」と伝えると、対象外の機器まで含めた全社棚卸しが始まって、たいてい途中で止まります。「自社が関係する分野で、いつ要件として引用されるか」と伝えれば、調べる範囲が限定され、答えが出ます。

自治体調達の話は「予想」であって決定事項ではない

もうひとつ、よく引用される話に触れておきます。

地方公共団体等のIoT製品調達について、「2025年4月以降、JC-STARの取得あるいは取得見込みの製品であることが要件となることが予想される」との解説があります（解説記事が公表された時点での予想です）。

これは解説記事における予想であって、決定された事項ではありません。本記事でも断定はしません。ただし、実務上の扱い方としては、こう考えるのが妥当です。予想が当たったときのコストと、外れたときのコストを比べる。 予想が当たった場合、対象製品がJC-STAR未取得だと入札そのものに乗れない可能性があります。外れた場合、失うのは仕様書に一文入れる手間だけです。非対称なので、仕様書に「取得済み、または取得予定時期の明記」を求める一文を入れておくほうが合理的、という判断になります。

自治体向けの製品を納入している立場でなくとも、この構造は覚えておく価値があります。要件化は、断定できる情報として降ってくるとは限りません。多くは「予想される」の段階で対応を決める必要があります。

工場のIoT/OT機器はどうなるのか

「では工場の機器はいつなのか」——ここが読者にとっていちばん知りたい点だと思いますが、太陽光・蓄電分野のような明確な日付は、現時点では確認できていません。確認できていない以上、本記事では推測での日付は示しません。

言えるのは、★2以上の先行対象がネットワークカメラと通信機器の2類型であること、そしてこの2類型が工場構内にも大量に存在することです。工場のIoT/OT機器調達と設備更新計画に、この制度をどう織り込むかについては、工場のIoT/OT機器調達とJC-STARの影響で、更新サイクルへの落とし込みまで含めて詳しく扱います。

国際的な位置づけ｜日星の相互承認が2026年6月1日に発効した

JC-STARは国内制度ですが、国際的な接続がすでに始まっています。2026年3月18日、日本とシンガポールが、JC-STARとシンガポールのCybersecurity Labelling Scheme（CLS）の相互承認に関する覚書に署名しました。相互承認は2026年6月1日に発効し、JC-STARの★1（STAR-1）のベースライン要件が、シンガポールCLSのLevel 1と等価と認められています。日本は、フィンランド・ドイツ・韓国・英国に次いで、シンガポールCLSと相互承認を結んだ5か国目です。

経済産業省は、今回のシンガポールとの相互承認に加えて、日本自身の相互承認先として英国（PSTI Act）、米国（U.S. Cyber Trust Mark）、EU（Cyber Resilience Act）とも交渉を継続する方針を示しています。海外拠点を持つ企業にとって意味があるのは、日本で★1を取った製品の適合性が、他国の制度でどこまで通用するかという点です。この相互承認が、タイをはじめとする海外拠点の調達基準づくりにどう使えるか、そしてタイ側に相当する制度が無い状況で何を基準に置くかについては、日星MRAとタイ拠点の調達基準で扱います。

買う側の実務｜いま確認すべきことをチェックリストにする

制度の話を、明日から動かせる作業に落とします。順番が大事なので、この順で進めてください。

ステップ1｜機器を4つに仕分ける（棚卸し）

まず、ラベルを調べる前に仕分けをします。

Cを最初に外すことが、この棚卸しを終わらせるコツです。前述のとおり、IP通信機能を持たない機器は制度の対象外になり得ます。ここを混ぜると、リストが「未対応」だらけになって、優先順位が付かなくなります。

Dの照会は、メーカーの営業窓口ではなく、可能ならサポート窓口に出したほうが答えが早いことが多いです。聞き方は「JC-STARを取っていますか」ではなく、「この型番は制度の対象製品ですか。対象であれば取得済みか、取得予定時期はいつか」の3点セットにします。対象外なら対象外という回答が返ってきて、それで棚卸しは完了します。

ステップ2｜カテゴリごとに「要件化の気配」を確認する

区分Aに入った機器について、そのカテゴリで要件化の動きがあるかを確認します。見るべき場所は3つです。

1. 補助金の公募要領 — 自社が使う補助金の要件に、JC-STARやそれに類する適合要件が入っていないか。太陽光・蓄電分野では2026年度の環境省ストレージパリティ補助金で実質必須化されています。
2. 接続・連系の条件 — 系統連系のように、インフラへの接続条件に組み込まれていないか。
3. 官公庁・自治体の入札仕様 — 自治体調達については前述のとおり予想の段階ですが、実際の入札仕様に文言が現れ始めたら、それは確定情報です。

この3つは、いずれもベンダーではなく発注側・制度側が出す情報です。ベンダーの製品ページを追いかけるより、こちらのほうが早く動きます。

ステップ3｜調達仕様書に入れる文言

区分Aの機器について、仕様書に入れる一文の例を挙げます。そのまま使える形にしてあります。

セキュリティ適合に関する要件
1. 本件対象機器のうちIP通信機能を有するものについて、納入時点でJC-STARの適合ラベルを取得済みであること。取得済みでない場合は、制度の対象製品であるか否か、対象である場合は取得予定時期を提案書に明記すること。
2. 取得済みの場合は、取得レベル（★1〜★4）、対象となる型番の範囲、取得日を提案書に記載すること。
3. 納入機器のセキュリティアップデート提供終了予定日を、型番ごとに明記すること。

3つとも、目的が違います。

• 1番目は足切り。ただし「取得していること」だけを条件にすると、対象外の良い機器まで排除してしまうので、「対象製品か否か」を先に問う形にしています。
• 2番目は誰が評価したかの確認。★1と★3では確からしさの根拠が違うので、レベルまで書かせます。あわせて「対象となる型番の範囲」を必ず書かせてください。シリーズ名で適合をうたっていても、実際の適合対象は個別型番単位というケースがあります。
• 3番目が、実は最も長く効きます。サポート提供終了日は、次の更新計画の起点になる日付です。

ステップ4｜更新計画に日付を書き込む

ステップ3の3番目で集めた「セキュリティアップデート提供終了予定日」を、設備更新計画の台帳に転記します。

工場の設備更新計画は、通常は故障率と減価償却で組まれています。そこにサポート終了日という第3の軸を加えるのが、この制度から得られるいちばん実利のある成果です。物理的にはまだ動く、償却も済んでいる、しかしセキュリティアップデートは来ない——この状態の機器がネットワーク上に何台あるかを把握している工場は、多くありません。

台帳に入れる列は3つで足ります。「型番」「サポート提供終了予定日」「更新予定年度」。3列目が2列目より後になっている行が、リスクの所在です。

ステップ5｜ラベルを見つけたら、追加で3点を確認する

公開リストや製品ページで適合表示を見つけたら、次の3点まで確認して初めて調達判断に使えます。

1. レベル — ★1／★2なら自己適合宣言、★3／★4なら第三者評価機関の評価報告書に基づくIPAの認証。誰が評価したかが変わります。
2. 対象型番の粒度 — シリーズ全体なのか、特定の型番だけなのか。買おうとしている型番が含まれているかを照合します。
3. 取得日 — 取得日が古い場合、その後の型番改訂が対象に含まれているかを確認します。

なお、工場でも使われるカテゴリでの取得は進み始めています。たとえばバッファローは、Wi-Fiアクセスポイント、ルーター、スイッチ、NASといった製品群について★1適合製品を公表しています。一方で、カテゴリによって取得の進み方には差があります。メーカー別・カテゴリ別の適合状況の温度差については、JC-STAR取得メーカーと対応製品の状況で整理します。本記事では特定メーカーの優劣には踏み込みません。

よくある質問（FAQ）

JC-STARとは何ですか？

正式名称を「セキュリティ要件適合評価及びラベリング制度」といい、経済産業省の監督下でIPA（独立行政法人 情報処理推進機構）が構築・運営するIoT製品向けのセキュリティ適合評価・ラベリング制度です。2024年8月に経済産業省が構築方針を公表し、2025年3月に運用を開始しました。ETSI EN 303 645やNISTIR 8425といった国内外の規格と調和しつつ、独自に定める適合基準に基づいて製品の適合性を確認・可視化します。目的は、調達者・消費者が製品のセキュリティ状況を簡単に取得できるようにすることです。

JC-STARの★1は誰が評価するのですか？

★1はベンダーの自己適合宣言です。★2も自己宣言、★3と★4は独立した第三者評価機関の評価報告書に基づいてIPAが認証します。つまり★の数は要件の厳しさだけでなく、誰が適合を確認したかの違いも表しています。★1は「最低限の共通要件を満たしていると製造者が宣言した」ことを示すもので、製品の総合的な品質保証ではありません。候補を絞る下限のフィルタとして使い、確からしさの担保が必要な用途では★3以上を加点材料にする、という使い分けが実務的です。

JC-STARの取得は義務ですか？

いいえ、制度自体は任意取得です。ただし、分野ごとに個別の要件として引用され始めています。太陽光・蓄電分野では、2026年度の環境省ストレージパリティ補助金で実質必須化され、2027年4月に高圧、2027年10月に低圧50kW未満の系統連系要件化が予定されています。これは太陽光・蓄電分野の話であり、他の分野に同じ日付が適用されるわけではありません。買う側としては「義務かどうか」ではなく、「自社の機器カテゴリで、いつ要件として引用され始めるか」を追うほうが実務に直結します。

JC-STARの★2以上はいつから申請できますか？

★2以上については、政府調達での活用が見込まれる「ネットワークカメラ」「通信機器」の2類型を対象に、2026年1月以降に申請受付を開始する予定と公表されています。また、★3の適合要件は2026年6月12日に公開されました。運用開始当初は★1のみが先行し、★2〜★4は2026年度以降の開始が予定されていました。実際の受付状況や対象類型の追加については、IPAの公式ページで最新情報をご確認ください。

JC-STARはETSI EN 303 645の認証と同じものですか？

同じではありません。JC-STARはETSI EN 303 645やNISTIR 8425と調和しつつ、独自に定める適合基準に基づく制度です。したがって、ベンダーが「ETSI EN 303 645に準拠」と説明していても、それがJC-STARの適合ラベル取得を意味するわけではありません。調達仕様書では、両者を別の項目として書き分けてください。国際規格への準拠は主張として扱い、JC-STARの適合は公開リストで型番を照合できる事実として扱う、という区別が実務上わかりやすい整理です。

海外拠点で調達する機器にもJC-STARは使えますか？

日本の制度なので、そのまま海外拠点の法的要件になるわけではありません。ただし、2026年3月18日に日本とシンガポールがJC-STARとシンガポールCLSの相互承認に関する覚書に署名し、2026年6月1日に発効しています。JC-STARの★1のベースライン要件がCLSのLevel 1と等価と認められました。日本は、フィンランド・ドイツ・韓国・英国に次ぐ5か国目です。海外拠点の社内調達基準を作る際に、JC-STAR ★1を共通の下限として置く考え方については日星MRAとタイ拠点の調達基準をご覧ください。

まとめ｜見るべきは「付いているか」ではなく「いつ付いていないと買えなくなるか」

本記事の要点を、判断軸の形で置き直します。

• JC-STARは、セキュリティを引き上げる制度ではなく、下限を可視化する制度である。 経済産業省の監督下でIPAが運営し、2025年3月に運用を開始、2025年3月25日から★1の申請受付と適合製品リストの公開が始まっている。
• ★の数は、要件の厳しさと同時に「誰が評価したか」を表している。 ★1・★2は自己適合宣言、★3・★4は第三者評価機関の評価報告書に基づくIPA認証。この線引きは制度の欠陥ではなく、カバレッジと深さの役割分担である。
• ★1の5要件のうち、調達に最も長く効くのは「サポート期間内のセキュリティアップデート提供」。 確認すべきは有無ではなく終了日である。
• 要件化の日付が明確に並んでいるのは、いまのところ太陽光・蓄電分野。 制度開始 → 補助金要件 → 系統連系要件、という順序で効き始めている。他分野に一般化してはならないが、この順序自体は監視の指標になる。
• 制度は任意取得であり、義務化されたわけではない。 自治体調達に関する話は「予想」であって決定事項ではない。それでも仕様書に一文を入れるコストは小さく、外れたときの損失も小さい。
• 買う側の作業は5ステップ。 機器を4区分に仕分ける → カテゴリごとに要件化の気配を確認する → 仕様書に3項目を入れる → サポート終了日を更新計画に転記する → ラベルを見たらレベル・型番の粒度・取得日まで確認する。

ラベルが付いているかどうかは、今日の話です。いつ付いていないと買えなくなるかは、次の設備更新計画の話です。制度解説として押さえるべきなのは前者ですが、稟議と予算に効いてくるのは後者のほうです。

自社の機器のうち、どれが制度の対象で、どれが対象外なのか。この仕分けは、機器台帳とネットワーク構成図があれば1日で見通しが立つことが多く、ここまで進めば「いつまでに何を確認すべきか」の順番は自然に決まります。TOMAS TECHでは、タイに拠点を持つ日系製造業の工場ネットワークとIoT/OTシステムを日常的に扱っており、機器の棚卸しの段階からご相談を承っています。どこから手を付けるか迷われている場合は、お問い合わせからお気軽にお声がけください。