JC-STAR取得メーカー2026｜バッファロー・オムロン等の対応状況

工場やオフィスの設備を更新するとき、スペック表と価格だけで決められる時代は終わりつつある。2025年3月に運用が始まったJC-STAR（IoT製品セキュリティ適合評価・ラベリング制度）は、IoT機器がどこまでセキュリティ要件を満たしているかをラベルで可視化する仕組みで、2026年に入って対応製品が目に見えて増えてきた。制度の解説はすでに各所にあるが、調達の現場が本当に知りたいのは「結局どこがもう取っているのか」である。本記事ではJC-STAR 取得メーカーの公開情報を分野別に整理し、自社設備の適合状況をどう確認すればよいかまでをまとめる。

なぜ「制度の説明」ではなく「取得メーカー一覧」が必要なのか

制度解説を読んで理解できるのは、「これから何が求められるようになるか」までである。ところが実務でぶつかるのは、もっと手前の問いだ。

来期の設備更新でネットワーク機器を入れ替える。太陽光の監視システムをリプレースする。工場の入退室管理を電気錠に切り替える。そのときに、見積書に並んでいる型番がJC-STARのラベルを取っているのか、取っていないのか。取っていないとしたら、それは「メーカーが対応していない」のか「そもそも制度の対象外の製品」なのか。この区別がつかないまま稟議に上げると、後から「なぜ確認しなかったのか」と問われることになる。

しかも設備は一度入れれば5年から10年は使い続ける。2026年に選定した機器は、要件化が進んだ数年後にもまだ現役で動いている。つまり今の調達判断が、そのまま将来の是正コストを決める。だからこそ「制度を理解する」段階から一歩進んで、「実際に誰がどこまで取っているか」という市場の現在地を押さえておく価値がある。

制度そのものの成り立ちや、ラベルの有無より要件化のスケジュールのほうが効いてくるという論点については、JC-STARとは2026｜効いてくるのはラベルでなく要件化の日付で詳しく整理している。本記事はその続きとして、供給側の実態に焦点を当てる。

JC-STAR制度の最小限のおさらい

JC-STARは、IPA（情報処理推進機構）と経済産業省が運用するIoT製品セキュリティ適合評価・ラベリング制度である。IoT機器が満たすべきセキュリティ要件をレベル分けし、要件を満たした製品にラベルの表示を認める。★1の申請受付は2025年3月25日に始まり、そこから制度が動き出した。

レベルは★1から★4までの4段階で、決定的に違うのは「誰が適合性を確認するか」である。

★1と★2は、メーカー自身が要件への適合を確認してIPAに宣言する形式をとる。★3と★4になると第三者評価機関の評価が必要になり、当然ながら取得の負担も期間も跳ね上がる。

この設計を踏まえると、市場の動きは予想がつく。まず★1が広く普及し、その上のレベルは用途を限って後から積み上がっていく。実際、2026年時点で公開情報として確認できるメーカーの取得事例は、本記事で扱う範囲においてはいずれも★1である。

一次情報はIPAの公式リストにある

もうひとつ押さえておきたいのが、IPAが「適合ラベル取得製品リスト」を公開している点だ。登録番号、ラベルを取得した事業者名、製品名、レベルが一覧できるExcelファイルとして提供されており、随時更新されている（2026年8月3日時点の更新が確認できる）。

調達実務では、これが最終的な確認先になる。メーカーのプレスリリースやカタログの記載は情報として有用だが、更新が止まっていたり、シリーズ名だけで型番が特定できなかったりする。「この型番が本当に登録されているか」を裏取りするなら、登録番号でリストを引くのが確実である。

本記事に掲載する情報も、あくまで執筆時点で公開されている情報の整理であり、最新の状況はIPAのリストで確認してほしい。

ネットワーク機器分野の動向とバッファローの実績

JC-STARの取得が最も進んでいるのが、Wi-Fiルーター、アクセスポイント、スイッチ、NASといったネットワーク機器の分野である。これは自然な流れで、この分野の製品はまさに制度が想定している典型的なIoT機器そのものだからだ。インターネットに直接つながり、管理画面を持ち、ファームウェアを更新しながら長期間使われる。攻撃者から見れば入口として理想的で、だからこそ要件化の議論も早くから進んできた。

44シリーズ150機種という規模感

その中で数として突出しているのがバッファローである。2026年1月時点で、44シリーズ150機種が★1のラベルを取得している。

この数字の意味を過小評価しないほうがいい。150機種というのは「一部のフラッグシップモデルだけ対応しました」という水準ではなく、製品ラインをまたいで面で取りにいっている規模である。調達側から見れば、少なくともこのメーカーの製品を選ぶ限り、ラベル付きの選択肢が現実的に存在するということを意味する。

具体的な製品では、Wi-Fi 7に対応した「WSR6500BE6Pシリーズ」が2026年2月12日にJC-STAR適合ラベルを取得している。上位規格の新製品が発売のタイミングでラベルを取っているのは、ラベル取得が製品企画の工程に組み込まれつつあることの表れといえる。

エントリーモデルまで降りてきたことの意味

もうひとつ注目すべきなのが、Wi-Fi 6のエントリーモデル「WSR-3000AX4L」が★1適合として2026年6月16日に出荷を開始している点だ。

ハイエンド機だけがラベルを持っている状態では、調達基準に「JC-STAR取得品であること」と書いた瞬間に予算が跳ね上がる。ところがエントリーモデルにまでラベルが降りてくると話が変わる。標準機種の選定基準にラベルの有無を入れても、コストへの影響を抑えられるようになる。

工場やオフィスで「拠点間で機種をそろえたい」「支店には低価格帯を入れたい」といった要望があるとき、この価格帯にラベル付きの選択肢があるかどうかは実務上かなり大きい。

「メーカーが取得している」と「その型番が取得している」は違う

ただし、ここで最も注意すべき落とし穴がある。150機種が取得しているということは、裏を返せば「取得していない機種も同じメーカーの中に存在する」ということだ。

調達の場面でよくある失敗が、「このメーカーはJC-STARに対応しているから大丈夫」という一段粗い理解のまま発注してしまうケースである。ラベルは製品単位で付与されるものであって、企業に付与されるものではない。同じブランドの、同じ用途の、型番違いの製品でラベルの有無が分かれることは普通に起こる。

だから確認の粒度は必ず型番まで落とす。見積書の型番をそのままIPAのリストで検索する。これだけで防げる事故は多い。

なお、本稿執筆時点で公開情報として確認できるネットワーク機器の取得事例は、コンシューマーおよびSOHO向けの製品が中心である。産業用スイッチや工場向けアクセスポイントについては、同じ感覚で「もう取れているはず」と考えず、個別に確認する必要がある。

太陽光・蓄電池の監視機器分野の動向

ネットワーク機器の次に事例が集まっているのが、太陽光発電と蓄電システムまわりの監視機器である。この分野は、遠隔監視のためにインターネット接続が前提になっているうえ、社会インフラに近い性格を持つため、セキュリティへの関心が早くから高い。

公開情報から確認できる主な取得状況を整理すると次のようになる。

登録番号まで公開されているものについては、ラプラス・システムのSolar Link ZEROが2025119900001050、カナディアンソーラーのアイキューストレージ エネルギーマネジメントシステムが2026020600001537、フィールドロジックのDataCube4が2026040600002182である。IPAのリストを引くときはこの番号が最も確実な手がかりになる。

表から読み取れる共通点

この4件を並べると、ひとつの構造がはっきり見えてくる。

ラベルを取得しているのは、いずれも「通信を担う箱」である。オムロン ソーシアルソリューションズはゲートウェイ、ラプラス・システムは遠隔監視・制御端末、カナディアンソーラーはエネルギーマネジメントシステム、フィールドロジックは監視機器。太陽光パネルでもなければ、蓄電池セルでもない。

つまりこの分野でJC-STARの対象になっているのは、発電・蓄電という機能そのものではなく、それを外部ネットワークにつなぐ役割を担うコンポーネントである。この視点は、後述する安川電機の見解を理解するうえでも、太陽光以外の設備に応用するうえでも鍵になる。

時系列で見ると2025年末から2026年前半に集中している

もうひとつ、日付の並びに注目したい。2025年11月、2026年1月、2026年2月、2026年4月と、比較的短い期間に取得が続いている。制度が動き出してから1年から1年半で、この分野のプレイヤーが順次対応を進めた形だ。

これは調達側にとって重要な示唆を含む。今この瞬間に「取得していない」ように見えるメーカーでも、半年後には状況が変わっている可能性が十分にある。逆にいえば、過去に調べた情報をそのまま使い回すと実態とずれる。設備選定のたびに一次情報を引き直す前提で運用したほうがいい。

スマートロック分野と美和ロックの位置づけ

分野の広がりを示す事例として押さえておきたいのが美和ロックである。住宅玄関扉用のスマート電気錠「iEL Zero smartシリーズ」で、ロックメーカーとしては初めてJC-STARの★1適合ラベルを取得した。

錠前という、本来は完全に機械的な製品を作ってきたメーカーが、IoTセキュリティのラベル制度に踏み込んだという事実そのものが示唆的である。物理的なセキュリティ製品がネットワークにつながった瞬間、それはIoT機器として評価される対象になる。当たり前の話に聞こえるが、調達の現場ではこの切り替えが意外と起こらない。

工場に置き換えて考えるとわかりやすい。入退室管理システム、金型倉庫や薬品庫の電子錠、サーバールームの扉、設備の安全カバーのインターロック。これらを「防犯設備」の予算枠で、施設管理部門が選定しているケースは珍しくない。ところが今の製品はスマートフォンから解錠でき、クラウドで入退室履歴を管理し、ファームウェアをネットワーク越しに更新する。情報システム部門やOTセキュリティの担当者が仕様に一切関与しないまま、ネットワークにつながる機器が工場内に増えていく構図になりやすい。

美和ロックの事例は、「これはIT機器ではないから関係ない」という切り分けが、もう成り立たなくなっていることを示している。

「PCS単体は制度の対象外」という見落としやすい論点

ここまでは「取得している」側の話だった。ここからは、それと同じくらい重要な「そもそも対象ではない」という話に移る。

安川電機が2026年4月に示した整理

安川電機は2026年4月13日に公式な見解を発表し、太陽光発電用パワーコンディショナ「Enewell-SOL P3A／P3H」について、IP通信機能を持たないためPCS単体ではJC-STAR制度の対象外であることを明確にした。これは経済産業省とも確認したうえでの整理とされている。

この発表の背景には、おそらく現場からの問い合わせがあったはずだ。「御社のPCSはJC-STARを取っていますか」「取っていないなら選定できません」という照会が繰り返されれば、メーカーとしては公式に整理を示す必要が出てくる。

そして重要なのは、この整理が「対応が遅れている」という話ではまったくないという点である。制度は、ネットワークにつながる機器のセキュリティを評価する枠組みだ。IP通信機能を持たない機器は、そもそも評価すべき対象を持っていない。取得していないのではなく、取得しようがない。

では、その設備はどう扱えばいいのか

もちろん、PCS単体が対象外だからといって、太陽光システム全体がセキュリティと無関係になるわけではない。実際の設備では、PCSは何らかの監視機器と組み合わせて使われる。

安川電機の整理でも、Solar Link ZERO、DataCube4、エナジー・ソリューションズのソーラーモニターといった、IP通信機能を持つ監視機器やゲートウェイ、EMSと組み合わせることで、JC-STARに適合した構成にできるという考え方が示されている。

つまり評価の単位は「システム」ではなく「通信機能を持つコンポーネント」である。発電設備そのものではなく、それを外の世界につなぐ部品にラベルを求める。先ほど太陽光の表から読み取った構造と、まったく同じ話がここでも出てくる。

これはPCSに限った話ではない

この考え方は、太陽光設備を導入していない工場にとっても他人事ではない。同じ構造は、製造現場のあらゆる設備に当てはまる。

• 工作機械そのものは閉じた制御系でも、後付けした稼働監視用のIoTゲートウェイはネットワークにつながっている
• 計測器がアナログ出力しか持たなくても、それを受けるデータロガーや変換器がEthernetを持っている
• 空調機や受変電設備の本体ではなく、遠隔監視のために追加したコントローラが通信を担っている
• 検査装置の本体ではなく、画像データをサーバーに送るための通信ユニットが評価対象になる

設備を一枚岩の「システム」として見ている限り、この区別はつかない。ネットワーク構成図を広げて、IPアドレスを持っている箱を全部数える。その箱の一つひとつについて、型番とメーカーとラベルの有無を確認する。地味だが、これが唯一確実な方法である。

そして厄介なことに、この「通信を担う箱」は、後付けや部分更新で増えることが多い。設備導入時の仕様書には載っていないのに、いつのまにか現場に増えている。棚卸しの起点を設備台帳ではなくネットワーク側に置くべき理由がここにある。

未取得・非公開のメーカーをどう扱うか

分野別に整理してきたが、当然「一覧に名前が出てこないメーカー」も多数存在する。ここでの書き方と扱い方には注意が必要だ。

たとえばHUAWEIやSUNGROWといった一部の海外大手については、2026年時点で自社ブランドとしてのJC-STAR取得が公開情報上は確認できていない、という状況にある。

この事実を、次のように受け取るのは誤りである。

• ラベルがない製品はセキュリティが劣っている
• 取得していないメーカーの製品は使ってはいけない
• 取得していないのは対応する気がないからだ

いずれも、公開情報から導ける結論ではない。「確認できていない」と「存在しない」はまったく別のことだ。申請中である可能性もあれば、対象製品の定義上そもそも該当しない可能性もあり、日本市場向けの型番と国際型番で扱いが異なる可能性もある。

また、PSEやJETといった他の制度への適合とJC-STARは別軸の話である。「電気用品安全法の認証は取っているのだからセキュリティも問題ないはずだ」という推論は成り立たないし、逆に「JC-STARがないから他の認証も怪しい」ということにもならない。評価している対象が違う制度を、ひとつの安全性の物差しに合成してしまうのは避けたい。

実務としては、次のように処理するのが健全だ。まずIPAのリストで確認する。見つからなければ「公開情報上は確認できず」と稟議書に事実として記載する。そのうえで、必要ならメーカーまたは代理店に文書で照会し、回答を記録として残す。回答が「対象外」であれば、その理由（IP通信機能を持たない、など）まで含めて残しておく。

この記録が残っていれば、数年後に監査や本社からの照会が来たときに、「当時どういう判断でこれを選んだのか」を説明できる。ラベルの有無そのものより、判断の痕跡が残っていることのほうが後で効いてくる。

調達担当者がこの一覧から読み取るべきこと

ここまでの整理を、調達実務の視点で言い換えると次の5点になる。

• 確認の単位はメーカーではなく型番である。同一ブランド内でラベルの有無が分かれる
• 確認の単位はシステムではなくコンポーネントである。IPアドレスを持つ箱ごとに見る
• ラベルがないことには複数の理由がある。未取得なのか、対象外なのかを区別する
• 一次情報はIPAの公開リストであり、カタログやプレスリリースは補助情報として扱う
• 状況は数か月単位で動く。過去の調査結果を再利用せず、選定のたびに引き直す

このうち最も実務的な影響が大きいのは2番目である。「この設備はJC-STAR対応ですか」という問いの立て方そのものが粗すぎて、正しい答えが返ってこない。「この構成の中でIP通信機能を持つのはどれで、それぞれのラベル取得状況はどうなっていますか」と聞き方を変えると、途端に議論がかみ合うようになる。

そのうえで、ラベルの有無を選定基準のどこに、どの重みで置くかという設計が必要になる。必須要件にするのか、加点項目にするのか、対象外機器をどう扱うのか。この設計論についてはJC-STAR 製造業の機器調達｜2026年に決めるべき選定基準で具体的に整理しているので、実際に調達基準を作り直す段階ではそちらを参照してほしい。

タイ拠点の工場が海外製設備を扱う場合の留意点

ここまでは日本国内の制度としての話をしてきたが、TOMAS TECHの読者に多い、タイをはじめとするASEAN拠点の日系製造業の立場で考えると、事情はもう少し複雑になる。

前提として、JC-STARは日本の制度であり、タイの工場に対して直接の法的効力を持つものではない。タイで設備を調達する際に、JC-STARのラベルがないことを理由に通関や設置が止まることはない。

にもかかわらず、この制度は現地拠点にも影響してくる。理由は法規制ではなく、グループ内の調達基準として降りてくるからだ。日本本社がセキュリティ調達方針を改定し、「IoT機器はJC-STAR相当の要件を満たすこと」といった文言をグローバル共通のガイドラインに入れる。そうすると、タイの工場が現地で買う機器にも同じ基準が要求される。

ここで現地特有の難しさが出てくる。

• 現地で流通している型番が日本市場向けの型番と異なり、IPAのリストで検索しても出てこないことがある
• 現地代理店がJC-STARという制度を知らず、照会しても回答が得られないことがある
• 中国系・欧州系メーカーの製品比率が日本国内より高く、そもそもリストに載っていない製品を選ばざるを得ない場面がある
• 設備の後付け改造が現地業者の手で行われ、通信機能を持つ箱が台帳外で増えていることがある

これらに正面から対処するには、「ラベルの有無」だけを追いかけるのではなく、その裏側にある要件、つまり初期パスワードの扱い、ファームウェア更新の提供体制、不要な通信ポートの閉塞といった中身を確認基準に落とし込むほうが現実的である。ラベルは要件を満たしていることの証明手段であって、目的ではない。

そしてもうひとつ。現地工場の場合、機器単体の適合以前に、ネットワークそのものの設計が課題になっているケースが非常に多い。事務所用のWi-Fiと製造ラインが同じセグメントに同居している、認証がパスフレーズ1本だけ、増設のたびに機器が場当たりで追加されている、といった状態では、機器のラベルを1台ずつ整えても効果は限定的である。

工場ネットワークをどう設計し、どこに費用がかかるのかという全体像については、工場の無線LAN構築｜費用5層と産業用ネットワーク設計2026で層ごとに整理している。機器選定の話とネットワーク設計の話は本来セットで検討すべきもので、片方だけを進めると必ずどこかで手戻りが出る。

よくある質問

JC-STARはどのメーカーが対応済みですか？

公開情報から確認できる範囲では、ネットワーク機器のバッファロー、太陽光・蓄電関連ではオムロン ソーシアルソリューションズ、ラプラス・システム、カナディアンソーラー、フィールドロジック、スマートロックでは美和ロックなどが★1のラベルを取得しています。ただしメーカー単位ではなく製品単位での取得となるため、実際の確認はIPAが公開している適合ラベル取得製品リストで型番ごとに行ってください。

パワーコンディショナ単体でもJC-STARは必要ですか？

IP通信機能を持たないPCSは、制度の対象外という整理になります。安川電機は2026年4月13日に、太陽光発電用パワーコンディショナ「Enewell-SOL P3A／P3H」がIP通信機能を持たないためPCS単体では制度の対象外であるという見解を、経済産業省とも確認したうえで公表しています。実務上は、そのPCSと組み合わせる監視機器やゲートウェイ、EMSといったIP通信機能を持つ側の機器について適合状況を確認することになります。

JC-STAR未対応の設備を使っている場合はどうすればいいですか？

まず「未対応」の中身を切り分けてください。IP通信機能を持たず制度の対象外なのか、対象ではあるがラベルを取得していないのかで、対応がまったく変わります。対象外であればその根拠を記録に残せば足ります。対象でありラベルがない場合は、次の更新時期にラベル取得品へ切り替える計画を立てつつ、当面はネットワーク分離、初期パスワードの変更、不要ポートの閉塞、ファームウェア更新の運用といった運用面の対策で補うのが現実的です。既存設備を一斉に入れ替える必要はありません。

★1のラベルがあれば十分と考えてよいですか？

★1は自己適合宣言によるレベルで、制度が求める基本的な要件を満たしていることを示します。用途によってはより上位のレベルが求められる場面も想定されますが、2026年時点で公開情報として広く確認できるのは★1の事例です。当面は「★1のラベルがあるかどうか」が現実的な選定の分かれ目になりますが、ラベルの有無だけで判断を終えず、更新提供の体制など運用面まで含めて確認することをおすすめします。

海外メーカーの製品はJC-STARを取得できないのですか？

制度上、海外メーカーが排除されているわけではありません。ただしHUAWEIやSUNGROWといった一部の海外大手については、2026年時点で自社ブランドでの取得が公開情報上は確認できていない状況です。これは「取得できない」ことや「セキュリティ上の問題がある」ことを意味しません。調達実務では、確認できなかったという事実をそのまま記録し、必要に応じてメーカーや代理店へ照会するという扱いが適切です。

IPAのリストにない製品は、メーカーに何を聞けばいいですか？

まず「その型番がJC-STARの対象となる製品か」を確認します。対象外という回答であれば、その理由（IP通信機能を持たない、他機器と組み合わせて使用する前提である、など）まで確認して記録します。対象であるという回答なら、申請予定の有無と時期、そして現時点でどのセキュリティ要件を満たしているかを文書で照会します。回答が得られない場合は、代替機種の検討材料として扱うことになります。

まとめ

JC-STARの取得状況を分野別に見ていくと、いくつかの傾向がはっきり浮かび上がる。

ネットワーク機器の分野ではバッファローが2026年1月時点で44シリーズ150機種と数で先行し、Wi-Fi 7の新製品からWi-Fi 6のエントリーモデルまでラベル付きの選択肢が広がっている。太陽光・蓄電の監視機器では、オムロン ソーシアルソリューションズ、ラプラス・システム、カナディアンソーラー、フィールドロジックの取得が2025年末から2026年前半に集中した。美和ロックの事例は、機械製品として認識されてきた領域までIoT機器としての評価が及ぶことを示している。

そして安川電機が示した「IP通信機能を持たないPCS単体は対象外」という整理は、この制度をどの粒度で見るべきかを教えてくれる。評価されるのはシステムではなく、通信を担うコンポーネントである。この視点を持てば、太陽光に限らず、工作機械でも計測器でも空調でも、同じ手順で自社設備を棚卸しできる。

調達担当者が持ち帰るべき結論はシンプルだ。型番単位で、通信機能を持つ箱ごとに、IPAの公開リストで確認する。見つからなければ「確認できず」と記録して照会する。そして情報は数か月で変わるので、選定のたびに引き直す。この3つを運用に組み込めば、制度がどこまで要件化されても慌てずに済む。

導入検討・現状確認のご相談

TOMAS TECHは、タイをはじめとするASEAN拠点の日系製造業に対して、工場ネットワークの設計から生産管理・エネルギー管理システムの導入まで、IT/OTの両面から支援しています。「自社の設備でどれが通信機能を持っていて、どこから確認すればいいのかわからない」「本社から降りてきたセキュリティ基準を現地の設備に当てはめられない」といった、まだ具体的な計画になっていない段階のご相談も歓迎しています。現状の構成を一緒に整理するところから始められますので、お気軽にお問い合わせください。

参考情報

• IoT製品のセキュリティ適合性評価及びラベリング制度（JC-STAR）の運用開始について（経済産業省） https://www.meti.go.jp/press/2024/03/20250325007/20250325007.html
• 適合ラベル取得製品リスト（IPA） https://www.ipa.go.jp/security/jc-star/list/jc-star-product-list/index.html
• Wi-Fi 7対応無線LANルーター WSR6500BE6PシリーズのJC-STAR適合ラベル取得について（バッファロー） https://www.buffalo.jp/press/detail/20260212-01.html
• Wi-Fi 6無線LANルーター WSR-3000AX4L 出荷開始のお知らせ（バッファロー） https://www.buffalo.jp/press/detail/20260616-01.html
• ネットワークセキュリティに関する取り組み JC-STAR（オムロン ソーシアルソリューションズ） https://socialsolution.omron.com/jp/ja/products_service/energy/support/net-security/jc-star/
• Solar Link ZERO JC-STAR適合ラベル取得について（ラプラス・システム） https://www.lapsys.co.jp/products/zero/lp/jc-star/index.html
• JC-STAR取得済みメーカーはどこか（Solar Link NET） https://www.solarlink-net.co.jp/blog/jc-star%E5%8F%96%E5%BE%97%E6%B8%88%E3%81%BF%E3%83%A1%E3%83%BC%E3%82%AB%E3%83%BC%E3%81%AF%E3%81%A9%E3%81%93%EF%BC%9F%E3%82%AA%E3%83%A0%E3%83%AD%E3%83%B3%E3%83%BBhuawei%E3%83%BB%E5%AE%89%E5%B7%9D/
• スマート電気錠 iEL Zero smartシリーズ JC-STAR適合ラベル取得（美和ロック） https://www.miwa-lock.co.jp/tec/products/jc-star/
• 海外製PCSとJC-STARに関する整理（三沢満） https://www.mitsuru-misawa.com/2026/08/06/jc-star-foreign-pcs-strategy-2027/
• JC-STAR IoTセキュリティ制度の動向（Splight） https://splight.co.jp/wp/oshirase/jc-star-iot-security-2026/