JC-STAR タイ拠点の調達基準｜日星MRAの外側で何を基準に置くか

日本のJC-STARとシンガポールのCLSが相互承認され、2026年6月1日に発効しました。この一報を読んで「ではタイ拠点の機器調達はどうなるのか」と考えた方に向けて、先に結論を書きます。日星MRAは、タイ拠点の調達基準づくりに直接は使えません。タイはこの相互承認の当事国ではなく、そもそもタイ側にJC-STARやCLSに相当するIoT機器のセキュリティ認証制度が存在しないためです。

では、タイ拠点は何を基準に機器を選べばよいのか。本記事は、本社標準と現地最適の境界をどこに引くか、現地サプライヤーに日本発の要件をどう伝えるか、調達基準の最終決定権を拠点と本社のどちらが持つか、そしてタイのサイバーセキュリティ法B.E.2562との関係はどう整理すべきかという4点を、そのまま調達基準の文書に落とせる形で扱います。制度解説ではなく、明日の見積依頼書に書ける文言まで持っていくことを目標にします。

JC-STARと日星MRAを先に3分で整理する

本題に入る前に、前提となる制度の話を最小限だけ確認します。制度そのものの詳しい解説は別記事に譲りますので、ここは調達基準を考えるうえで必要な範囲にとどめます。

JC-STARはIoT製品のセキュリティ適合を段階で示す制度

JC-STARは、IoT製品が満たしているセキュリティ要件のレベルを、★の段階で外部から見えるようにする日本の制度です。運営はIPAが担っています。買う側にとっての価値は、製品ごとにセキュリティ仕様書を読み比べなくても、ラベルの段階を見れば最低限どこまで満たしているかが分かる点にあります。

制度の全体像、★の段階の違い、そして「ラベルが貼られた日」ではなく「要件化された日」が実務に効いてくるという論点については、JC-STARとは2026｜効いてくるのはラベルでなく要件化の日付で詳しく扱っています。本記事はその続きとして、タイ拠点側の話に集中します。

2026年6月1日に発効した日星MRAで何が変わったか

2026年3月18日、経済産業省の井野副大臣とシンガポール・サイバーセキュリティ庁、すなわちCSAが、東京で「IoT製品のためのサイバーセキュリティ制度の相互承認に関する協力覚書」に署名しました。この相互承認は2026年6月1日に発効しています。

承認された内容は、JC-STARの★1の基準要件の一部と、シンガポールのCybersecurity Labelling Scheme、略してCLSのLevel 1の基準要件の一部が同等である、というものです。全部が同等になったわけではなく、また★1とLevel 1という入口の段階についての話である点は押さえておいてください。

実務上の効果は申請書類の簡素化と手数料の減額

作る側から見た効果は具体的です。CLS適合製品がJC-STARの★1を申請する場合、提出書類は「CLS適合製品向け申請書」「CLS適合製品向けチェックリスト」「CLS適合ラベル」の3点になります。手数料が減額されるのはこの★1の申請で、通常198,000円(税込)のところ140,000円(税込)になります。差額は58,000円です。申請先はIPAのセキュリティセンター技術評価部、JC-STAR申請担当です。なお★3以上を申請する場合は、これに「CLS適合宣言書」が加わりますが、この宣言書の提出先はJC-STARの評価機関であり、IPAに出す★1の申請と同じ系統ではありません。減額が★3以上にも及ぶものとして読まないでください。

つまりMRAの実体は、製品を作って両国で売りたいメーカーの重複負担を減らす仕組みです。買う側の調達基準に直接効くというより、選べる製品の側が増えやすくなる、という間接的な効き方をします。

相互承認は二国間ごとの枠組みで、タイは対象外

ここが本記事の出発点です。JC-STARの相互承認は、シンガポールが最初ではありません。経済産業省は英国のPSTI Actとの相互承認について2025年11月5日にロンドンで覚書に署名しており、この相互承認は2026年1月1日に開始しています。日星MRAは、それに次ぐ2件目の相互承認にあたります。米国のU.S. Cyber Trust MarkおよびEUのCyber Resilience Actについては、IPAが公表している情報では情報共有の段階にとどまり、相互承認の合意にも発効にも至っていません。そしてタイとの交渉に触れた公開情報は、確認できていません。

重要なのは、これらがいずれも二国間ごとの取り決めであるという点です。相互承認が1件から2件に増えても、その効力はその2か国のあいだにしか及びません。タイはどの枠組みにも入っていません。

したがって現時点で言えるのは、日星MRAはあくまで日本とシンガポールの二国間の枠組みであり、タイはその外側にいる、ということだけです。将来タイと相互承認が結ばれる可能性についても、根拠となる情報が無いため、社内資料に「いずれタイでも」と書くのは避けてください。

タイにはJC-STARやCLSに相当する制度が無い

ここからがタイ拠点固有の論点です。まず事実関係を確定させます。

タイはこのMRAの当事国ではない

日星MRAは日本とシンガポールのあいだの取り決めです。タイ拠点が現地で機器を買うとき、この相互承認が適用される場面はありません。CLS適合製品をタイで買っても、JC-STARの手数料が減るわけでも、タイ側で何かの手続きが省けるわけでもありません。減額されるのは、日本でJC-STARを申請するメーカーの手数料です。

もう一段踏み込むと、タイには日本のJC-STARやシンガポールのCLSに相当する、IoT機器のサイバーセキュリティ認証・ラベリング制度そのものが存在しません。したがって「タイの制度で読み替える」という選択肢も取れません。

タイでIoT機器に関係する既存制度はNBTCの型式認証

「タイにも認証はあるはずだ」と考える方のために整理しておきます。タイでIoT機器に関係する既存の制度は、NBTC、すなわち国家放送通信委員会による無線機器の型式認証、Type Approvalです。

この制度が見ているのは、無線機器の電波に関する要件が中心です。サイバーセキュリティ要件は対象に含まれていません。したがって現地ベンダーから「この製品はタイの認証を取得済みです」と言われた場合、その認証はほぼNBTCの型式認証を指しており、セキュリティの担保にはなりません。タイ国内で合法的に電波を出せることと、その機器がセキュアであることは、まったく別の話です。

3か国の状況を並べると次のようになります。

この表を社内で共有するときは、タイの列が空欄であることを弱点として見せないでください。制度が無いという事実は、これから述べるとおり、自社で基準を書く自由度があるという意味でもあります。

制度が無いことが調達の現場で意味する3つのこと

抽象論にしないために、現場で何が起きるかを具体的に書きます。

第一に、現地ベンダーの提案書に、セキュリティ適合の第三者証明が付いてきません。日本の本社が「ラベルのある製品を選べ」という基準を出しても、タイの商流で候補に挙がる機器の多くはその対象外です。

第二に、「タイの認証を取得済み」という説明を、セキュリティの証明だと誤読するリスクがあります。前述のとおりそれはNBTCの型式認証である可能性が高く、審査範囲が違います。

第三に、ラベルの有無で候補を足切りできないため、要件そのものを自社で書き下ろす必要があります。逆に言えば、ここを一度作れば、タイ拠点の調達基準は制度の有無に依存しなくなります。本記事の残りは、その書き下ろし方の話です。

本社標準をそのまま適用するか、タイで緩めるか

タイに拠り所となる制度が無い以上、基準の出どころは本社標準しかありません。ここで必ず出てくるのが、本社の基準をタイでもそのまま使うのか、という論点です。

取りうる選択肢は3つしかない

整理すると、選択肢は次の3つに収束します。

1つ目は、本社標準をそのまま適用する方式です。基準がひとつで済み、監査での説明が最も簡単です。一方で、タイの商流で調達できる機器が本社標準を満たさない場合、調達そのものが止まります。

2つ目は、タイ拠点向けに緩和した基準を別に持つ方式です。現地で買えるものが増えますが、基準が2本になるため、どちらが適用されているのかが時間とともに分からなくなります。緩和した理由が記録に残らないまま次の更新期を迎えると、なぜ緩めたのかを誰も説明できなくなります。

3つ目は、機器カテゴリごとに分ける方式です。全機器を一律に扱わず、その機器がネットワークのどこにいるかで基準の強さを変えます。運用の手間は増えますが、実務としては、これが最も破綻しにくい方式だと考えています。

判断軸1｜その機器はネットワークのどの層にいるか

最初の軸は、機器の設置位置です。外部ネットワークやクラウドに直接つながる機器と、工場内の制御ネットワークだけにつながる機器と、そもそもネットワークにつながない機器では、リスクの大きさが違います。同じ基準を当てる必要はありません。

判断軸2｜現地調達以外の選択肢があるか

2つ目の軸は、代替可能性です。日本から輸出できる機器なのか、タイ国内でしか買えない機器なのかで、基準を守れる余地が変わります。保守を現地ベンダーに依存する機器は、機器単体の仕様だけでなく、保守時のアクセス経路まで含めて見る必要があります。

判断軸3｜更新周期と契約の形

3つ目の軸は時間です。5年以上使う設備付帯の機器と、数年で入れ替える情報系の機器では、いま緩めたことの影響が続く長さが違います。リース契約や保守契約に紐づく機器は、契約更新のタイミングでしか基準を当て直せない点も考慮してください。

3つの軸を掛け合わせると、次のような整理になります。

この表の使い方で最も重要なのは、緩和した場合に「緩めた」と書き残すことです。例外を認めること自体は問題ではありません。問題になるのは、例外が記録されずに標準として定着し、次の担当者が最初からそれを標準だと思い込むことです。例外承認には必ず期限と再評価日を入れてください。

機器カテゴリを決める前段の考え方、つまり何を選定基準に置くかという議論はJC-STAR 製造業の機器調達｜2026年に決めるべき選定基準で扱っています。本記事はその選定基準をタイ拠点で運用する段階の話ですので、基準そのものをまだ決めていない場合は先にそちらをご覧ください。

現地サプライヤーにJC-STARやCLSをどう伝えるか

基準を作っても、伝わらなければ調達は動きません。ここが実務で最もつまずく箇所です。

制度名から入らない

前提として、タイの現地サプライヤーがJC-STARやCLSを知っている可能性は高くありません。制度が適用される市場が違うためで、これは相手の勉強不足ではありません。したがって見積依頼書に「JC-STAR★1相当であること」と書いても、多くの場合は無視されるか、意味を取り違えた回答が返ってきます。

伝えるべきは制度名ではなく、その制度が要求している中身です。相手が知らない固有名詞を使わずに、確認したい事項を平易な文で並べるほうが、はるかに早く正確な回答が得られます。

伝え方の3ステップ

実務では次の順序が機能します。

ステップ1は、制度名を出さずに要件を箇条書きにすることです。初期パスワードが製品固有か、あるいは初回起動時に変更を強制するか。ソフトウェアの更新提供の予定と提供方法。使用していない通信ポートやサービスが既定で無効になっているか。脆弱性が見つかったときの連絡先と通知の手段。サポート終了の予定時期。これらは制度を知らなくても答えられる質問です。

ステップ2は、証明の形を1つに限定しないことです。第三者認証があるならそれを、無ければメーカーの適合宣言書を、それも無ければ設定手順書とスクリーンショットで代替する、というように3段階を許容します。タイの商流では第三者認証が付いてくる製品のほうが少数派ですので、証明の形を1つに絞ると候補が消えます。

ステップ3は、回答期限と回答様式を渡すことです。自由記述で聞くと文章が返ってきて比較できません。項目ごとに「対応済み」「未対応」「代替策あり」の3択と、代替策の記述欄を用意した表を渡してください。

「うちの製品はタイの認証を取っている」と返ってきたら

この回答は高い確率で返ってきます。そのときは、どの認証かを確認してください。NBTCの型式認証であれば、それは無線機器の電波に関する要件を中心とした認証であり、いま聞いているセキュリティ要件の回答にはなっていません。相手を否定する必要はなく、「その認証とは別に、次の項目を確認したい」と要件表に戻せば十分です。

なお、CLS適合の製品がタイの商流に流れてくる場合もあります。その場合はLevel 1の要件を満たしていると読めますが、それはあくまで製品出荷時点の話です。設置時の設定、ネットワーク分離、パスワード運用が伴わなければ意味が無い点は、ラベルの有無にかかわらず同じです。

調達基準の最終決定権は本社と拠点のどちらが持つか

要件が書けても、誰が決めるのかが曖昧だと運用は止まります。ここは制度ではなくガバナンスの話です。

パターンは3つある

実務では二層型を推奨します。理由は、調達のスピードを落とさずに、全社としての説明可能性を維持できる唯一の形だからです。本社が持つのは標準そのものと例外の再評価権であり、拠点が持つのは期限付きの一次判断権です。

例外承認のフローを先に作る

順序を間違えないでください。基準を配ってから例外フローを作るのではなく、基準と同時に例外フローを配ります。基準だけが先に届くと、現地は満たせない案件を止めるか、黙って基準を無視するかの二択になります。どちらも起きてほしくない状態です。

例外申請の書式には、対象機器、満たせない項目、満たせない理由、代替策、有効期限、再評価日の6つを入れてください。この6項目が揃っていれば、後任者が引き継げます。

誰が例外の一覧を持つかを決める

意外に抜けるのがこれです。例外は承認された時点で一覧に載り、期限が来たら再評価される必要があります。その一覧を保守するのは本社なのか拠点なのかを、最初に一人に決めてください。担当が決まっていない一覧は、半年ほどで更新が止まりがちです。

タイのサイバーセキュリティ法B.E.2562との関係

最後に、法令との関係を整理します。ここを誤解したまま社内を説明すると、必要のない対応に工数を使うか、逆に安心しすぎることになります。

規制対象は8分野の重要情報インフラ運用者

タイのサイバーセキュリティ法B.E.2562、すなわち2019年の法律が規制対象としているのは、重要情報インフラ、CIIの運用者です。対象となる分野は、国家安全保障、公共サービス、金融サービス、ICTおよび電気通信、運輸および物流、エネルギーおよび公益事業、公衆衛生、そしてNCSC、国家サイバーセキュリティ委員会が指定するその他の分野の8つです。

対象組織に課される義務も、組織側の義務です。少なくとも年1回のサイバーセキュリティのリスク評価の実施と、その結果概要報告書を評価完了後30日以内に事務局へ提出すること、所定のガイドラインの策定、システム設計およびインフラ運用に関する情報の提供、そしてサイバー脅威が発生した際に事務局および所管の規制機関へ報告することなどが挙げられます。

工場の生産設備やIoT機器そのものは規制対象ではない

ここが本記事で最も強調したい点です。この法律は、製品を認証する制度ではありません。工場の生産設備やIoT機器に対して、満たすべきセキュリティ要件を定めて適合を証明させる仕組みではないのです。規制されているのは対象分野の組織の運用であり、機器の仕様ではありません。

したがって、タイ拠点が本社標準を満たさない機器を買ったとしても、それ自体がこの法律の違反になるわけではありません。同時に、この法律を根拠に「タイの法律を守っているから機器のセキュリティは担保されている」と言うこともできません。

違反にはならないが、法による代替の保証も無い

まとめると、タイのサイバーセキュリティ法B.E.2562は、工場の機器調達に対して禁止も要求もしていません。これは自由度が高いという意味であると同時に、外部から与えられる最低ラインが存在しないという意味でもあります。

日本であればJC-STARのラベルが最低ラインの目安になり、シンガポールであればCLSが同じ役割を果たします。タイにはそれが無い以上、最低ラインを引くのは自社です。本記事で扱ってきた本社標準と例外フローは、その最低ラインを自前で持つための仕組みだと考えてください。

なお、自社の拠点が上記8分野のいずれかに該当する事業を行っている場合は話が別です。その場合は機器調達の議論とは切り離して、組織としての義務の要否を法務と確認してください。

タイ拠点の調達基準づくり実務チェックリスト

ここまでの内容を、着手の順に並べます。上から順に潰していけば、調達基準の初版が書けます。

• 本社に機器調達のセキュリティ標準が文書として存在するかを確認する
• その標準が海外拠点にも適用されると明記されているかを確認する
• 標準がJC-STARなどの制度名だけで書かれていないかを確認する。制度名だけの標準はタイでは使えない
• 制度名で書かれている場合は、要求されている中身を平易な要件文に展開する
• タイ拠点で購入する機器を、外部接続、制御ネットワーク接続、ネットワーク非接続の3カテゴリに分ける
• カテゴリごとに、本社標準をそのまま適用するのか、例外申請を認めるのかを決める
• 例外申請の書式を作る。対象機器、満たせない項目、理由、代替策、有効期限、再評価日の6項目を入れる
• 例外の一覧を保守する担当者を、本社か拠点かで一人決める
• 現地サプライヤー向けの要件確認表を作る。制度名を使わず、対応済み、未対応、代替策ありの3択で答えられる形にする
• 証明の受け取り方を3段階で許容する。第三者認証、メーカーの適合宣言、設定手順書による代替
• 見積依頼書のテンプレートに、要件確認表の提出を必須項目として組み込む
• 自社の事業がタイのサイバーセキュリティ法の対象8分野に該当するかを法務に確認する
• 既存の設置済み機器について、次回更新のタイミングで基準を当て直す計画を立てる

よくある質問

タイ拠点でJC-STARのラベルが付いた機器を買う意味はあるのか

意味はありますが、法的な効果ではなく、選定を楽にする効果として考えてください。タイにJC-STARを要求する制度はありませんので、ラベルの有無で法令上の扱いが変わることはありません。一方で、ラベルは製品が満たしている要件の目安になりますので、自社の要件確認表を一から埋めさせる手間を省けます。日本から機器を持ち込む選択肢がある場合には、選定の効率という意味で有効です。

タイでもJC-STARの相互承認が将来結ばれる可能性はあるか

現時点で判断する材料がありません。JC-STARの相互承認は、英国のPSTI Actとのあいだで2026年1月1日に開始し、シンガポールのCLSとのあいだで2026年6月1日に発効しています。米国およびEUとは情報共有の段階にとどまり、相互承認の合意にも発効にも至っていません。タイとの交渉に関する公開情報は確認できていませんので、あるともないとも言えない状態です。社内資料や稟議書に「将来タイでも相互承認される見込み」と書くのは避け、現時点で制度が無いことを前提に基準を組んでください。

CLS認証を持つシンガポール製の機器をタイ拠点で買えば安全と言えるか

出荷時点で一定の要件を満たしている、とまでは言えます。ただしCLSのLevel 1は入口の段階であり、また日星MRAで同等と認められたのはJC-STARの★1の基準要件の一部です。加えて、機器のセキュリティは設置後の設定と運用で大きく変わります。初期パスワードの変更、不要ポートの無効化、ネットワーク分離、更新の適用といった運用側の作業を伴わなければ、ラベルの有無にかかわらず安全とは言えません。ラベルは出発点であって到達点ではないと整理してください。

タイのサイバーセキュリティ法に対応するために工場側で何か必要か

工場の機器調達という文脈においては、この法律を理由に必要となる対応はありません。この法律は重要情報インフラの8分野の運用者を対象としており、生産設備やIoT機器という製品を規制するものではないためです。ただし、自社の事業がエネルギーや公益事業、運輸および物流など8分野のいずれかに該当する場合は、組織としての義務が生じる可能性がありますので、機器の話とは切り離して法務と確認してください。

本社の情報システム部門とタイ拠点で意見が割れた場合はどう決めるべきか

決め方をその場で議論しないことが最大の対策です。基準を配る時点で、標準は本社、例外の一次判断は拠点、事後レビューは本社という役割を先に決めておけば、個別案件で権限を争う必要がなくなります。すでに割れている場合は、争点が基準そのものなのか、例外を認めるかどうかなのかを切り分けてください。多くの場合は後者であり、期限付きの例外承認で解決します。

まとめ

本記事で扱った要点を整理します。

• 日星MRAは日本とシンガポールの二国間の枠組みであり、タイはその当事国ではないため、タイ拠点の調達基準づくりに直接は使えない
• MRAは2026年3月18日に署名され2026年6月1日に発効、JC-STARの★1の基準要件の一部とCLSのLevel 1の基準要件の一部が同等と認められた
• MRAの実務上の効果は、CLS適合製品がJC-STARを申請する際の書類簡素化と、198,000円から140,000円への手数料減額、すなわち58,000円の差額であり、買う側の基準に直接効くものではない
• タイにはJC-STARやCLSに相当するIoT機器のセキュリティ認証・ラベリング制度が存在しない
• タイのNBTC型式認証は無線機器の電波に関する要件が中心で、サイバーセキュリティ要件は含まれない
• 拠り所となる制度が無い以上、基準の出どころは本社標準しかなく、選択肢は一律適用、一律緩和、カテゴリ別の3つに収束する
• 実務ではカテゴリ別が最も破綻しにくく、外部接続、制御ネットワーク接続、ネットワーク非接続の3層で基準の強さを変える
• 現地サプライヤーには制度名ではなく要件の中身で伝え、証明の形は第三者認証、適合宣言、設定手順書の3段階を許容する
• ガバナンスは二層型、つまり標準は本社、例外の一次判断は拠点、事後レビューは本社という形が最も運用しやすい
• 例外申請には対象機器、満たせない項目、理由、代替策、有効期限、再評価日の6項目を必ず入れる
• タイのサイバーセキュリティ法B.E.2562は8分野のCII運用者を対象とし、工場の機器そのものを規制していないため、違反にはならないが法による代替の保証も無い
• JC-STARの相互承認は英国のPSTI Actと2026年1月1日に開始しており、日星MRAは2件目にあたる。米国およびEUとは情報共有の段階で、タイとの交渉に関する情報は確認されていない

最初に着手すべきことは、ベンダーへの照会でも機器の比較でもありません。本社の機器調達標準を1本取り出し、それが制度名で書かれているのか要件の中身で書かれているのかを確かめることです。制度名で書かれていた場合、その標準はタイでは機能しません。要件文に書き換える作業が、タイ拠点の調達基準づくりの実質的な第一歩になります。

TOMAS TECHは、タイで操業する日系製造業向けに、生産管理システムPEGASUSをはじめとする工場のITとOTの導入を支援しています。調達基準の文書づくりや、現地サプライヤーへの要件の出し方、本社規程との整合の取り方についても、方針がまだ固まっていない検討段階からご相談をお受けしています。まずは現状を整理したいという段階でも構いませんので、お問い合わせページからお気軽にお声がけください。

参考情報

• IPA – JC-STAR シンガポールCLS適合製品の申請について
• 経済産業省 – 井野副大臣はJC-STARとシンガポールCLS（サイバーセキュリティ・ラベリング）の相互承認に関する覚書に署名しました
• IPA – JC-STAR 英国PSTI法適合の相互承認申請について
• ScanNetSecurity – 日本とシンガポールのIoTセキュリティラベリング制度の相互承認
• タイ サイバーセキュリティ法B.E.2562 英訳全文PDF
• ib-lenhardt – Type Approval Thailand NBTCの無線機器型式認証の解説
• IPA – JC-STAR 制度概要