経済産業省は11月4日、IoT 製品のセキュリティラベル制度「JC-STAR」と、EU のサイバーレジリエンス法 (CRA) の中身を日本と EU の専門家が突き合わせる作業を本格化させると発表した。家のルーターやネットワークカメラの箱に付く「★」の基準が、欧州の基準と一項目ずつ並べて点検されていく。
この件は速報で第一報を出している。ここでは、比較の枠組みで何が決まったのかと、買う側がその★から何を読み取れて何を読み取れないのかを整理する。
10月26日の覚書で決まったこと
動いたのは政府どうしの協定ではない。10月26日、在欧日系ビジネス協議会 (JBCE) と、EU の研究資金で動くデジタル標準化プロジェクト StandICT.eu の事務局が、協力覚書にオンラインで署名した。JBCE は JC-STAR と CRA を技術面で比べる「CRA・JC-STAR 技術ワーキンググループ」を運営しており、この覚書でその場を強化する。経済産業省と情報処理推進機構 (IPA) はこのワーキンググループに参加し、両制度の具体的なセキュリティ要件の共通点と相違点を洗い出す。
比較の場は今回いきなりできたものではない。EU 側の前身プロジェクト INSTAR のもとで2025年11月、2026年1月、2026年6月にワークショップが開かれ、StandICT.eu に引き継がれてからも9月14日に1回目が開かれている。
範囲を正確にしておきたい。発表は「それぞれの法域の規制上の自律性を十分に尊重しながら」比較すると書いている。JC-STAR はすでに英国の PSTI 法と2026年1月から、シンガポールのラベル制度 CLS と同年6月から相互承認を始めているが、EU とは今回、相互承認ではなく比較・分析の段階に入った。
箱の★が言っていること、言っていないこと
JC-STAR は IPA が2025年3月に運用を始めた制度で、ネットにつながる幅広い IoT 製品が対象になる。★1 は全製品に共通する最低限の要件、★2 は製品の種類ごとに足す要件で、どちらもメーカーが自分で評価した結果をもとに IPA がラベルを付ける「自己適合宣言」の方式だ。★3 と ★4 は政府機関や重要インフラ向けの製品を想定し、独立した第三者機関が評価する。
店頭で家庭向けの機器に付いているのは、多くの場合 ★1 か ★2 になる。IPA 自身が、評価の信頼性はメーカーの信頼性に依存すると書き、ラベルは完全なセキュリティを保証するものではないと注意している。低コスト・短期間で取れることと引き換えに、疑義が出たときは IPA が検査し、ラベルを取り消すこともある仕組みで釣り合いを取っている。
ラベルの扱いにも細かい条件がある。
- 有効期間は原則として発行日から2年。延長手続きがなければ切れる
- ラベルの二次元バーコードは IPA の製品情報ページにつながり、ラベルが「有効」か、どの型番が対象かを確認できる
- 偽造ラベルの場合、読み込んだ先が
jc-star.ipa.go.jp/conformance/で始まらない - 「JC-STAR 適合予定」「適合ラベル取得申請中」といった表示は、仮登録番号がなければ IPA は認めていない
もう一つ、IPA は「セキュリティ機能が備わっている」ことと「安全に使い続ける」ことは同じではないと書く。初回設定で求められるパスワード変更を推測されやすい文字列で済ませたり、ファームウェアの更新を止めたりすれば、ラベルの意味は薄れる。すでに家にある古い機器には、そもそもラベルが付いていない。
日EU の比較は、暮らしのどこに届くか
家庭のルーターやカメラは、同じメーカーの同じ設計が日本でも欧州でも売られることが多い。CRA は2024年12月に発効し、2026年9月から脆弱性とインシデントの報告義務が始まり、2027年12月からはデジタル要素を含む製品に主要なセキュリティ要件がかかる予定だ。欧州で売り続けたいメーカーは、いずれ CRA の要件を満たす設計に寄せていく。
両制度の差分がはっきりすれば、メーカーは一つの設計で両方に応えやすくなる。経済産業省が掲げる狙いも、日本企業が国内外の制度に効率よく対応できる環境づくりだ。買う側への効き目は間接的だが、日本の箱の★が、欧州の要件と同じ言葉で説明できるものに近づいていく可能性はある。逆に、差分が大きいと分かれば、同じ型番でも国ごとに中身の扱いが違う、という状態が見えてくる。
次に買い替えるときの確かめ方
ラベルを買い物の材料にするなら、手間はそれほどかからない。箱のバーコードを読んで行き先が IPA のページであること、ステータスが「有効」であること、手元の型番が対象に入っていることを見る。IPA のサイトには「適合ラベル取得製品」の一覧もある。そのうえで、パスワードと更新の設定は自分の側の仕事として残る。
比較作業の行方は、経済産業省と IPA の JC-STAR の発表欄で追える。区切りとして見ておきたいのは、CRA の主要要件がかかる2027年12月だ。それまでに日EU の差分がどこまで公表されるかで、★の読み方も変わってくる。
ことば
- JC-STAR — IoT 製品のセキュリティ要件への適合を★の数で示す日本のラベル制度。2025年3月に IPA が運用を始め、英国・シンガポールの制度と相互承認を進めている。
- CRA (サイバーレジリエンス法) — EU 域内で売るデジタル製品にセキュリティ要件を課す法律。2024年12月に発効し、2027年12月から主要な要件が適用される予定。
- 自己適合宣言 — メーカー自身が要件を満たすと評価して申告する方式で、第三者機関の評価を経ない。JC-STAR の ★1・★2 がこれにあたり、低コストで取れる代わりに信頼性はメーカーに依存する。
家の中でいちばん長く替えていない、ネットにつながる機器は何だろうか。その箱に何が書いてあったか、覚えているだろうか？
