インターネットにつながるIoT製品が増え、製品そのもののセキュリティを買い手や取引先が確かめたいという要請が強まっています。こうした流れを受けて、経済産業省が2024年8月に公表した制度構築方針にもとづき、IPA（情報処理推進機構）が運用する「JC-STAR（セキュリティ要件適合評価及びラベリング制度）」が2025年に始まりました。
自社製品が一定のセキュリティ要件を満たすことを示す「適合ラベル」を取得する動きが、メーカーのあいだで広がっています。
一方で、「JC-STARの適合ラベルを取るには、具体的に何を・どの順で・いくらで・どれくらいの期間で進めればよいのか」は、調べてもつかみにくいのが実情です。
本記事では、現在申請できる★1（レベル1）を中心に、JC-STARの制度概要と★1〜★4のレベルの違い、自社製品が対象かの判定、★1取得の流れ・必要書類・費用・期間を整理します。あわせて、自力で申請するか取得支援サービスに任せるかの判断軸、申請前にやっておきたい実機・ファームウェアの脆弱性診断、取得後の有効期間・更新や他制度との関係まで解説します。
目次
一括ダウンロードする
JC-STARとは
JC-STAR（ジェイシースター／セキュリティ要件適合評価及びラベリング制度）とは、インターネットに接続するIoT製品がセキュリティ技術要件を満たしているかを評価・可視化し、適合した製品に二次元バーコード付きの「適合ラベル」を付与する制度です。IPA（情報処理推進機構）のセキュリティセンターが運用しています。
制度の背景には、経済産業省が2024年8月に公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」があります。適合基準は、IoTセキュリティの国際標準であるETSI EN 303 645や、米国のNISTIR 8425といった国内外の規格と調和させながら策定されており、海外の制度ともつながりを持たせた設計です。
重要なのは、適合ラベルは「その製品が完全に安全であることの保証」ではなく、定義されたセキュリティ要件を満たしていることを共通の物差しで確認するものだという点です。IPAも、申請が受理されても必ず適合ラベルが交付されるわけではないと示しており、ラベルはあくまでベースラインへの適合を表すものと理解しておく必要があります。
出典・参考資料（2件）
- 出典：セキュリティ要件適合評価及びラベリング制度（JC-STAR）｜情報処理推進機構（IPA）
- 出典：IoT製品に対するセキュリティ適合性評価制度の構築方針を取りまとめました｜経済産業省
★1〜★4のレベルの違い
ここからは、JC-STARの適合レベルについて解説します。JC-STARには★1（レベル1）から★4（レベル4）までの4段階があり、求められるセキュリティ要件の高さと、適合を確認する方法が異なります。
大きな分かれ目は、適合を「製品ベンダーが自ら宣言する（自己適合宣言）」のか、「独立した第三者が評価する（第三者評価）」のかという評価方法の違いです。★1・★2はベンダーによる自己適合宣言、★3・★4は独立した第三者による評価にもとづいてIPAが認証と適合ラベルの付与を行います。
| レベル | 位置づけ | 評価方法 |
|---|---|---|
| ★1（レベル1） | すべての製品に共通して求められる最低限のセキュリティ要件 | ベンダーによる自己適合宣言 |
| ★2（レベル2） | ★1に、製品類型ごとの特徴をふまえた基本要件を追加 | ベンダーによる自己適合宣言 |
| ★3（レベル3） | 政府機関・重要インフラなど重要システム向けに、★1・★2へ要件を追加 | 独立した第三者による評価＋IPAの認証 |
| ★4（レベル4） | ★3よりさらに高度なセキュリティ要件 | 独立した第三者による評価＋IPAの認証 |
注意したいのは、「★2から★4までが第三者評価」ではなく、★1・★2が自己適合宣言、★3・★4が第三者評価という区分である点です。また、★3の適合要件は2026年6月に通信機器・ネットワークカメラから公表されたばかりで、第三者評価を担う評価機関の仕組みも整備が進んでいる段階です。そのため、現時点で多くの製品ベンダーが申請できるのは、主に★1になります。
出典・参考資料（1件）
- 出典：セキュリティ要件適合評価及びラベリング制度（JC-STAR）＞適合ラベルについて｜情報処理推進機構（IPA）
自社製品はJC-STARの対象か
取得を検討する前に、自社製品がJC-STARの対象になるかを確認します。ここでは対象となる製品の考え方と、実際に適合ラベルを取得している製品の例を見ていきます。
JC-STARの対象となる製品・機器（自社製品が該当するかの判定）
JC-STARが対象とするのは、インターネットに接続できる幅広いIoT製品です。具体的には、ルータなどの通信機器、ネットワークカメラ、スマートホーム機器、産業機器、太陽光発電のパワーコンディショナや蓄電池の制御・遠隔監視機器などが含まれます。自社製品がネットワークに接続し、外部と通信する機能を持つのであれば、対象になり得ると考えてよいでしょう。
★3の適合要件は通信機器・ネットワークカメラで先行して公表されており、製品の類型によって対応できるレベルや時期に差があります。まずは自社製品が「インターネット接続するIoT製品」に当たるかを確認し、そのうえで現在申請できる★1を起点に検討するのが現実的です。
実際に適合ラベルを取得している製品の例（IPA公式リスト）
IPAは、適合ラベルを取得した製品を「適合ラベル取得製品リスト」として公開しています。リストには、登録番号・ラベル取得事業者・製品名称・レベル・ステータス（有効、失効猶予、失効など）・ラベル取得日・有効期間が掲載され、全件をExcelでダウンロードできます。自社と同じ製品分野で、どの企業がどのレベルを取得しているかを具体的に確認できます。
実際に登録されている製品の例としては、次のようなものがあります（いずれもステータス「有効」）。太陽光・蓄電池関連の機器が目立つのが特徴です。
- 長州産業「スマートPVマルチ」
- 伊藤忠商事「蓄電システム Smart Star」
- 富士電機「太陽光用パワーコンディショナ」
- シムックスイニシアティブ「Marimba Mercury」
自社製品が対象かどうかや、同じ分野の取得状況を確かめたい場合は、IPAの公式リストで最新の登録製品を確認するのが確実です。
出典・参考資料（1件）
- 出典：適合ラベル取得製品リスト｜情報処理推進機構（IPA）
JC-STAR★1取得の流れ
ここからは、★1（レベル1）を取得するまでの流れを順に解説します。★1は自己適合宣言のため、基本的には次のステップで進みます。
- 適合評価（自己評価）：IPAが公開するチェックリストを使い、★1の各適合基準を満たしているかを自社で確認します。
- 必要書類の準備：申請確認書や申請書、チェックリストなどをそろえます（詳細は次章）。
- 申請番号の取得・書類の提出：専用の申込フォームから申請番号を取得し、その番号を記載したメールに申請書類一式を添付して提出します。
- IPAによる確認・受理：提出内容が確認され、受理されると受理番号が通知されます。
- 申請手数料の支払い：受理された後に、申請手数料を支払います。
- 適合ラベルの発行：所定の手続きが完了すると、適合ラベルが発行されます。
この流れで特に注意したいのが、受理番号が通知される前に「JC-STAR適合ラベル対応」「適合予定」「適合ラベル取得申請中」などと表示してはいけないという運用ルールです。IPAは、申請が受理されても必ず適合ラベルが交付されるとは限らないとしており、受理前の表示は認められていません。
受理番号を受け取った後、取得前の段階で製品やカタログに案内したい場合は、受理番号の受領メールを添えて「仮登録番号」の発行を申請する必要があります。仮登録番号の記載がない表示は不正な表示とみなされる可能性があるため、社内やマーケティング部門とも共有しておくと安心です。
申請できるのは、原則として自社ブランドのIoT製品を提供する事業者です。OEM/ODMで調達した製品を自社ブランドで販売する場合も、製造元（製造ベンダー）の同意・委任と、製造方法やファームウェアの開発・保守に関する情報の開示を前提に申請できます。
出典・参考資料（3件）
- 出典：JC-STAR 申請手続きについて｜情報処理推進機構（IPA）
- 出典：「適合ラベルを取得済／取得見込」であるかのように誤認させる表示について｜情報処理推進機構（IPA）
- 出典：★1・★2適合ラベル申請方法の概要｜情報処理推進機構（IPA）
★1申請に必要な書類
★1の申請で用意する書類は、IPAの申請手続きページに次のように示されています。
出典：JC-STAR 申請手続きについて｜情報処理推進機構（IPA）
- 適合ラベル取得申請確認書 (様式2-1)
- JC-STAR適合ラベル申請書
- （★1（レベル1）、★2（レベル２）の申請の場合）チェックリスト
- （代行申請の場合）委任状（様式2-3）
- （法人番号を利用しない場合）法人格を証明できる書類
このうちチェックリストは、★1・★2の申請時に提出するもので、IPAがExcel形式の様式を配布しています。代行申請をする場合は委任状（様式2-3）が、法人番号を使わない場合は法人格を証明できる書類が追加で必要です。これらの様式や申込フォームは、IPAのJC-STAR申請手続きページから入手できます。
提出する適合評価チェックリストは、申請日前90日以内に自己適合評価を行って作成したものに限られ、IPAが指定する最新版の様式を使う必要があります。
誤解しやすいのが、適合基準を満たしていることを裏づける「証跡（エビデンス）」の扱いです。★1では、申請時にエビデンスそのものを提出する必要はありません。IPAの「レベル1 評価ガイド」には、証跡の取扱いが次のように記載されています。
【申請時点での取扱い】
出典：JC-STAR レベル1 評価ガイド（1.1版）｜情報処理推進機構（IPA）
⚫ 適合ラベル申請時は、適合評価チェックリストの提出のみを申請者に求め、証跡（エビデンス）の提出は求めない
⚫ 適合ラベルの有効期間中、証跡（エビデンス）となる文書類の保管を義務付ける
このように、申請時に提出するのは適合評価チェックリストです。エビデンスは有効期間中に保管し、ラベル付与後に申請内容への疑義が生じた場合やサーベイランス（継続的な監視）の際に、IPAから提出を求められる仕組みです。適切な説明ができないと適合ラベルが取り消されることもあるため、何を根拠に各項目を満たしていると判断したかは、申請時点で整理・保管しておく必要があります。
取得にかかる費用（手数料）と取得までの期間の目安
次に、★1の取得にかかる費用と、取得までの期間の目安を確認します。★1の申請手数料は、IPAの申請手続きページに次のように明記されています。
★１（レベル１）での申請手数料は198,000円（税込）です。
出典：JC-STAR 申請手続きについて｜情報処理推進機構（IPA）
一旦支払われた申請手数料は返金されませんのでご注意ください。
★1の申請手数料は198,000円（税込）で、受理された後に支払います。一度支払った手数料は返金されません。★1は自己適合宣言のため、第三者の評価機関に支払う評価費用は発生しません（評価機関による評価が必要になるのは★3・★4です）。また、制度の運用開始当初は特別価格が設定されていましたが、すでに受付を終了しています。
手数料の支払いには期限があります。受理通知（申請受付受理書兼申請手数料通知書）を受領したら60日以内に振り込み、振込の2営業日前までに振込通知書（様式2-5）を提出します。期限内に振込がないと、申請は取り下げられたものとして扱われます。
取得までの期間については、IPAは確定的な目安（「およそ何週間」といった日数）を公表していません。むしろ2026年7月末時点では、申請件数の急増により確認作業に通常より時間がかかっているとの案内が出ています。実際にかかる期間は、製品のセキュリティ設計の成熟度や、チェックリストを裏づける文書がどこまで整っているかによって変わります。余裕を持ったスケジュールで準備を進めるのが安全です。
出典・参考資料（3件）
- 出典：JC-STAR 申請手続きについて｜情報処理推進機構（IPA）
- 出典：JC-STAR お知らせ（申請件数の急増に伴う確認作業の状況）｜情報処理推進機構（IPA）
- 出典：★1・★2適合ラベル申請方法の概要（申請手数料の支払期限）｜情報処理推進機構（IPA）
なぜ今JC-STARの取得が求められるのか
ここからは、JC-STARの取得が「なぜ今」求められているのかという背景を整理します。社内で取得の優先度を説明する際の材料になります。
第一に、取引先や公共調達の場面で、製品のセキュリティ水準を共通の物差しで示すことが求められ始めています。適合ラベルは、買い手が複数製品のセキュリティを比較・確認しやすくするための目印として機能します。
第二に、特定分野では取得が実質的な要件になりつつあります。電力広域的運営推進機関（OCCTO）のグリッドコード検討会では、太陽光・蓄電池について次のように整理されています。
太陽光と蓄電池については2027年4月（低圧連系は2027年10月）の系統連系技術要件改定において、JC-STAR★1の取得を要件化していく方向で整理された。
出典：第21回 グリッドコード検討会 資料3｜電力広域的運営推進機関（OCCTO）
太陽光発電や蓄電池の通信機能を持つ機器（パワーコンディショナや遠隔監視装置など）を手がけるメーカーにとっては、系統連系の要件としてJC-STAR★1が求められていく方向です。実際の適用は各地域の一般送配電事業者の約款に反映されていくため、対象地域の最新の要件もあわせて確認しておくとよいでしょう。
第三に、海外展開を見据えた動きです。JC-STARは、英国のPSTI法（製品セキュリティ・通信インフラ法。2025年11月6日に協力覚書を署名）や、シンガポールのCLS（サイバーセキュリティ・ラベリング制度。2026年3月18日に覚書を署名）との相互承認を進めています。
ただし、JC-STAR★1を保有していれば自動的にこれらの制度に適合するわけではなく、相互承認はそれぞれ別途の申請手続きが必要です。海外の制度対応の出発点として、★1を位置づける考え方です。
出典・参考資料（2件）
- 出典：第21回 グリッドコード検討会 資料3｜電力広域的運営推進機関（OCCTO）
- 出典：JC-STAR お知らせ・相互承認申請について｜情報処理推進機構（IPA）
自力で申請するか、取得支援サービスに任せるか
★1は自己適合宣言のため、制度上はメーカーが自力で申請できます。一方で、社内にセキュリティ要件を読み解く知見や、適合を裏づける文書を整える体制がどこまであるかによって、取得支援サービスを使ったほうが現実的な場合もあります。ここでは、どちらを選ぶかの判断軸を整理します。
自力申請が向いているのは、製品のセキュリティ設計の根拠が社内で整理されていて、チェックリストの各項目を自社で判断でき、エビデンスとなる設計・試験の文書がそろっているケースです。この場合、申請手数料以外の外部コストを抑えて取得まで進められます。
一方、取得支援サービスが効きやすいのは、次のような場面です。支援各社はおおむね、こうした工程を代行・伴走します。
- 対象製品の判定：自社製品がJC-STARの対象か、どのレベルを狙うべきかの切り分け
- 適合要件の整理とギャップ分析：★1の要件に対して、現状どこが不足しているかの洗い出し
- エビデンスの整備：各項目を満たすことを示す文書・試験記録の作成支援
- 申請準備・最終レビュー：提出前の書類チェックと、不備の是正
注意したいのは、取得支援サービスを使っても、申請者はあくまで製品のメーカー自身だという点です。支援会社は準備やレビューを代行しますが、自己適合宣言の主体はメーカーです。自社の体制と、取得までにかけられる時間・コストを見比べて、自力か支援かを判断するとよいでしょう。
なお、IoT・ハードウェアの脆弱性診断やコンサルティングを手がける事業者のなかには、JC-STAR★1の取得支援（適合要件の整理・ギャップ分析・エビデンス整備・申請前レビューなど）まで対応するところもあります。診断・取得支援の費用は、対象製品の数や診断範囲によって変わるため、各社への見積もり依頼が前提になります。自力での申請が難しいと感じる場合は、こうしたサービスの活用も選択肢になります。
申請前にやっておきたい技術リスク対策（実機・ファームの脆弱性診断）
★1の適合評価は、チェックリストにもとづく文書ベースの自己評価が基本です。これは申請のハードルを下げる一方で、文書上は要件を満たしていても、実際の製品やファームウェアに技術的な弱点が残っているかどうかまでは、書面の確認だけでは見えにくいという性質があります。
そこで実務上有効なのが、申請の前に実機やファームウェアを対象とした脆弱性診断を行い、技術的なリスクを洗い出しておくことです。実機を使った診断では、デバッグインタフェースの開放状況、ファームウェアに埋め込まれた認証情報、通信経路の弱点など、設計書の確認だけでは気づきにくい問題を発見できます。
申請前にこうしたリスクを潰しておくことで、適合宣言の裏づけを強められるだけでなく、出荷後に脆弱性が露見する事態を防ぎやすくなります。
自社製品のセキュリティ設計に不安がある場合や、エビデンスの裏づけをより確かなものにしたい場合は、IoT・ハードウェアの脆弱性診断に対応した専門サービスの活用を検討するとよいでしょう。
IoT・ハードウェアに対応した脆弱性診断サービスは、MCB FinTechカタログで資料をまとめて請求し、対応範囲や診断方式を比べられます。
一括ダウンロードする
申請前の脆弱性診断に対応するサービス
ここからは、申請前の技術リスク対策に役立つ、IoT・ハードウェアの脆弱性診断に対応したサービスを紹介します。まずは主なサービスを一覧で比較し、そのあとで特徴を個別に見ていきます。
| サービス名 | Hi AUDIT | SQAT | GMOサイバーセキュリティ byイエラエ | NRIセキュア | NTTセキュリティ・ジャパン | MBSD | ラック | サイバートラスト |
|---|---|---|---|---|---|---|---|---|
| 提供会社 | 株式会社TECHFUND | 株式会社ブロードバンドセキュリティ | GMOサイバーセキュリティ byイエラエ株式会社 | NRIセキュアテクノロジーズ株式会社 | エヌ・ティ・ティ・セキュリティ・ジャパン株式会社 | 三井物産セキュアディレクション株式会社 | 株式会社ラック | サイバートラスト株式会社 |
| IoT・ハードウェア診断 | IoT機器・医療機器などハードウェアの診断（手動診断・ペネトレーション） | IoTセキュリティ診断。実機の動的解析・ファーム/バイナリ解析・ハードウェア解析 | IoTデバイスペネトレーションテスト。ハードウェア解析・ファーム逆アセンブル・動的解析 | デバイス・セキュリティ診断（実機）。ファジングによる堅牢性の検証・既知脆弱性診断 | IoTプロダクトセキュリティ。脅威分析・脆弱性診断・ペネトレーション・通信解析 | IoT診断（組み込み機器）。ハードウェア面も含む完全手動の実機調査 | IoTデバイスペネトレーションテスト（実機）。侵入後の影響範囲まで確認 | IoT脆弱性診断（ファジング）。公開ポートへの侵入試行・既知脆弱性でのペネトレーション |
| 診断方式 | ハイブリッド（手動＋ツール） | ハイブリッド（手動＋ツール） | 手動主体（ツール併用） | 手動主体（ツール併用） | ハイブリッド（手動＋ツール） | 完全手動 | 手動主体（ツール併用） | ファジング＋事前ヒアリング |
| 費用の目安 | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト |
1. Hi AUDIT（株式会社TECHFUND）
Hi AUDITは、株式会社TECHFUNDが提供するセキュリティ診断サービスです。Webサービスやアプリケーションの診断に加え、同社によれば、IoT機器や医療機器といったハードウェアに対しても、セキュリティ上のリスクを発見する診断に対応しています。幅広い業界の実績を背景に、業界ごとに変わるセキュリティ要件まで踏まえた診断ができる点が強みです。
特徴的なのは、脆弱性を見つけて終わりにせず、対応が完了するまで並走する方針です。レポートの説明会、質問への回答、修正方法の相談、修正後の再確認までを追加料金なしで行うとしており、発見した弱点を実際に直しきるところまで支援します。申請前に製品の技術リスクを洗い出し、確実に是正してからJC-STARの申請に臨みたいメーカーに向いています。
脆弱性を直しきるまで伴走するという方針の背景について、同社は申請前の現場で起きがちな実態を次のように述べています。
脆弱性がたくさん出てくると、リソースがないために後回しになり、結局片付かないというケースは多いです。そこで、第三者が一緒にプランニングをすることが非常にポイントになります。「12週間の間にここを直しましょう」「3か月の間にここを直しましょう」といったプランを立てることもできますので、そこはとても喜ばれています。
2. SQAT（株式会社ブロードバンドセキュリティ）
SQAT（エスキュート）は、2000年創業のセキュリティ専業企業・株式会社ブロードバンドセキュリティ（BBSec）が提供する脆弱性診断サービスの総称です。手動診断と独自開発の自動診断を組み合わせたハイブリッド方式を採用しています。
IoT向けには「SQAT for IoT」として、実機を使った動的解析を提供しています。対象はIoTデバイス本体、デバイスを制御するスマートフォンアプリ、デバイスとサーバ間の通信（API）の3点です。さらに、ファームウェア・バイナリの解析やハードウェア層の確認（デバッグインタフェースの開放状況、ファームウェアからの認証情報の検出など）まで踏み込みます。
申請前に、文書では見えにくい実機・ファームの弱点を確認しておきたい場合の選択肢になります。
ここで取り上げたのはIoT・ハードウェア製品に対応した脆弱性診断サービスですが、Webアプリケーションやネットワークなども含めた脆弱性診断サービス全般の診断方法・費用相場・選び方は、以下の記事でまとめて比較・解説しています。自社に合う診断サービスを幅広く検討したい場合は、あわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
取得後の扱い（有効期間・更新と他制度との関係）
適合ラベルは取得して終わりではありません。ここでは、取得後の有効期間・更新と、PSTIなど他制度との関係を整理します。
適合ラベルの有効期間と更新（最大2年）
適合ラベルの有効期間と延長について、IPAは次のように示しています。
適合ラベルの有効期間は、レベルによらず、適合ラベル発行日から最大2年間です。
出典：JC-STAR 申請手続きについて｜情報処理推進機構（IPA）
延長申請が受理され、延長申請手数料の支払いが確認されると、★１（レベル１）と★２（レベル２）については最大2年間、★３（レベル３）と★４（レベル４）については最大１年間、有効期間が延長されます。
適合ラベルの有効期間は、レベルにかかわらず発行日から最大2年間です。継続して表示を続けたい場合は延長申請を行い、延長申請手数料を支払うことで、★1・★2は最大2年間、★3・★4は最大1年間、有効期間が延長されます。取得後も有効期間を意識し、更新のタイミングを管理しておく必要があります。
取得後も製品のセキュリティを維持する義務があります。サポート対象のファームウェアを更新した場合は、再申請ではなく「セキュリティ情報記載事項更新・報告届」（様式2-10）を遅滞なく提出します。
IPAは制度の信頼性を確保するため必要に応じてサーベイランス（継続的な監視）を行い、事業者には協力義務と、有効期間中の証跡（チェックリストの裏づけ文書・評価報告書など）の保管が義務づけられています。セキュリティ機能に影響する仕様変更を行った場合は、適合評価の判定が変わり得るため、再評価や新規申請が必要になることがあります。
他制度（PSTI等）との関係・移行期間の扱い
IPAの「適合ラベル取得製品」のページでは、製品リストが3種類に分かれています。通常の「適合ラベル取得製品リスト」のほかに、「PSTI法適合宣言製品リスト」と、「JC-STARへの移行期間中の他制度認証製品の取扱いについて」というサブリストがあります。すでに他制度の認証を受けている製品や、英国PSTI法への適合宣言を行っている製品の扱いを整理するためのものです。
前述のとおり、JC-STAR★1を取得していても、それだけで英国PSTI法やシンガポールCLSに自動的に適合するわけではありません。海外展開を予定している場合は、相互承認の申請が別途必要になる点を踏まえ、どの市場でどの制度への対応が要るのかを早めに整理しておくことをおすすめします。
出典・参考資料（4件）
- 出典：JC-STAR 申請手続きについて（有効期間・延長申請）｜情報処理推進機構（IPA）
- 出典：適合ラベル取得製品（製品リストの区分）｜情報処理推進機構（IPA）
- 出典：★1・★2適合ラベル申請方法の概要（サーベイランス・証跡保管）｜情報処理推進機構（IPA）
- 出典：JC-STAR よくある質問｜情報処理推進機構（IPA）
まとめ
JC-STARは、インターネットに接続するIoT製品のセキュリティ要件への適合を評価・可視化する制度で、現在申請できるのは主に★1（自己適合宣言）です。★1取得の流れは、チェックリストによる自己評価から始まり、必要書類の準備、申請番号の取得と書類提出、IPAの受理、手数料（198,000円・税込）の支払い、適合ラベルの発行という順に進みます。
受理番号の通知前に「適合ラベル対応」などと表示できない点や、エビデンスは申請時提出ではなく保管義務である点も、あらかじめ押さえておきたいポイントです。
取得にあたっては、自力申請か取得支援サービスかを自社の体制に照らして判断し、申請前には実機・ファームの脆弱性診断で技術リスクを洗い出しておくと、適合宣言の裏づけを強められます。太陽光・蓄電池のグリッドコード要件化や海外相互承認の動きもふまえ、自社製品に必要な対応を早めに見極めて準備を進めましょう。
一括ダウンロードする
よくあるご質問（FAQ）
Q. JC-STARとは何ですか？
A. JC-STARは、インターネットに接続するIoT製品がセキュリティ要件を満たしているかを評価し、適合した製品に「適合ラベル」を付与する、IPA（情報処理推進機構）運用の制度です。正式名称は「セキュリティ要件適合評価及びラベリング制度」で、経済産業省が2024年8月に公表した制度構築方針にもとづき2025年に始まりました。
適合基準は国際標準のETSI EN 303 645や米国のNISTIR 8425と整合させて策定されています。
Q. JC-STARの適合ラベルは、今どのレベルまで申請できますか？
A. 現在、多くの製品ベンダーが申請できるのは主に★1（レベル1）です。JC-STARには★1から★4まで4段階があり、★1・★2はベンダーによる自己適合宣言、★3・★4は独立した第三者による評価にもとづいてIPAが認証します（「★2〜★4が第三者評価」ではない点に注意が必要です）。
★3の適合要件は2026年6月に通信機器・ネットワークカメラから公表されたばかりで、第三者評価を担う評価機関の仕組みも整備が進んでいる段階です。
Q. JC-STAR★1の取得にかかる手数料はいくらですか？
A. JC-STAR★1の申請手数料は198,000円（税込）で、申請が受理された後に支払います。一度支払った手数料は返金されません。★1は自己適合宣言のため、第三者評価機関に支払う評価費用は発生しません（評価機関による評価費用がかかるのは★3・★4です）。
Q. 過去の資料で見かける110,000円という手数料は、今でも使えますか？
A. いいえ。現在★1を申請する場合の手数料は198,000円（税込）です。運用開始当初は特別価格が設定されていましたが、すでに受付を終了しています。過去の記事や資料で110,000円と記載されているものは当時の特別価格のため、最新の手数料はIPAの申請手続きページでご確認ください。
Q. JC-STAR★1の申請にはどんな書類が必要ですか？
A. JC-STAR★1の申請には、適合ラベル取得申請確認書（様式2-1）・JC-STAR適合ラベル申請書・チェックリストが必要です。これに加えて、代行申請をする場合は委任状（様式2-3）、法人番号を利用しない場合は法人格を証明できる書類が必要になります。チェックリストはIPAがExcel形式の様式を配布しています。
Q. JC-STAR★1の申請時に、エビデンス（証跡）の提出は必要ですか？
A. JC-STAR★1では、申請時に提出するのは適合評価チェックリストのみで、エビデンス（証跡）そのものの提出は求められません。ただしエビデンスは適合ラベルの有効期間中の保管が義務づけられ、申請内容に疑義が生じた場合やサーベイランス（継続的な監視）の際に、IPAから提出を求められます。
適切に説明できないとラベルが取り消されることもあるため、各項目を満たすと判断した根拠は申請時点で整理・保管しておく必要があります。
Q. JC-STAR★1の取得にはどのくらいの期間がかかりますか？
A. IPAはJC-STAR★1の取得にかかる期間について、確定的な目安（何週間といった日数）を公表していません。むしろ2026年7月末時点では、申請件数の急増により確認作業に通常より時間がかかっているとの案内が出ています。実際にかかる期間は、製品のセキュリティ設計の成熟度や、チェックリストを裏づける文書の整備状況によって変わるため、余裕を持ったスケジュールで準備を進めるのが安全です。
Q. 受理番号が通知される前に「JC-STAR適合ラベル対応」と表示してもよいですか？
A. 受理番号が通知される前に「JC-STAR適合ラベル対応」「適合予定」「適合ラベル取得申請中」などと製品やカタログに表示することは認められていません。IPAは、申請が受理されても必ず適合ラベルが交付されるとは限らないとしています。
受理番号を受け取った後、取得前の段階で案内したい場合は、受領メールを添えて「仮登録番号」の発行を申請する必要があり、仮登録番号の記載がない表示は不正な表示とみなされる可能性があります。
Q. JC-STAR★1はメーカーが自力で申請できますか？
A. JC-STAR★1は自己適合宣言のため、制度上はメーカーが自力で申請できます。製品のセキュリティ設計の根拠が社内で整理され、チェックリストの各項目を自社で判断でき、設計・試験のエビデンス文書がそろっているケースでは、申請手数料以外の外部コストを抑えて取得まで進められます。要件の読み解きや文書を整える体制が十分でない場合は、取得支援サービスの活用も現実的な選択肢になります。
Q. 自社製品がJC-STARの対象か分からない段階でも、取得支援サービスに相談できますか？
A. 自社製品がJC-STARの対象か分からない段階でも、取得支援サービスに相談できます。多くの支援サービスは対象製品の判定や、どのレベルを狙うべきかの切り分けから対応しています。自社製品がネットワークに接続して外部と通信する機能を持つかといった点を起点に、対象かどうかを一緒に確認するところから始められます。
Q. 開発部門に余裕がなくても、JC-STAR★1の取得は進められますか？
A. 開発部門に余裕がなくても、取得支援サービスを活用すればJC-STAR★1の取得を進められます。支援各社は、適合要件の整理やギャップ分析、エビデンスとなる文書の作成支援などを代行・伴走し、自社の入力や判断が必要な箇所を絞り込んでくれます。ただし、支援を使っても自己適合宣言の主体はあくまで製品のメーカー自身である点は変わりません。
Q. JC-STAR★1の申請前に、IoT・ハードウェアの脆弱性診断を行う意味はありますか？
A. JC-STAR★1の適合評価は文書ベースの自己評価が基本のため、実機やファームウェアに残る技術的な弱点までは書面の確認だけでは見えにくく、申請前の脆弱性診断が有効です。実機を使った診断では、デバッグインタフェースの開放状況、ファームウェアに埋め込まれた認証情報、通信経路の弱点など、設計書の確認だけでは気づきにくい問題を発見できます。
申請前に潰しておくことで、適合宣言の裏づけを強められるだけでなく、出荷後に脆弱性が露見する事態も防ぎやすくなります。
Q. JC-STAR★1を取得すれば、英国PSTIやシンガポールCLSにも自動的に適合しますか？
A. JC-STAR★1を取得しても、それだけで英国のPSTI法やシンガポールのCLSに自動的に適合するわけではありません。JC-STARはこれらの制度との相互承認を進めていますが、相互承認はそれぞれ別途の申請手続きが必要です。海外展開を予定している場合は、どの市場でどの制度への対応が要るのかを早めに整理しておくことをおすすめします。
Q. JC-STARの適合ラベルの有効期間はどのくらいですか？更新はできますか？
A. JC-STARの適合ラベルの有効期間は、レベルにかかわらず発行日から最大2年間です。継続して表示を続けたい場合は延長申請を行い、延長申請手数料を支払うことで、★1・★2は最大2年間、★3・★4は最大1年間、有効期間が延長されます。取得後も有効期間を意識し、更新のタイミングを管理しておく必要があります。
Q. 太陽光発電・蓄電池のメーカーは、JC-STAR★1をいつまでに取得する必要がありますか？
A. 太陽光と蓄電池については、2027年4月（低圧連系は2027年10月）の系統連系技術要件改定で、JC-STAR★1の取得を要件化していく方向で整理されています。これは電力広域的運営推進機関（OCCTO）のグリッドコード検討会で示された方針です。実際の適用は各地域の一般送配電事業者の約款に反映されていくため、対象地域の最新の要件もあわせて確認しておくとよいでしょう。
Q. JC-STARの適合ラベルを取得すれば、製品の安全性は保証されますか？
A. JC-STARの適合ラベルは、製品が完全に安全であることを保証するものではありません。ラベルは、定義されたセキュリティ要件を共通の物差しで満たしていることを確認するもので、ベースライン（最低限の水準）への適合を表します。IPAも、申請が受理されても必ず適合ラベルが交付されるわけではないとしており、ラベルはあくまで要件への適合を示すものと理解しておく必要があります。
IoT・ハードウェアの脆弱性診断サービスの資料を一括チェック
MCB FinTechカタログでは、JC-STAR★1の申請前に役立つIoT・ハードウェア対応の脆弱性診断サービスの最新資料を無料で一括請求できます。対応範囲や診断メニュー、支援の進め方を比べて、自社製品に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
