太陽光発電や蓄電池向けのパワーコンディショナ（PCS）や制御機器を手がける事業者のあいだで、「JC-STAR（ジェイシースター）が義務化される」という話が広がっています。取引先や調達の資料でこの名前を見かけ、自社の製品が本当に対象になるのか、いつまでに何をすればよいのかを確かめたい、という声は少なくありません。
結論を先にお伝えすると、JC-STARという制度そのものは任意です。ただし電力分野では、系統連系の技術要件（グリッドコード）の改定にあわせて、2027年4月以降に系統へつなぐ太陽光・蓄電池の対象機器に「★1」を取得した製品を使うことが、実質的に求められる見通しです。「任意だが、電力分野では事実上必須」という食い違いが、この話の核心です。
本記事では、この「任意か義務か」の結論から、適用が始まる時期、自社製品が対象になるかの判定、★1で満たすべき要件、そして★1を取得するために実際に何を検証・証明するのかまでを整理します。電力分野の次にどの分野へ波及するのか、EUのサイバーレジリエンス法（CRA）など海外制度との関係も取り上げます。
電力分野の要件化は系統連系技術要件の改定案の段階にあり、2026年11月時点で条文・規程はまだ公布されていません。本記事では各数値や時期に情報の基準日を添えて示します。
目次
一括ダウンロードする
結論：JC-STARは義務化されるのか
この問いには、次の三層に分けて答えるのが正確です。
- 制度そのものは任意です。JC-STARは、IoT製品のセキュリティ要件を満たすことを製品ベンダーが自ら宣言する、任意の適合評価制度です。
- 電力分野では実質的に必須になる見通しです。系統連系の技術要件（グリッドコード）の改定にあわせ、2027年4月以降に系統へつなぐ太陽光・蓄電池の対象機器に、★1を取得した製品を使うことが求められる方向で整理されています。
- ただし条文・規程はまだ公布されていません。直近の2026年8月の第22回検討会でも「今後、規定類の改定に向けて進めていく」とされ、本記事執筆時点（2026年11月）でも公布されていません。現段階は改定案で、確定は条文の公布後になります。
「義務化」という言葉だけが先行しがちですが、法律で一律に義務づけられるわけではありません。電力分野という特定の領域で、系統につなぐための技術要件として「★1取得製品の使用」が条件になる、という形です。この「任意だが、電力の系統連系では事実上避けられない」という構図を押さえておくと、自社が何をどこまで対応すべきかを判断しやすくなります。
要件化の方針は2025年12月16日の第20回グリッドコード検討会で整理され、2026年3月31日の第21回検討会の資料4では、太陽光・蓄電池について次のように記されています。
特に、太陽光や蓄電池については、今後も多数の連系が見込まれることを踏まえると、早期に対応する必要があることから、2027年4月※から、系統連系にあたってJC-STAR★1を取得した製品の使用を必須の要件とすることとした。
出典：分散型電源のサイバーセキュリティ対策の要件化について｜第21回グリッドコード検討会 資料4（2026年3月31日）、電力広域的運営推進機関（OCCTO）
※低圧（50kW未満）で連系する製品については、メーカーがJC-STAR★1を取得した製品を導入した後も、一定期間、流通網に旧製品の在庫が一定数発生すると見込まれることから、2027年10月を適用開始時期とした。
出典・参考資料（3件）
- 参考資料：セキュリティ要件適合評価及びラベリング制度（JC-STAR）｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/jc-star/）
- 出典：分散型電源のサイバーセキュリティ対策の要件化について｜第21回グリッドコード検討会 資料4（2026年3月31日）、電力広域的運営推進機関（OCCTO）（https://www.occto.or.jp/assets/iinkai/gridcode/21/gridcode_21_04.pdf）
- 出典：分散型電源のサイバーセキュリティ対策について（議論の整理）｜第22回グリッドコード検討会 資料3（2026年8月21日）、電力広域的運営推進機関（OCCTO）（https://www.occto.or.jp/assets/iinkai/gridcode/22/gridcode_22_03.pdf）
そもそもJC-STARとは（IPAのIoTセキュリティ適合評価制度）
JC-STARは、IoT製品のセキュリティ機能を国が定めた共通のものさしで評価し、ラベルで見える化する制度です。独立行政法人情報処理推進機構（IPA）が2025年3月から運用しており、正式名称は「セキュリティ要件適合評価及びラベリング制度」です。
評価の水準は★1から★4まであり、数字が大きいほど高いセキュリティ水準を表します。現時点で申請できるのは★1が中心で、電力分野の要件化で求められるのもこの★1です。制度の詳しい要件は後ほど整理するとして、ここではまず「IoT製品のセキュリティを★で表すIPAの適合評価制度」という位置づけだけ押さえておけば十分です。
★1と★2は、製品ベンダーが自ら評価して適合を宣言する「自己適合宣言」方式です。★3と★4は、独立した第三者機関が評価して示す方式で、政府機関や重要インフラ事業者などの重要なシステムでの利用を想定しています。この評価方式の違いは、後述する「取得実務」にそのまま関わってきます。
出典・参考資料（1件）
- 参考資料：セキュリティ要件適合評価及びラベリング制度（JC-STAR）｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/jc-star/）
いつから★1が必要になるのか（電源種別×適用開始時期）
ここからは、自社の案件がどの区分に当たるかを拾えるよう、適用開始の時期を電源種別ごとに整理します。以下はいずれも改定案にもとづく見通しで、確定は条文の公布後になります。
| 電源種別 | 太陽光発電（特別高圧・高圧） | 太陽光発電（低圧50kW未満） | 蓄電池（特別高圧・高圧） | 蓄電池（低圧50kW未満） | 風力発電 | 燃料電池 |
|---|---|---|---|---|---|---|
| 適用開始時期（改定案） | 2027年4月 | 2027年10月 | 2027年4月 | 2027年10月 | 2027年4月 | 2028年4月 |
| 対象 | 通信機能を有する制御システム（PCS・EMS等） | 同上 | 通信機能を有する制御システム（PCS・EMS等） | 同上 | 当初はゲートウェイのファイアウォール等に限定 | PCSを用いる形式が対象（ガスエンジン含む） |
| 補足 | 系統アクセスの契約申込みが起点 | 旧製品の流通在庫消化のため半年遅い経過措置 | 太陽光と同じ区分で整理 | 同上（経過措置） | 他の機器も速やかに対応を求める | 必要に応じて経過措置を検討 |
第21回グリッドコード検討会 資料4（2026年3月31日）の改定案にもとづく。条文未公布のため確定は公布後。
太陽光・蓄電池は、特別高圧・高圧が2027年4月、低圧50kW未満が2027年10月です。低圧が半年遅いのは、メーカーが★1取得製品に切り替えた後も、流通網に旧製品の在庫が一定数残ると見込まれるためで、その消化に配慮した経過措置とされています。
風力は2027年4月ですが、当初はゲートウェイのファイアウォール（または同等の防御機能を持つ機器）に限定した早期適用で、その他の機器も速やかな対応が求められます。燃料電池は2028年4月で、PCSを用いる形式が対象です。いずれも入口は★1で、電源種別による★レベルの差は設けられていません。
出典・参考資料（1件）
- 出典：分散型電源のサイバーセキュリティ対策の要件化について｜第21回グリッドコード検討会 資料4、p.5〜8（2026年3月31日）、電力広域的運営推進機関（OCCTO）（https://www.occto.or.jp/assets/iinkai/gridcode/21/gridcode_21_04.pdf）
起点は「連系日」ではなく「系統アクセスの契約申込み」
適用時期を自社案件に当てはめるとき、見落としやすいのが「何を起点に適用されるか」です。改定案では、連系する日（運転開始の時点）ではなく、系統アクセスの契約申込みを行う時点が起点とされています。改定案の注記には、次のように記されています。
具体的には以下の分散型電源を対象とし、下記の時期以降に系統アクセスにおける契約申込みを行う案件から適用する。
出典：分散型電源のサイバーセキュリティ対策の要件化について｜第21回グリッドコード検討会 資料4 注1（2026年3月31日）、電力広域的運営推進機関（OCCTO）
政策の説明資料では「新規に系統に接続される」という連系寄りの表現も見られますが、改定案の文言は「契約申込み」を起点としています。両者を取り違えると、適用されるかどうかの判断がずれます。ただし、具体的な手続きの基準日は各一般送配電事業者の系統アクセスルールに委ねられる部分があり、条文はまだ公布されていません。個別の案件がどの時期に当たるかは、系統アクセスルールと納入先に確認するのが確実です。
出典・参考資料（1件）
- 出典：分散型電源のサイバーセキュリティ対策の要件化について｜第21回グリッドコード検討会 資料4 p.9 注1（2026年3月31日）、電力広域的運営推進機関（OCCTO）（https://www.occto.or.jp/assets/iinkai/gridcode/21/gridcode_21_04.pdf）
既設・増設・交換・遡及適用の扱い
公的な資料で確認できる範囲は、「該当時期以降に系統アクセスの契約申込みを行う案件から適用する」という原則までです。裏を返せば、それ以前に契約申込みを行った案件や、すでに稼働している既設設備は、原則として適用の対象外と読めます。
一方で、既設機器の増設・交換や、どこまで遡って適用されるかといった細部は、改定案や検討会の段階でも確定していません。2026年8月の検討会でも、遡及適用の方向性を確認する委員の発言が見られ、固まっていない論点が残っています。
具体的な日付や「既設で使用中の機器が直ちに接続できなくなることはない」といった運用は、現時点で公的資料から断定できる段階にないため、個別の案件は一般送配電事業者・納入先に確認することをおすすめします。
出典・参考資料（1件）
- 出典：分散型電源のサイバーセキュリティ対策について（議論の整理）｜第22回グリッドコード検討会 資料3（2026年8月21日）、電力広域的運営推進機関（OCCTO）（https://www.occto.or.jp/assets/iinkai/gridcode/22/gridcode_22_03.pdf）
自社製品は対象か（対象／対象外機器の判定）
ここからは、自社の製品が対象になるかを判定します。改定案の本文には、対象となる機器が次のように示されています。
具体的には、分散型電源が採用する通信機能を有する制御システムのうち、IP通信を用いる機器について、独立行政法人情報処理推進機構のセキュリティ要件適合評価及びラベリング制度に基づくレベル１以上の認証を取得した機器を用いることとする。ただし、一般用電気工作物にあってはインターネット回線との接続に用いるルータ等および一般用電気工作物も含めた全ての電気工作物にあってはゲートウェイ等を介する監視カメラ等を除く。なお、対象範囲外の機器においても、発電等設備に対する制御機能を有する場合や、ゲートウェイ等を介さずに主要な構成製品に連携する場合は対象とする。
出典：分散型電源のサイバーセキュリティ対策の要件化について｜第21回グリッドコード検討会 資料4 p.9 改定案本文（2026年3月31日）、電力広域的運営推進機関（OCCTO）
判定の軸：IP通信機能と、設備への制御関与
改定案の文言から、判定の軸は大きく2つに整理できます。1つは「IP通信を用いる（通信機能を有する制御システムである）か」、もう1つは「発電等設備に対する制御に関与するか」です。この2軸にもとづくと、一般的な機器は次のように当てはめられます。あくまで改定案のルールにもとづく整理であり、政府が確定した機器別の一覧表ではない点に注意してください。
| 機器 | パワーコンディショナ（PCS） | EMS・制御装置 | ゲートウェイ・遠隔監視装置 | バッテリーマネジメントシステム（BMS） | 蓄電池セル・パック本体 | 一般IP通信機器（ルータ等） | 監視カメラ（ゲートウェイ経由） |
|---|---|---|---|---|---|---|---|
| 判定 | 対象 | 対象 | 対象 | 条件付きで対象 | 対象外 | 対象外 | 対象外 |
| 根拠・補足 | 出力制御を担うIP通信機能を持つ制御機器 | 通信機能を有する制御システムに該当 | 外部通信との接続点となる機器 | IP通信・制御関与の有無で判断 | ネットと直接通信せず制御に関与しない | 一般用電気工作物のインターネット接続用ルータ等は除外 | ゲートウェイ等を介する監視カメラ等は除外 |
第21回グリッドコード検討会 資料4 p.9（2026年3月31日）の改定案ルールにもとづく整理。確定・個別適用は条文公布後に一般送配電事業者・納入先へ確認。
自社製品のセルフ判定チェックリスト
上の表はあくまで一般的な当てはめです。自社の製品が対象かを見極めるには、改定案の除外・拡張規定まで踏まえて確認する必要があります。次の観点で順に確認してみてください。
- その機器はIP通信の機能を持つか。実際に使う予定がなくても、機能として備わっていれば対象に含まれ得ます。
- 対象設備の構成機器に直接含まれるか。PCSやEMS（エネルギー管理システム）のように、発電・蓄電設備を構成する制御機器かどうかです。
- 構成機器に含まれない場合でも、設備への制御機能を持つか。制御に関与する機器は、一見対象外に見えても対象に引き戻されます。
- ゲートウェイ等を介さずに主要な構成製品と通信でつながっているか。この場合も対象になり得ます。
ポイントは、除外規定が一律ではないことです。ルータが対象外になるのは一般用電気工作物のインターネット接続用に限られ、監視カメラの除外はゲートウェイ等を介する場合が前提です。逆に、対象範囲外に見える機器でも、制御機能を持つ・主要製品と直接つながるといった条件に当てはまれば対象に含まれます。
自社製品が境界線上にある場合は、改定案ルールへの当てはめだけで決めず、一般送配電事業者・納入先への確認を併せて進めるのが安全です。
出典・参考資料（1件）
- 出典：分散型電源のサイバーセキュリティ対策の要件化について｜第21回グリッドコード検討会 資料4 p.9（2026年3月31日）、電力広域的運営推進機関（OCCTO）（https://www.occto.or.jp/assets/iinkai/gridcode/21/gridcode_21_04.pdf）
★1で満たすべき要件（16項目・自己適合宣言・有効期間）
対象だと分かったら、次に気になるのは「★1で何を満たすのか」です。★1の適合基準は、IPAの「★1（レベル1）適合基準・評価手法」で16項目が定められています。初期パスワードの変更強制、セキュアな通信、既知の脆弱性を持たないことの証明など、IoT製品に共通して求められる最低限のセキュリティ要件が中心です。
★1の16項目を自社製品で点検する
★1の適合基準は、S1.1-01からS1.1-16までの16項目です。見出しの「16項目」はこの個別基準の総数で、国際標準（ETSI EN 303 645）に沿った次の要件区分に整理できます。
- 脆弱な認証・認可メカニズムを使用しない
- 脆弱性の報告を管理するための手段を導入する
- ソフトウェアを最新の状態に保つ
- 機密セキュリティパラメータをセキュアに保存する
- セキュアに通信する
- 露出した攻撃面を最小化する
- 停止に対してレジリエントなシステムにする
- ユーザーが簡単にデータを消去できるようにする
- 製品に関する情報提供を行う
各項目の評価は「ドキュメント評価」と「実機テスト」の2本立てです。16項目のうち6項目（S1.1-04 総当たり攻撃による認証の突破防止、S1.1-06 アップデート機能、S1.1-10 型番などの情報提供、S1.1-13 攻撃面の最小化、S1.1-14 停止へのレジリエンス、S1.1-15 データ削除機能）が実機テストの対象で、残りの10項目はドキュメント評価で確認します。
設計書や仕様書で満たしていることを示すだけでなく、実際の製品で動作を確かめる項目があるということです。自社製品が各項目をどこまで満たしているかを、どの項目が実機テストを要するかとあわせて設計資料と実機の両面から点検しておくと、後述する取得実務がスムーズになります。
自己適合宣言（★1・★2）と第三者認証（★3・★4）の違い
★1と★2は、適合基準・評価手順にもとづいてベンダー自身が自己評価を行い、その結果を記載したチェックリストにもとづいてIPAが適合ラベルを付与する「自己適合宣言」方式です。これに対し★3と★4は、独立した第三者評価機関の評価報告書にもとづいてIPAが認証・ラベルを付与します。
★1が自己適合宣言であることは、取得のハードルを下げる一方で、「★1適合」という表示を外から確かめにくいという面も残します。そのため、後述するIPAの取得製品リストで裏取りする観点が大切になります。
ラベルの有効期間（2年）と更新・継続対応
★1の適合ラベルの有効期間は、発行日から2年間です（申請すれば2年以内の有効期間を設定することもできます）。取得して終わりではなく、有効期間の満了にあわせた更新や、設置後も続く脆弱性への対応・ソフトウェア更新を前提に、運用の体制を整えておく必要があります。
出典・参考資料（1件）
- 出典：★1（レベル1）適合基準・評価手法（1.1版）｜情報処理推進機構（IPA）（PDF）
一括ダウンロードする
★1を取るために何を検証・証明するか（取得実務）
ここからは、製品を作る側（メーカー）が★1を取得する実務を扱います。調達側で「どの製品が★1を取得済みか」を確認したい場合は、後述の適合製品リストの見方が答えになります。
取得実務は、制度解説ではあまり踏み込まれない部分です。★1は自己適合宣言とはいえ、16項目を満たしていることを自ら評価し、その根拠を残す必要があります。ここからは、実際に何を検証し、どう証明すればよいのかを整理します。
★1要件の評価手法と、客観的根拠づくりに有効な検証手段
まず押さえておきたいのは、IPAの適合基準が規定している評価手法は「ドキュメント評価」と「実機テスト」である、という点です。そのうえで、攻撃面の最小化を評価する項目（S1.1-13）では、脆弱性スキャンツールによる既知の脆弱性検査が明示的に求められています。
IoT 製品に対して脆弱性スキャンツールによる既知の脆弱性検査を実施し、攻撃に悪用される可能性がある脆弱性が検出されないこと。
出典：★1（レベル1）適合基準・評価手法（1.1版）S1.1-13｜情報処理推進機構（IPA）
脆弱性スキャン（脆弱性診断）は、このように適合基準に名指しで登場する検証手段です。一方で、ファジングやソフトウェア部品表（SBOM）、ペネトレーションテストといった手法は、適合基準の要求語としては登場しません。これらは「IPAが義務づける検証手段」ではなく、自己適合宣言の客観的な根拠をベンダー側で整えるために有効な手段、という位置づけで捉えるのが正確です。
次の表は、★1要件の評価と、根拠づくりに役立つ検証手段を整理したものです。
| 検証・評価の手段 | ドキュメント評価 | 実機テスト | 脆弱性スキャン（脆弱性診断） | ファジング | ソフトウェア部品表（SBOM） | ペネトレーションテスト |
|---|---|---|---|---|---|---|
| 位置づけ | IPA適合基準が規定する評価手法 | IPA適合基準が規定する評価手法（16項目中6項目が対象） | 適合基準S1.1-13で名指し（実機テスト） | ベンダー側で客観的根拠を作る手段（要求語ではない） | ベンダー側で客観的根拠を作る手段（要求語ではない） | ベンダー側で客観的根拠を作る手段（要求語ではない） |
| 何を確かめるか | 設計・仕様が16項目を満たすことを文書で確認 | 実際の製品で要件を満たすかを確認 | 既知の脆弱性・不要なインタフェースが残っていないか | 想定外入力に対する堅牢性 | 構成部品と既知脆弱性の対応づけ | 攻撃者視点での侵入可能性 |
IPA「★1（レベル1）適合基準・評価手法（1.1版）」にもとづく。ファジング・SBOM・ペネトレーションテストは適合基準の要求語ではなく、根拠づくりに有効な手段として整理。
自己適合宣言の客観的根拠（診断レポート・検証記録）の整え方
自己適合宣言では、チェックリストに「満たしている」と記すだけでなく、その判断を支える記録を残しておくことが、宣言の信頼性につながります。たとえば、脆弱性スキャンの結果レポート、実機テストの記録、ソフトウェア更新や脆弱性報告の受付体制を示す資料などです。これらは社内で誰がいつ実施したかを含めて整えておくと、後の更新申請や問い合わせにも対応しやすくなります。
自社に実機テストや脆弱性スキャンの環境が揃っていない場合は、IoT機器・組込み機器の診断に対応したセキュリティ診断サービスへ委託する選択肢があります。どの項目を自社で検証し、どこを外部に頼むかを切り分けておくと、取得までの段取りを立てやすくなります。
IPAサーベイランス（宣言の裏取り）への備え
自己適合宣言方式では、宣言した内容が実態と合っているかを後から確かめられる場面に備えておくことも大切です。検証の記録やエビデンスを体系立てて保管しておけば、宣言の根拠を求められたときに速やかに示せます。取得時に一度整えた検証記録を、有効期間中の更新や製品改修のたびに更新していく運用にしておくと、継続的な対応の負担を抑えられます。
出典・参考資料（1件）
- 出典：★1（レベル1）適合基準・評価手法（1.1版）S1.1-13｜情報処理推進機構（IPA）（PDF）
取得状況の確認：IPA適合製品リストの見方
自社製品や調達候補の機器が★1を取得済みかは、IPAが公開している「適合ラベル取得製品リスト」で確認できます。2026年11月6日時点のリストでは、登録件数は386件で、いずれも★1です。制度解説記事でよく引用される「355件」は2026年10月1日時点の数字で、リストは随時更新されています。
件数・型式単位での照合
リストは「登録番号」「ラベル取得事業者」「製品名称」「レベル」「ステータス」「ラベル取得日」「有効期間」の列で構成されています。型式専用の列はなく、型番は製品名称の欄に併記される形です。調達候補が★1を取得しているかは、製品名称と型番をリストで照合して確認できます。有効期間の列を見れば、取得日から2年の期間も確認できます。
実際の掲載例を挙げると、2026年11月6日版のリストには、日本電気（NEC）の「UNIVERGE QX-S900Mシリーズ」が★1・ステータス「有効」・取得日2026年10月30日・有効期間2028年10月29日として登録されています。このように、1件ごとに取得日と有効期間（取得日から2年）が明記されているため、調達候補の型番がいつまで有効かも同じリストで確認できます。
自社・競合の掲載状況と、未取得メーカーの扱い
★1は自己適合宣言のため、「★1適合」という表示はこのリストで裏取りするのが確実です。注意したいのは、メーカー別の取得・未取得は時点によって変わる点です。あるメーカーがリストに見当たらないときも、「未取得と断定する」のではなく「◯年◯月時点のリストでは確認できない」という時点つきの読み方が適切です。
また、要件化を控えて申請が増えると取得に時間がかかることも見込まれるため、2027年の案件を抱える場合は、早めにスケジュールを引いておくと安心です。
出典・参考資料（1件）
- 出典：適合ラベル取得製品リスト（2026年11月6日版）｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/jc-star/list/jc-star-product-list/index.html）
補助金・政府調達・ERABによる先行必須化（電力分野で先に起きたこと）
「任意なのに、なぜ電力分野で先に実質必須になるのか」という疑問には、系統連系の要件化以外にも、すでに★1取得が事実上の前提になりつつある経路があることが答えになります。
なぜ電力分野で先に要件化されるのか
背景には、再生可能エネルギー設備がサイバー攻撃の標的になった事例があります。2024年5月には、太陽光発電設備向けの遠隔監視機器の約800台がサイバー攻撃を受け、インターネットバンキングの不正送金に悪用されました。多数の設備が系統につながる電力分野で、通信機能を持つ機器のセキュリティを底上げする必要性が高まったことが、早期の要件化につながっています。
出典・参考資料（1件）
- 出典：分散型電源のサイバーセキュリティ対策の要件化について｜第20回グリッドコード検討会 資料5（2025年12月16日）、電力広域的運営推進機関（OCCTO）（https://www.occto.or.jp/assets/iinkai/gridcode/20/gridcode_20_05.pdf）
経路1：補助金の要件化
蓄電池やVPP（仮想発電所）・DR（デマンドレスポンス）関連の補助金では、対象機器の要件にJC-STAR適合が組み込まれる動きがあります。補助金の活用を前提に導入を進める場合、★1取得が実質的な条件になり得るということです。公募要領は年度ごとに更新されるため、最新の要件は各補助金の公募要領で確認が必要です。
経路2：政府調達での基準化
政府機関等の調達では、IoT機器について、JC-STARの登録状況を選定基準に含めることが求められています。IPAの資料には、次のように記されています。
IoT 機器等については、対象機器の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の登録状況と以下の観点を踏まえて、当該制度を選定基準に含めること。
出典：JC-STAR活用に向けた取り組み（政府機関等の対策基準 基本対策事項4.3.1）｜情報処理推進機構（IPA）
重要度が「低」のIoT機器は★1取得製品群から、「中」から「高」は★1以上を取得した製品群から選定する、という運用です。政府調達に関わる製品では、★1の有無が受注の分かれ目になり得ます。
経路3：ERABガイドラインによる先行必須化
エネルギー・リソース・アグリゲーション・ビジネス（ERAB）のサイバーセキュリティガイドラインVer3.0（2025年5月22日改定）では、アグリゲーターと制御対象機器をつなぐインタフェースなどについて、★1以上を満たす製品の選択が求められています。表現の強さは箇所によって分かれ、一部は「勧告」、一部は「推奨」とされています。
「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」が定める適合基準である★１（レベル１）以上※を満たす製品を選択すること。
出典：エネルギー・リソース・アグリゲーション・ビジネスに関するサイバーセキュリティガイドライン Ver3.0 3.6.4（2025年5月22日改定）｜経済産業省・IPA
系統連系の要件化（2027年〜）に先行して、補助金・政府調達・ERABガイドラインという複数の経路で★1取得が前提になりつつあるのが現状です。「任意だが実質必須」という表現は、こうした複数の経路を踏まえたものです。
出典・参考資料（3件）
- 出典：分散型電源のサイバーセキュリティ対策の要件化について｜第20回グリッドコード検討会 資料5（2025年12月16日）、電力広域的運営推進機関（OCCTO）（https://www.occto.or.jp/assets/iinkai/gridcode/20/gridcode_20_05.pdf）
- 出典：JC-STAR活用に向けた取り組み｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/jc-star/leverage.html）
- 出典：エネルギー・リソース・アグリゲーション・ビジネスに関するサイバーセキュリティガイドライン Ver3.0（2025年5月22日）、経済産業省・IPA（PDF）
電力分野の次はどこか：他分野への波及と国際制度（CRA／PSTI／CLS）
電力分野で先行する要件化は、JC-STAR全体の位置づけを考えると、他の分野にとっても無関係ではありません。自社の分野に波及するのか、海外の制度とどう関わるのかを見通しておきましょう。
通信機器・ネットワークカメラ・医療・車載などへの波及
JC-STARはもともと電力に限った制度ではなく、IoT製品全般を対象とする適合評価制度です。政府調達の選定基準や賛同団体を通じた広がりも進んでおり、電力分野はその中で「最初に要件化が具体化した領域」という位置づけです。
通信機器やネットワークカメラ、医療・車載など、ネットワークにつながる製品を手がける事業者にとっては、電力分野での要件化が先行事例となり、自分の分野でも調達条件として★1が意識される可能性があります。現時点で確定しているのは電力分野の系統連系要件ですが、政府調達・補助金の動きを自分の分野に当てはめて見通しを立てておくと、対応が後手に回りません。
CRA・英国PSTI・シンガポールCLSとの関係（★1取得≠CRA対応）
海外にも、IoT製品のセキュリティを求める制度があります。JC-STARは、2026年1月より英国PSTI法（製品セキュリティ・通信インフラ法）と、同年6月よりシンガポールのCLS（サイバーセキュリティ・ラベリング・スキーム）と相互承認を開始しています。★1の適合基準は、英国PSTI法の3つの技術基準やCLSレベル1の技術基準の一部と同等とみなすことで合意されています。
一方、EUのサイバーレジリエンス法（CRA）とは、相互承認の関係にはありません。CRAは2024年12月に発効し、2026年9月から脆弱性・インシデント報告義務が、2027年12月から主要なサイバーセキュリティ要件が適用される予定の、独立した規制です。
2026年10月には、JC-STARとCRAの技術比較に向けた作業部会の協力覚書が署名され、両制度の比較・分析が始まった段階です。したがって「★1を取得すればCRA対応も済む」とは言えません。両者は別の制度として、それぞれ対応を考える必要があります。
ただし、★1の適合基準は国際標準（ETSI EN 303 645やNISTIR 8425、EU-CRAなど）の要件を踏まえて設計されています。脆弱性検査やSBOMの整備といった検証を一度行えば、その記録を複数の制度への対応エビデンスとして活かせる余地があります。制度ごとに一から検証し直すのではなく、どこまで共通化できるかを設計の段階で意識しておくと、コストを抑えやすくなります。
出典・参考資料（2件）
- 出典：JC-STARとEUサイバーレジリエンス法（CRA）の制度比較に向けた日EU協力が本格化します（2026年11月4日）、経済産業省（https://www.meti.go.jp/press/2026/11/20261104002.html）
- 出典：JC-STAR活用に向けた取り組み（国際連携・相互承認）｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/jc-star/leverage.html）
★1適合に向けたセキュリティ診断で弱点を洗い出す
ここからは、★1の取得準備を進めるうえで役立つ、IoT機器・組込み機器に対応したセキュリティ診断サービスを紹介します。★1の16項目のうち実機テストが求められる項目や、攻撃面の最小化（脆弱性スキャン）など、自社だけで環境を整えにくい検証を外部に委ねることで、適合のギャップを洗い出し、自己適合宣言の客観的な根拠を整えやすくなります。
以下の並びはサービスの優劣を示すものではありません。自社のニーズがIoT機器・組込み機器そのものの実機診断にある場合は、比較表の「IoT・組込み／ハードウェア診断」列を見比べて選ぶのが確実です。まずは各サービスの特徴を一覧で比較します。
| サービス名 | Hi AUDIT | GMOサイバーセキュリティ byイエラエ | セキュリティ診断（NRIセキュア） | 脆弱性診断・セキュリティ診断（ラック） | セキュリティ診断（NTTセキュリティ・ジャパン） |
|---|---|---|---|---|---|
| 運営会社 | 株式会社TECHFUND | GMOサイバーセキュリティ byイエラエ株式会社 | NRIセキュアテクノロジーズ株式会社 | 株式会社ラック | エヌ・ティ・ティ・セキュリティ・ジャパン株式会社 |
| 診断方式 | ハイブリッド（自動診断＋専門家の手動監査） | ハイブリッド（手動主体＋ツールASM） | ハイブリッド（手動主体） | ハイブリッド（手動主体） | 専門家＋複数ツール（セルフ診断も選択可） |
| IoT・組込み／ハードウェア診断 | △対応領域の一つ（主力はスマートコントラクト監査） | ●IoTデバイスペネトレーションテスト（ハードウェア・ソフトウェア解析） | ●デバイス・セキュリティ診断（ファジング等の実機評価） | ●IoTデバイスペネトレーションテスト | ●IoTプロダクトセキュリティ（分解・内部解析も） |
| ペネトレーションテスト | ●Webアプリ等で実績 | ●IoT・Web・レッドチーム等 | ●ペネトレ・レッドチーム | ●ペネトレ・IoT・TLPT | ●RedTeam/TLPT・IoT領域 |
| 主な診断対象 | スマートコントラクト／Web・アプリ／IoT機器・医療機器 | Web／スマホ／クラウド／ネットワーク／IoT／ブロックチェーン／AI | Web／プラットフォーム／スマホ／API／クラウド／ソースコード／IoT・OT／AI | Web／プラットフォーム／クラウド／スマホ／無線LAN／IoT／生成AI | Web／プラットフォーム／IoT・OT（制御システム） |
| 料金目安 | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） | 要お問い合わせ（個別見積） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. Hi AUDIT（株式会社TECHFUND）
株式会社TECHFUNDが「Hi AUDIT」ブランドで展開するセキュリティ診断サービスです。Web3のスマートコントラクト監査を中核としつつ、WebサービスやアプリケーションのほかIoT機器・医療機器といったハードウェアに対しても、セキュリティ上のリスクを発見する診断に対応しています。
業界ごとの要件に合わせた診断の実績を強みとしており、★1で求められる実機テストのうち自社で環境を整えにくい部分を委ねたいメーカーにとって、相談しやすい選択肢です。
AI監査ツールによる自動検出と、専門家による手動監査を組み合わせるハイブリッド方式を採っています。資料のダウンロードやミーティング予約から、自社製品のどこを検証すべきかを相談できます。
★1のように規制・認証の要件を製品が満たしているかを第三者に確かめたいという相談が、診断の現場にも寄せられていることを、提供元の生田氏はインタビューで次のように話しています。
また、業界特有の規制や要件といった特殊なリクエストにも対応可能です。最近では、製造業で欧州に出荷する企業様から、欧州独自の規制に対応できるかというご相談もよくいただいています。要求事項を出したうえで、すべてに対応できているかをチェックできます。
2. GMOサイバーセキュリティ byイエラエ
国内のホワイトハッカーを多数擁し、手動主体の脆弱性診断・ペネトレーションテストを提供するサイバーセキュリティ専門企業です。診断メニューにはIoTデバイスのペネトレーションテスト（ハードウェア解析・ソフトウェア解析・インタフェーステスト）が含まれ、組込み機器の実機レベルの検証に踏み込める点が、JC-STAR★1の取得準備と相性の良い特徴です。
Webアプリケーション・スマホアプリ・クラウド・ネットワークなど幅広い診断に加え、攻撃者視点のペネトレーションテストまで一社でカバーできます。自社製品の攻撃面を実機で洗い出し、自己適合宣言の根拠となる検証記録を整えたい場面で活用できます。
3. セキュリティ診断（NRIセキュアテクノロジーズ）
NRIグループのセキュリティ専業会社による、手動主体のセキュリティ診断・ペネトレーションテスト群です。公式のサービス一覧には「IoT/OT（制御技術）セキュリティ診断」の区分があり、ファームウェアや組込みを含むソフトウェア製品を対象にした脆弱性診断にも対応します。SBOMの情報をもとに範囲を精査するメニューもあり、★1の要件確認とあわせて検証エビデンスを整えたいメーカーに向きます。
Webアプリ・プラットフォーム・クラウド設定・ソースコードなど診断対象が幅広く、国際資格を持つ専門家による手動診断を主体とする点が特徴です。製品の性質に合わせて診断範囲を設計してもらえます。
4. 脆弱性診断・セキュリティ診断サービス（ラック）
株式会社ラックが提供する脆弱性診断・セキュリティ診断サービス群です。脆弱性を網羅的に洗い出す脆弱性診断と、攻撃シナリオで実際の影響を確かめるペネトレーションテストを区別して提供し、メニューにはIoTペネトレーションテストも含まれます。診断に加え、JSOC（監視）やサイバー救急センター（インシデント対応）を同じベンダーで組み合わせられる点も、運用まで見据えたメーカーには利点になります。
対象はWebアプリ・サーバ/ネットワーク機器・スマホアプリ・クラウド設定など幅広く、★1取得後の継続的な脆弱性対応まで相談しやすい体制です。
5. セキュリティ診断（NTTセキュリティ・ジャパン）
NTTセキュリティ・ジャパンのセキュリティ診断で、IoTプロダクトセキュリティの専門メニューを備えています。ドローン・カメラ・自立制御ロボット・工場向け制御システムといったIoT機器を対象に、脅威分析・脆弱性診断・ペネトレーションテスト・通信解析（プロトコル解析やパケットキャプチャ）まで対応し、必要に応じて機器を分解して内部解析を行う場合もあります。
製造業・インフラ・スマートデバイス分野の機器を手がける事業者に向いた診断です。
OTセキュリティの領域も扱っており、制御システムを含む機器の弱点を実機で洗い出したい場面で、★1適合に向けた検証を相談できます。
ここで取り上げたのはIoT機器・組込み機器の診断に対応するサービスですが、脆弱性診断の方法や費用相場、依頼先の選び方をより広く比較したい場合は、次の記事で診断サービス全体を整理しています。自社に合う診断の進め方を見極める際にあわせて参照してください。
まとめ
JC-STARの「義務化」は、制度そのものが任意である一方、電力分野の系統連系では2027年4月以降、対象機器に★1取得製品の使用が実質的に求められる、という構図でした。太陽光・蓄電池は特別高圧・高圧が2027年4月、低圧50kW未満が2027年10月、風力は2027年4月、燃料電池は2028年4月が改定案での見通しで、起点は系統アクセスの契約申込みです。
ただし条文・規程は未公布で、確定は公布後になります。
自社製品が対象かは、IP通信機能と制御への関与の2軸で判定し、除外規定の非対称性や拡張規定まで踏まえて確認する必要があります。★1では16項目を満たし、自己適合宣言とその客観的な根拠（脆弱性スキャンなどの検証記録）を整えることが求められます。
補助金・政府調達・ERABガイドラインを通じて、系統連系の要件化に先行して★1取得が前提になりつつあり、電力以外の分野や海外制度（CRA・PSTI・CLS）への目配りも欠かせません。まずは自社製品が対象かを判定し、★1の16項目とのギャップを洗い出すところから始めるのが、確実な一歩です。
一括ダウンロードする
よくある質問（FAQ）
Q. JC-STARとは何ですか？
A. JC-STARは、IoT製品のセキュリティ機能を国の共通基準で評価し、★1〜★4のラベルで見える化するIPA（情報処理推進機構）の適合評価制度です。正式名称は「セキュリティ要件適合評価及びラベリング制度」で、2025年3月から運用されています。製品ベンダーが要件への適合を自ら宣言する★1・★2と、独立した第三者機関が評価する★3・★4に分かれます。
Q. JC-STARは義務化されるのですか？
A. JC-STARは制度そのものは任意ですが、電力分野では実質的に必須になる見通しです。系統連系の技術要件（グリッドコード）の改定にあわせ、2027年4月以降に系統へつなぐ太陽光・蓄電池の対象機器には、★1を取得した製品の使用が求められる方向で整理されています。
ただし条文・規程は2026年11月時点で未公布の改定案段階にあり、確定は公布後です（第21回グリッドコード検討会 資料4、電力広域的運営推進機関）。
Q. JC-STARの★1はいつから必要になりますか？
A. 改定案での適用開始の見通しは、太陽光・蓄電池が特別高圧・高圧で2027年4月、低圧50kW未満で2027年10月、風力が2027年4月、燃料電池が2028年4月です。低圧が半年遅いのは、メーカーが★1取得製品へ切り替えた後も流通網に残る旧製品の在庫消化に配慮した経過措置とされています。
いずれも入口は★1で、電源種別による★レベルの差は設けられていません（第21回グリッドコード検討会 資料4）。
Q. JC-STARの適用の起点は「連系日」と「系統アクセスの契約申込み」のどちらですか？
A. 改定案では、連系する日ではなく、系統アクセスの契約申込みを行う時点がJC-STAR要件化の起点とされています。政策の説明資料には「新規に系統に接続される」という連系寄りの表現も見られますが、改定案の文言は「契約申込み」が起点です。両者を取り違えると、適用されるかどうかの判断がずれます。
条文は未公布で、具体的な基準日は各一般送配電事業者の系統アクセスルールに委ねられる部分があるため、個別の案件は系統アクセスルールと納入先に確認するのが確実です。
Q. 自社の機器がJC-STARの対象かはどう判断すればよいですか？
A. JC-STARの電力分野での対象かは、「IP通信の機能を持つか」と「発電等設備の制御に関与するか」の2軸で判断します。PCS・EMS・制御装置・ゲートウェイ・遠隔監視装置は対象、蓄電池セル／パック本体や、一般用電気工作物のインターネット接続用ルータ・ゲートウェイ等を介する監視カメラは対象外が原則です。
ただし、制御機能を持つ機器や主要な構成製品と直接つながる機器は対象に引き戻されるなど除外規定が一律でないため、境界線上の製品は改定案への当てはめだけで決めず、一般送配電事業者・納入先に確認してください（第21回グリッドコード検討会 資料4 p.9）。
Q. JC-STARの★1と★3は何が違いますか？
A. JC-STARの★1と★3の最大の違いは評価の主体で、★1は事業者自身による自己適合宣言、★3は独立した第三者機関による認証です。評価方式は★1・★2が自己適合宣言、★3・★4が第三者認証という区分で、★3以上は重要インフラ向けなど製品類型ごとに定められた要件にもとづいて評価されます。電力分野の系統連系で求められるのは、入口にあたる★1です。
Q. JC-STAR★1の適合ラベルの有効期間はどのくらいですか？
A. JC-STAR★1の適合ラベルの有効期間は、発行日から2年間です（申請すれば2年以内の期間を設定することもできます）。取得して終わりではなく、有効期間の満了にあわせた更新と、設置後も続く脆弱性への対応・ソフトウェア更新を前提に、運用の体制を整えておく必要があります（IPA「★1（レベル1）適合基準・評価手法」）。
Q. JC-STARは既設の機器や交換する機器も対象になりますか？
A. JC-STARの要件化は「該当時期以降に系統アクセスの契約申込みを行う案件」から適用されるため、それ以前に申込みを行った案件や稼働中の既設設備は、原則として対象外と読めます。一方で、既設機器の増設・交換や、どこまで遡って適用されるかといった細部は、改定案・検討会の段階でも確定していません。
現時点で確定しているとは言えないため、個別の案件は一般送配電事業者・納入先に確認することをおすすめします。
Q. 海外製のPCSや蓄電池はJC-STARの対象になり、使えなくなりますか？
A. 蓄電池セル・パック本体は対象外のため海外製バッテリーの採用自体は制約を受けませんが、通信機能を持つPCS・EMS・ゲートウェイは★1取得が問われます。海外メーカーでも★1を取得している製品があります。
PCSが★1未取得の場合に、★1認証済みのEMS／ゲートウェイを外部通信の関所とする構成が考えられます。ただし改定案はIP通信機能を持つ制御機器を対象とし、ゲートウェイを介さず主要製品と連携する機器や制御機能を持つ機器は対象に引き戻す拡張規定があるため、この構成で対象を外せるかは一概に言えません。個別の構成は一般送配電事業者・納入先に確認してください。
自社の構成が対象になるかは、機器ごとに取得状況を確認したうえで判断する必要があります。
Q. ある機器がJC-STAR★1を取得済みかはどこで確認できますか？
A. JC-STAR★1の取得状況は、IPAが公開する「適合ラベル取得製品リスト」で、製品名称と型番を照合して確認できます。★1は自己適合宣言方式のため、「★1適合」という表示はこのリストで裏取りするのが確実です。リストに見当たらないメーカーも「未取得」と断定せず、「◯年◯月時点のリストでは確認できない」という時点つきで読むのが適切です。
要件化を控えて申請が増えると取得に時間がかかることも見込まれるため、2027年の案件は早めに準備するのが安心です（IPA「適合ラベル取得製品リスト」）。
Q. JC-STAR★1を取得すればEUのサイバーレジリエンス法（CRA）にも対応できますか？
A. JC-STAR★1の取得は、EUのCRAへの対応を兼ねるものではありません。JC-STARは英国PSTI法（2026年1月〜）・シンガポールCLS（2026年6月〜）とは相互承認を開始していますが、CRAとは相互承認の関係になく、2026年10月に技術比較の作業部会が始まった段階です。
ただし★1の適合基準は国際標準（ETSI EN 303 645やNISTIR 8425など）を踏まえており、脆弱性検査やSBOMの整備といった検証の記録は、複数制度への対応エビデンスとして活かせる余地があります（経済産業省プレス、IPA）。
Q. JC-STAR★1を取得するには何を検証・証明すればよいですか？
A. JC-STAR★1では、16項目について「ドキュメント評価」と「実機テスト」で適合を自己評価し、その根拠を記録として残す必要があります。攻撃面の最小化を評価する項目では脆弱性スキャン（脆弱性診断）が適合基準に名指しで求められており、ファジングやSBOM、ペネトレーションテストは適合基準の要求語ではないものの、自己適合宣言の客観的な根拠づくりに有効な手段です。
自社に実機テストや脆弱性スキャンの環境が揃っていない場合は、IoT機器・組込み機器に対応したセキュリティ診断サービスへの委託も選択肢になります（IPA「★1（レベル1）適合基準・評価手法」S1.1-13）。
Q. 系統連系の要件化以外に、JC-STAR★1が実質的に求められる場面はありますか？
A. JC-STAR★1は、系統連系の要件化に先行して、補助金・政府調達・ERABガイドラインという複数の経路で事実上の前提になりつつあります。蓄電池やVPP・DR関連の補助金で適合が要件に組み込まれる動き、政府機関等の調達での選定基準化、ERABサイバーセキュリティガイドラインVer3.0での★1以上の製品選択の要求などがその例です。
「任意だが実質必須」という表現は、これら複数の経路を踏まえたものです（IPA「JC-STAR活用に向けた取り組み」、経済産業省・IPA「ERABに関するサイバーセキュリティガイドライン Ver3.0」）。
IoT機器のセキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、IoT機器・組込み機器に対応したセキュリティ診断サービスの最新資料を無料で一括請求できます。★1適合のギャップ検証や取得支援の対応範囲を、まとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
