政府当局による中国IT製品の排除？―地方自治体及び基幹インフラ事業者におけるサイバーセキュリティ強化及びJC-STAR・ISMAP認証について

(1) サプライチェーン・リスク対策の必要性

　国の行政機関においては、2018年12月の関係省庁申合せ「IT調達に係る国等の物品等又は役務の調達方針及び調達手続に関する申合せ」（以下「本申合せ」）により、重要業務に係る情報システム・機器・役務等の調達におけるサプライチェーン・リスクへの対応が進められてきました。本申合せは、政府機関等において特に防護すべき情報システム・機器・役務等に関する調達の基本的な方針及び手続を定めるものであり、対象となる調達については、サイバーセキュリティ確保の観点から、仕様条件の決定や事業者の選定のために必要な情報を事業者からの提案書及び事業者への質問票等により取得することとされています。

　一方、地方公共団体においては、サプライチェーン・リスク対策への意識醸成が途上であるとともに、最新のインテリジェンスや高度な情報網を駆使してリスクを的確に判断し、実効的な調達管理を行う体制が多くの団体で整っていないことが課題として指摘されてきました。国と地方公共団体の情報システムは、ネットワークを通じて相互接続しており、万が一、地方公共団体の情報システムのサプライチェーン上の脆弱性を突いたインシデントが発生した場合、その被害が政府機関へと波及する蓋然性が高いことから、政府機関と歩調を合わせたサプライチェーン・リスク対策の実施が必要であるとされています。

(2) WG報告書における提言

　2026年4月20日に公表された「地方公共団体におけるサイバーセキュリティに関する支援策及び実効性確保の検討に係るワーキンググループ報告書」（以下「WG報告書」）は、地方公共団体における情報セキュリティ対策を強化し、全国的に一定の水準を確保することを目的としたものです。

　WG報告書は、地方公共団体が管理する住民情報や税務データといった機密情報が流出した場合、住民生活に対する甚大な被害だけでなく、行政全体への信頼失墜を招くこと、また、水道、電力、交通、医療といった重要インフラに関わるシステムが攻撃を受けた場合、地域社会の機能停止という最悪の事態を引き起こしかねず、このような懸念を踏まえると、住民の生活を支える基盤である地方公共団体におけるサイバーセキュリティ対策の強化が喫緊の課題であると指摘しています。その上で、以下の三つの方向性で実効性確保に向けた取組を推進していく必要があるとしています。

　第一に、「国等による支援」として、地方公共団体単独では導入・運用が困難な高度なセキュリティ基盤や専門的サービスについて、国が主導して提供する枠組みの整備が提言されています。第二に、「改正地方自治法に基づき地方公共団体が講ずべきサイバーセキュリティ対策の細目化」として、対策の確実な実施を担保するため、地方公共団体が講ずべき措置を細目化し、明確な基準として示すべきとされています。第三に、「対策実施状況のフォローアップと評価」として、総務省や外部機関による定期的な監査やセキュリティ評価の導入が提言されています。

　サプライチェーン・リスク対策については、WG報告書において、細目化項目の中にサプライチェーン・リスク対策に係る事項を取り込んで定めることによって、地方公共団体における経済安全保障対策の実施を徹底すべきとされています。また、地方公共団体が、実際の調達に当たって経済安保上懸念のある製品を納入しないことを契約先の事業者に保証・宣言を求めるとともに、契約違反の際の制裁措置等についてもセットで準備をしておく等の対応も考えられるとしています。

(3) 改正地方自治法による法的義務と総務省令による具体化

　2024年6月に成立した改正地方自治法は、地方公共団体が情報システムを利用する際に、サイバーセキュリティの確保等「適正な利用を図るために必要な措置」を講じる義務を課しております（改正地方自治法244条の5第2項）。もっとも、これまでは自治体が「必要な措置」として、具体的に何をすべきかが必ずしも明確ではありませんでした。報道※3によれば、総務省は、WG報告書を踏まえ、意見募集を経て2026年6月にも地方自治法施行規則を改正する総務省令を制定・改正し、自治体が取り組むべき対策の骨子を示すとともに、その具体的な対策方法を別途作成する自治体向けガイドラインで示すという立て付けを採る予定とされています。具体的には、総務省令において、サプライチェーン・リスク対策に加えて、「組織体制」「情報資産の分類と管理」「物理的セキュリティ」「人的セキュリティ」「技術的セキュリティ」の5分野を対策すべき項目として定める考えとされています。

(4) 小括：総務省令の制定・改正により地方自治体による中国製品の調達は排除されるか

　この点、上記総務省令の制定・改正により、地方自治体はJC-STAR認証又はISMAP認証を得た製品のみ調達することが義務付けられ、その場合、現時点では基準を満たす中国製機器は確認されていないことから、事実上、中国製IT製品が地方自治体の調達から排除される可能性があるとの指摘もなされています。もっとも、報道によれば、これに対して、総務省は「製造国や認証制度で機器を制約することはない」として、中国製品の排除を目的とすることを否定しているとのことです。

　むしろ、総務省としては、調達先のサイバーセキュリティリスクに対して調査・管理が十分にできない自治体に対して、①JC-STAR認証又はISMAP認証の対象となっている製品については、参考情報として国の認証を取得している機器やサービスを選考する方法に関する助言を行い、②パソコン等の認証の対象外となる製品については、原則として各自治体の判断に委ねられるとのことですが、迷う場合は、総務省が今後新設する総合相談窓口への相談を呼びかける方針を示しているとのことです。

　したがって、仮に報道通りの総務省令が制定・改正された場合、その内容は、地方自治体に対して、中国等の特定国からのIT機器を調達することを禁止する強い義務を課すのではなく、情報の窃取・破壊等のサイバーセキュリティリスクのある機器や情報システムを調達しないよう、地方自治体に対して調達の調査や管理を求める義務を課し、当該調査及び管理を総務省として補助する方針のものになると予想されます。

(1) JC-STAR（IoT製品セキュリティ適合性評価制度）

　JC-STARは、諸外国の制度・取組も参考にしつつ、IoT製品を広く対象とした任意の適合性評価制度です。IoT製品共通の最低限の脅威に対応するための基準（★1）及びIoT製品類型ごとの特徴に応じた基準（★2、★3及び★4）を定め、求められるセキュリティ水準に応じた複数の適合性評価レベルが設けられています。

　制度の目的のひとつに、政府機関や企業等で調達する製品について、共通的な物差しでIoT製品のセキュリティを評価・可視化できるようにすることで、各組織の求めるセキュリティ水準を満たしたIoT製品の選定・調達を容易にすることが掲げられています。2025年3月に運用が開始され、現時点では約200製品が登録されています。登録されている製品は、通信機器（ルーター、Wi-Fiルーター、ハブ・スイッチ等）、生活家電（掃除機、洗濯機、冷蔵庫等）、エネルギー関連機器（エネファーム、PCS、ガス給湯器等）等です。世界的に見て中国企業の競争力が強いとされている太陽光・蓄電池分野、家電分野の製品も多く登録されていますが、中国企業の製品は現時点で登録されていません。

　JC-STARの認証（適合ラベル付与）の流れは、申請するレベルによって異なり、一般的民需製品を想定した★1及び★2は自己適合宣言に基づく付与、政府機関・重要インフラ事業者向けの製品を想定した★3及び★4は第三者による評価・認証に基づく付与に大別されます。

　自己適合宣言（★1・★2）の場合、①IoT製品ベンダーが、適合基準・評価手順に従って自ら適合評価を行い、チェックリストを作成し（外部の評価機関・検証事業者への委託も可能）、②当該チェックリストを添えて独立行政法人情報処理推進機構（IPA）に適合ラベルを申請し、③IPAによる確認を経て適合ラベルが付与されます。この場合、申請時に証跡（エビデンス）の提出は不要ですが、有効期間中はベンダーに証跡の保管義務があり、適合性に疑義が生じた場合にはIPAによる検査・サーベイランスを経て適合ラベルが取り消されることがあります。他方、第三者認証（★3・★4）の場合、①IoT製品ベンダーがIPAに申請を行い、②ベンダーが選択したJC-STAR評価機関が、適合基準・評価手順に従って評価を行い、評価報告書をIPAに提出し、③IPAが当該報告書を確認・認証した上で適合ラベルが付与されます。なお、適合ラベルの有効期間は、レベルを問わず発行日から最大2年間とされています。

(2) ISMAP（政府情報システムのためのセキュリティ評価制度）

　ISMAPは、政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、もってクラウドサービスの円滑な導入に資することを目的とした制度です。2020年6月に運用が開始されています。

　リスクの小さな業務・情報の処理に用いるSaaSサービスを対象とする仕組みの名称として、「ISMAP for Low-Impact Use: ISMAP-LIU（イスマップ エルアイユー）」があり、別途リスト化されています。2026年4月時点で、ISMAPには約100個のクラウドサービス（Google、BOXやカオナビ等）が、ISMAP-LIUには3個のクラウドサービス（Sansan等）が登録されています。

　ISMAPの制度の流れとしては、①クラウドサービス事業者がISMAP監査機関リストに登録された監査機関から情報セキュリティ対策の実施状況について監査を受け、②ISMAP運営委員会が審査し、登録が妥当と判断したクラウドサービスをISMAPクラウドサービスリストに登録し、③調達府省庁等は当該リストに掲載されているクラウドサービスの中から調達を行うという仕組みです。もっとも、政府調達におけるセキュリティ基準を担保するために取得・維持のハードルが高いこともあり、普及が進んでいない面もあります。国際規格の改訂に伴い、2025年12月に改定案が示され、制度見直しの方針が打ち出されています。

(3) 小括：中国製品が認証を取得することが困難と見られる理由

　現時点でJC-STAR又はISMAPの認証を取得した中国製品・サービスは存在しません。そのため、自力でのサプライチェーン・リスク対策が困難な自治体が認証取得済みの製品・サービスからの選定を推奨される場合には、結果として中国を含む一部の海外製品・サービスの調達が事実上制限される可能性があると指摘されています※4。

　この点、中国製品・サービスが認証を取得できていない理由として、専門評価機関の審査において高い透明性の確保が求められ、取得のハードルが高いためと説明されることがあります。

　しかし、実務上は、専門評価機関による技術的審査のみならず、政府当局によるサプライチェーン・リスクの懸念をクリアすることが困難であることも問題となります。2024年8月に経済産業省が公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」によれば、IPAは、認証取得の申請に対し、認証発行前にサプライチェーン・リスクについて経済産業省を含めた政府関係機関に照会を行い、その結果に基づき認証を付与するとされています。この照会において、政府関係機関は「IoT製品ベンダーは、申請するIoT製品のサイバーセキュリティ確保について外国の法的環境等により影響を受けるものではないか」を審査項目としており※5、この審査は、第三者認証を要する★3・★4のみならず、自己適合宣言に基づく★1・★2の製品にも適用されます。中国企業の製品・サービスについては、この審査項目をクリアすることが実務上課題になっています。

　もっとも、認証申請において、サプライチェーン・リスクをもたらす「外国の法的環境等」が具体的に何を指すのか、また、IoT製品ベンダーがどのような措置を講じればリスクを回避又は低減できるのかについては、政府当局の判断基準が明示されておりません。「法的環境等」に関して、中国のサイバーセキュリティ法、データセキュリティ法及び国家情報法等が政府当局の念頭に置かれていると推測されるものの、その詳細は不明確なままです。そのため、申請者からは、どのようにすれば「申請するIoT製品のサイバーセキュリティ確保について外国の法的環境等により影響を受けるものではない」と示すことができるかよく分からないと、困惑する意見も聞かれます。

　この点、「外国の法的環境等による影響」という文言は、関連する文脈で、2023年5月に公表された経済安全保障推進法に基づく「特定社会基盤役務の安定的な提供の確保に関する制度についての基本指針」においても用いられています。同基本指針では、基幹インフラ事業者が特定重要設備の導入・維持管理等の委託を行う場合の事前届出において、当局の審査の考慮要素として、「特定社会基盤事業者が導入等を行おうとする特定重要設備について、特定社会基盤役務の安定的な提供が妨害されるおそれに関する評価を自ら行い、その結果に応じて、リスク管理措置を講じているかどうか」を挙げています。その上で、そのリスク管理措置の例として、「特定社会基盤事業者が、特定重要設備及び構成設備の供給や委託（再委託を含む。）した重要維持管理等の適切性について、外国の法的環境等により影響を受けるものではないことを確認している。」ことが挙げられています。具体的には、特定重要設備等の供給者や委託先が、「外国の法的環境や外部の主体の指示によって、特定社会基盤事業者との契約に違反する行為が生じた可能性がある場合、これを特定社会基盤事業者に対して報告することが契約等により担保されている」のであれば、「外国の法的環境等により影響を受けるものではないことを確認している」を満たすとされています※6。

　上記基本指針における「特定重要設備の供給者や委託先」を、JC-STAR認証における「IoT製品ベンダー」に当てはめて考えると、IoT製品ベンダーが外国の法的環境等により申請対象のIoT製品のサイバーセキュリティ確保に影響を受ける可能性を認識した場合に、IPA又は政府当局に報告する旨が担保されていれば、当該審査項目において積極的に評価される考慮要素となり得るかもしれません。もっとも、この点については、先例がない以上、現時点では推測の域を出ません。

(1) 「重要電子計算機」概念の創設と適用対象

　サイバー対処能力強化法は、行政機関や基幹インフラ事業者が使用する電子計算機であって、サイバー攻撃を受けた場合に、国家及び国民の安全を害し、又は国民生活若しくは経済活動に多大な影響を及ぼすおそれがあるような一定のものを「重要電子計算機」と定義しています（サイバー対処能力強化法2条2項）。適用対象となる「基幹インフラ事業者」としては、電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、航空、空港、電気通信、放送、郵便、金融、クレジットカード、情報通信サービス等の15業種が想定されており、これらの事業者は、経済安全保障推進法に基づく特定社会基盤事業者の枠組みとも連動して規律されることになります。同法に基づき具体的な措置を講じる義務を負う「特別社会基盤事業者」（サイバー対処能力強化法2条3項）に該当するためには、①経済安全保障推進法上の特定社会基盤事業者（上記15業種に指定される者）に該当すること、及び②同法上の「特定重要電子計算機」（サイバー対処能力強化法2条2項2号、同条3項）を使用していること、の二つの要件を満たす必要があるとされています。

(2) 基幹インフラ事業者等の主な義務

　基幹インフラ事業者に課される主な義務としては、第一に、所管大臣に対する重要電子計算機の届出義務及び一定のサイバーインシデント発生時の報告義務が挙げられます（サイバー対処能力強化法4条、5条）。具体的には、基幹インフラ事業者は、特定重要電子計算機の初回導入時及び構成変更時に届出を行うとともに、同法上の「特定侵害事象」（特定不正行為により重要電子計算機のサイバーセキュリティが損なわれる事象）（サイバー対処能力強化法2条5項）の発生を認識した場合には速やかに報告を行う義務を負うとされています。インシデント報告については、被害の拡大防止及び再発防止の観点から、攻撃の手口、影響範囲、対応状況等について、政府との間で迅速に情報共有を行うことが求められる見込みです。なお、コンピュータ等の機器を基幹インフラ事業者に供給するベンダーには、同法上の協力義務は課されないものの、基幹インフラ事業者との契約上、報告に必要な協力を求められる可能性があるとされています。また、機器ベンダーからの脆弱性情報の提供・要求・収集に関する枠組みも整備される予定であり、外国ベンダーについても、内閣総理大臣又は所管大臣から、供給した製品に関する報告又は資料の提出を求められる可能性があるとされています（サイバー対処能力強化法42条2項、サイバーセキュリティ基本法7条等）。

　第二に、官民連携の枠組みとして、政府、基幹インフラ事業者、サイバーセキュリティ関連事業者等が参加する協議会（官民連携協議会）が設けられ、参加者間で脆弱性情報や攻撃事例等の機微な情報を相互に共有する仕組みが整備されます（サイバー対処能力強化法45条）。協議会の参加者には守秘義務が課され、共有された情報の適切な管理が要請されます。

　第三に、基幹インフラ事業者は、自らが管理する重要電子計算機について、所管大臣が示す基準等を踏まえた安全管理措置を講じることが求められます。

　さらに、同法は、事業者が政府（内閣総理大臣）に対して通信情報を提供し、その対価として、当該通信情報を用いた分析に基づく個別の分析結果の提供を受けるという双務的な枠組みとして、「当事者協定」の制度を設けています（サイバー対処能力強化法11条以下）。基幹インフラ事業者以外の事業者であっても、同法上の業務用電気通信役務の利用者に該当する場合には当事者協定を締結することが可能であり、外資系企業も締結の相手方となり得るとされています（サイバー対処能力強化法12条）。

(3) 通信情報の利用

　サイバー対処能力強化法は、政府が、我が国を経由する一定の通信に係る情報（通信のメタデータ等）を取得・分析することによって、サイバー攻撃の予兆や攻撃元を把握できる枠組みを設けています（サイバー対処能力強化法37条等）。通信の秘密（憲法21条2項）との関係から、対象となる情報の範囲、取得・分析の手続、保存期間、目的外利用の禁止等について厳格な制約が設けられるとともに、独立した第三者機関（サイバー通信情報監理委員会）による事前承認・事後監督が行われる仕組みが導入される予定です。

(4) アクセス・無害化措置（能動的サイバー防御）

　サイバー対処能力強化法及び同整備法は、サイバー攻撃の準備又は実行に用いられている攻撃元サーバー等に対し、警察・自衛隊等の権限ある機関が、被害発生前又は被害拡大防止のためにアクセスし、当該サーバーの機能を停止させる等の無害化措置を講じることができる枠組みを整備しています。当該措置の発動については、対象、手続、要件等が法定されるとともに、上記第三者機関による監督の対象とされる予定です。なお、同法は、その権限の行使が憲法上保障される通信の秘密に十分配慮し、必要最小限の範囲に厳格に限定されなければならないとの原則を明示しているとされています。

(5) 施行スケジュールと違反時の措置

　施行スケジュールについては、上記のとおりインシデント報告義務等の中核的規定が2026年10月1日に施行される予定とされていますが、施行日時点で既に特定重要電子計算機を導入済みの事業者については、施行日から6か月間の猶予期間が設けられており、実務上は2027年3月31日までに特定重要電子計算機の情報の届出を行えば足りるとされています。違反があった場合には、所管大臣が命令、報告徴求、指導・助言を行うことができるとされており、特別社会基盤事業者には厳格なコンプライアンスが期待されることから、機器ベンダー側においても同法の施行に向けた準備を進めることが推奨されています。

(6) 小括：地方公共団体との関係

　同整備法によりサイバーセキュリティ基本法が改正され、重要インフラ等たる地方公共団体のサイバーセキュリティ確保について、より一層の対策実施が求められることとなりました。地方公共団体についても、官民連携協議会や通信情報の利用の枠組みへの参加等を通じ、社会全体のサイバーセキュリティ向上に一定の役割を果たすことが期待されており、同協議会への参画により、総務省、事業者、地方公共団体の間における脆弱性情報や攻撃事例の共有が円滑に進むことが期待されています。地方公共団体が運営する大規模な水道事業者等は、経済安全保障推進法に基づく「基幹インフラ」として、特定重要設備の導入・更新に当たって事前の届出・審査の対象となる等、特に重要な社会基盤について、サプライチェーン・リスク対策（調達リスク対策）を徹底する法制度の整備が併せて進められています。