LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

国内で取った認証が海外で通じるかは、輸出の初期費用を大きく左右します。英国のIoT規制で、日本のJC-STARがその一つになりました。

製品セキュリティ・電気通信インフラ（関連する接続可能な製品のセキュリティ要件）（改正）（第2号）規則2025が2025年12月3日に制定され、翌12月4日に施行しました*1。2023年規則を改正し、日本のJC-STAR STAR-1とシンガポールのサイバーセキュリティ・ラベリング制度（CLS）を、みなし適合の条件として加えたものです*1。

確かめたいのは3点です。何の義務が免除されるのか、条件はどう書かれているか、どこまでが対象外のままか。順に見ていきます。

英国の義務は、製造者に課される3つの要件

まず全体像です*1*2。

土台は製品セキュリティ・電気通信インフラ法2022で、その第1部が、関連する接続可能な製品の製造者に対して、セキュリティ要件を満たすこと（第8条）と、製品に適合の宣言を添付すること（第9条）を求めています*1。要件の中身は2023年規則の別表1にあります*2。

別表1の第1項はパスワードです*2。工場出荷時の状態でない製品のハードウェアと、出荷時に導入済みのソフトウェア、そして製造者が意図する用途のすべてで導入が必要となるソフトウェアについて、パスワードは製品ごとに一意であるか、利用者が定めるものでなければなりません*2。一意のパスワードは、連番に基づくもの、公開されている情報に基づくか、そこから導かれるもの、製造番号のような固有の識別子に基づくもの（良い業界慣行として認められる暗号化や鍵付きハッシュを用いる場合を除く）、その他、良い業界慣行として受け入れられない方法で推測できるものであってはなりません*2。

第2項はセキュリティ上の問題を報告する方法の情報です*2。少なくとも1つの連絡先と、報告の受領の確認と解決までの経過の連絡をいつ受け取れるかを公表します*2。その情報は参照しやすく、明確で、透明であり、事前の請求なしに、英語で、無償で、報告者の個人情報を求めることなく提供しなければなりません*2。

第3項はセキュリティ更新の最短提供期間の情報です*2。定義された支援期間を公表し、期間を延長した場合は新しい期間を実行可能な限りすみやかに公表します*2。そして、公表した後に支援期間を短縮した場合、この要件は満たされないとされました*2。

制度の全体像は、IoT機器のセキュリティ規制の側に整理があります。この記事は、そこへ加わったみなし適合の新しい経路の話です*1。

みなし適合の条件が、1つから3つに増えた

2023年規則の別表2は、これを満たせば要件に従ったものとして扱うという条件を定めています*2。改正前は、要件ごとに条件が1つずつでした*2。

元の条件は、いずれもETSI EN 303 645を参照するものです*2。パスワードについては第5.1-1項（関係する場合は第5.1-2項も）、報告の受け口については同規格の該当条項とISO/IEC 29147の各項、更新提供期間については第5.3-13項に従うこと、とされていました*2。

改正規則の第5条から第7条は、この3か所すべてに同じ手を入れました*1。まず、「第2号の条件が満たされる場合」を「第2号から第4号（または第2B号）までのいずれかの条件が満たされる場合」に置き換え、既存の条件を条件Aと呼び直します*1。そのうえで、条件Bと条件Cを挿入します*1。

条件Bと条件Cは、3つの要件のすべてに同じ文言で入りました*1。したがって、有効なラベルが1枚あれば、パスワード、報告の受け口、更新提供期間の3つをまとめて満たしたものとして扱われます*1。要件ごとに証拠を分けて用意する必要はありません*1。

シンガポールのCLSについては、いずれかの水準（any level）と書かれている点が特徴です*1。CLSは段階のある制度ですが、最下位の水準でも条件Cを満たす読み方になります*1。

「現に付与されており、期限が切れていない」が要点

条件Bと条件Cの文言を、実務の言葉に置き換えます*1。

ひとつ目がcurrently assigned / currently awarded、すなわち現に付与されていることです*1。過去に取得したという事実では足りません*1。取消や失効があれば、その時点で条件から外れます*1。

ふたつ目がthat label has not expired、すなわち有効期限が切れていないことです*1。ラベルには期限があるため、更新の管理そのものが遵守の一部になります*1。

三つ目が製造者であることです*1。条件はof which they are the manufacturerという限定を置いています*1。他社が取得したラベルに相乗りする形は想定されていません*1。委託生産や相手先ブランドでの供給では、誰が英国法上の製造者に当たるかを先に確定させる必要があります*1。

2023年規則の第5条は、1つの製品に複数の製造者がいる場合、各製造者が別表1の要件を満たすか、別表2の条件を満たさなければならないとしています*2。それぞれが自分の立場で条件を満たす形です*2。

ラベルの根拠となる文書も特定されました*1。JC-STAR STAR-1は、情報処理推進機構（IPA）が公表する「JC-STAR STAR-1 適合基準および評価方法」（JST-CR-01-01-2024R1、2024年12月）です*1。シンガポールCLSは、シンガポール・サイバーセキュリティ庁（CSA）が公表する CCC SP-151-2 CLS(IoT) Scheme Specifications（第1.4版、2025年4月）です*1。版まで指定されているため、制度側の改訂があれば、英国側の規則も追う必要があります*1。

適合の宣言まで、まとめて免除される

今回の改正で、もう一段踏み込んだ部分があります*1。

改正規則の第4条は、2023年規則の第4条の後に第4A条を挿入しました*1。別表2Aは、法第9条（適合の宣言）の目的で、製造者が、関連する接続可能な製品に適合の宣言を添付する要件に従ったものとして扱われる条件を定める、という規定です*1。

第8条が、その別表2Aを新設します*1。第1項は、第2項および第3項のいずれかの条件が満たされる場合、製造者は法第9条第2項の要件に従ったものとして扱うとしました*1。第2項の条件AがJC-STAR STAR-1、第3項の条件BがシンガポールCLSで、いずれも現に付与されており期限が切れていないことを求めます*1。

ここは、みなし適合の性格が別表2と少し違います*1。別表2はETSI規格に従うという代替の道を残していますが、別表2AにはETSIの条件がありません*1。適合の宣言そのものの免除は、2つの海外制度のラベルに限って認められた形です*1。

説明ノートも、この整理を明示しています*1。第4条と第8条が、適合の宣言を製品に添付する要件に従ったものとして扱われる条件を定め、第5条から第7条が、セキュリティ要件に従ったものとして扱われる条件を定める、というものです*1。2つの義務それぞれに、別の道が用意されました*1。

宣言の作成と添付は、輸出の実務では手間の大きい部分です*1。ラベルの取得で両方が片付くなら、費用の見積もりが変わってきます*1。

残る論点と、変わらない部分

免除されないところも押さえておきます*1*2。

第一に、適用の除外は別の話です*2。2023年規則の別表3は、規制の対象外となる製品の類型を並べています*2。2025年2月の第1次の改正（SI 2025/211）は、この別表3へ自動車の項目を追加しました*3。対象外に当たるかどうかは、みなし適合とは別の判定です*3。

第二に、ラベルの範囲と製品の範囲が一致しているかです*1。条件は「当該製品に」ラベルが付与されていることを求めます*1。型番やハードウェア構成が違う派生機種まで、そのラベルでカバーされるとは限りません*1。制度側の適用範囲の定義を確認する作業が残ります*1。

第三に、要件そのものは消えないことです*2。みなし適合は、従ったものとして扱うという効果を与えるだけで、パスワードや報告の受け口の設計が不要になるわけではありません*2。JC-STARの適合基準を満たしていれば、結果として別表1の水準にも届く、という前提の制度です*1*2。

第四に、制度の版が動くことです*1。規則は、JC-STARを2024年12月の文書番号で、CLSを2025年4月の第1.4版で特定しました*1。制度側が改訂されたときに、英国の規則が自動で追随するわけではありません*1。改訂の時期と、英国側の対応を、両方追う必要があります*1。

日本のIT部門は、どこを見ればよいか

この規則は英国の制度で、日本の事業者に直接の義務を課すものではありません*1*2*3。ただし、英国市場へ接続製品を出す場合は、費用の設計に直結します*1。

第一に、取得済みのラベルを棚卸しすることです*1。国内向けにJC-STAR STAR-1を取っている製品があるなら、その有効期限と対象の型番を一覧にします*1。英国向けの適合作業を、そこから逆算できます*1。

第二に、期限の管理を運用に乗せることです*1。条件は「期限が切れていない」ことを求めます*1。製品のライフサイクルの管理表に、ラベルの有効期限を項目として持たせ、更新の起票が自動で走る形にしておくと、失効による不適合を防げます*1。

第三に、製造者の定義を契約で確定させることです*1。条件は「自らが製造者である製品」に限られます*1。相手先ブランドでの供給や、共同開発では、英国法上の製造者が誰かによって、誰のラベルを援用できるかが変わります*1。設計や部材の責任分担とあわせて、契約の文言で押さえる論点です*1。

第四に、要件の実装は残すことです*2。ラベルがあっても、初期パスワードの生成方式、脆弱性の受け口、支援期間の公表は、製品と運用の側に必要な機能です*2。むしろ、これらを先に作っておけば、どの国の制度に当たっても対応の幅が広がります*2。近い構図は、豪州のスマート機器のセキュリティ基準にも見られます*2。

まとめ：英国PSTIのみなし適合で押さえる3つの視点

英国では、製品セキュリティ・電気通信インフラ（関連する接続可能な製品のセキュリティ要件）（改正）（第2号）規則2025が2025年12月3日に制定され、翌12月4日に施行しました。2023年規則（SI 2023/1007）を改正し、日本のJC-STAR STAR-1とシンガポールのサイバーセキュリティ・ラベリング制度を、みなし適合の条件として加えたものです。押さえたい視点は三つあります。第一に、対象となる義務。製品セキュリティ・電気通信インフラ法2022は、関連する接続可能な製品の製造者に、セキュリティ要件を満たすこと（第8条）と、製品に適合の宣言を添付すること（第9条）を求めます。要件は2023年規則の別表1にあり、パスワードが製品ごとに一意か利用者が定めるものであること、セキュリティ上の問題を報告する連絡先と、受領の確認および解決までの経過の連絡の時期を、請求なし・英語・無償・個人情報を求めない形で公表すること、そして定義された支援期間を公表し、延長した場合は新しい期間をすみやかに公表することの3つです。公表後に支援期間を短縮した場合、要件は満たされません。第二に、条件の追加。別表2の各要件について、従来の条件（ETSI EN 303 645の該当条項、報告の受け口はISO/IEC 29147も参照）が条件Aと呼び直され、条件BとしてJC-STAR STAR-1の適合ラベル、条件Cとしてシンガポールのサイバーセキュリティ・ラベリング制度のいずれかの水準のラベルが加わりました。いずれも、その製品に現に付与されており、有効期限が切れていないことが条件です。同じ文言が3つの要件すべてに挿入されたため、有効なラベルが1枚あれば3つをまとめて満たしたものとして扱われます。第三に、適合の宣言。改正規則は第4A条と別表2Aを新設し、法第9条第2項の要件についても、JC-STAR STAR-1またはシンガポールCLSの有効なラベルがあれば従ったものとして扱うとしました。こちらにはETSI規格による条件が置かれていません。JC-STAR STAR-1はIPAが公表する適合基準および評価方法（JST-CR-01-01-2024R1、2024年12月）、シンガポールCLSはCSAが公表するCCC SP-151-2 CLS(IoT) Scheme Specifications（第1.4版、2025年4月）として特定されています。

よくある質問

出典

1. *1　参考：英国法令データベース「The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) (Amendment) (No. 2) Regulations 2025」（SI 2025 No. 1267・2025年12月3日制定／2025年12月4日施行）（https://www.legislation.gov.uk/uksi/2025/1267/made）。本記事の一次情報。制定日と施行日（制定の翌日）、適用地域、根拠（製品セキュリティ・電気通信インフラ法2022 第3条第1項・第3条第2項(a)・第9条第7項・第77条第2項(a)、および両院の承認）、第3条（JC-STAR STAR-1とシンガポールのサイバーセキュリティ・ラベリング制度の定義の挿入。JC-STARはIPAのJST-CR-01-01-2024R1（2024年12月）、CLSはCSAのCCC SP-151-2 CLS(IoT) Scheme Specifications第1.4版（2025年4月））、第4条（第4A条の挿入）、第5条から第7条（別表2の第1項・第2項・第3項について、条件の呼称をAへ改め、条件Bと条件Cを同じ文言で挿入）、第8条（別表2Aの新設。法第9条第2項の要件についてのみなし適合の条件A・B）、ならびに説明ノート（第4条と第8条が適合の宣言に関する条件を、第5条から第7条がセキュリティ要件に関する条件を定める旨）を確認した。確認日は2026年9月10日。（2026年9月確認）
2. *2　参考：英国法令データベース「The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023」（SI 2023 No. 1007）（https://www.legislation.gov.uk/uksi/2023/1007/made）。義務の内容の一次情報として。第3条（別表1がセキュリティ要件を定める旨）、第4条（別表2がみなし適合の条件を定める旨）、第5条（製造者が複数いる場合は各製造者が要件または条件を満たすこと）、別表1の第1項（パスワードの一意性または利用者による設定、連番・公開情報・固有識別子に基づくものの禁止と例外、推測可能性の基準、適用範囲）、第2項（報告の連絡先と受領確認・経過連絡の時期の公表、参照しやすさ・英語・無償・個人情報を求めないこと）、第3項（定義された支援期間の公表、延長時のすみやかな公表、公表後の短縮では要件を満たさない旨）、ならびに別表2の各項が参照するETSI EN 303 645の条項とISO/IEC 29147の各項を確認した。確認日は2026年9月10日。（2026年9月確認）
3. *3　参考：英国法令データベース「The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) (Amendment) Regulations 2025」（SI 2025 No. 211・2025年2月24日制定／2025年2月25日施行）（https://www.legislation.gov.uk/uksi/2025/211/made）。先行する改正として。制定日と施行日、根拠（法2022 第1条第1項・第6条第1項）、第3条（別表1第3項第3号の字句の修正）、および第4条（別表3の除外される接続可能な製品に自動車の項目を追加）を確認した。確認日は2026年9月10日。（2026年9月確認）

Tweet