LASSIC Media らしくメディア
スマート機器の適合宣言、7項目の記載と5年の保存
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 基準は3つに絞られている：パスワード・窓口・支援期間です*1。
- 供給には宣言書が要る：7項目を書き5年保存します*1。
- 支援期間は短縮できない：公表した後は延ばす方向だけです*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
機器のセキュリティ規制というと技術要件の話になりがちですが、この規則で分量を取っているのは、書いて公表する側の義務です。
サイバーセキュリティ（スマート機器のセキュリティ基準）規則2025は、サイバーセキュリティ法2024に基づく規則です*1。第1部は2025年3月4日に、基準の本体である第2部および附則1は2026年3月4日から効力を持っています*1。
実装と製品企画の立場から確かめたい点は4つあります。どの製品が対象か、技術の要件は何か、何を公表するのか、供給に何を添えるのか。条文から順に見ていきます。
目次
対象は消費者向けで、6つの製品が外れる
まず、範囲の条文から確認します*1。
第8条第1項は、附則1第1部が定める基準の対象を製造者が個人的、家庭的または世帯での使用もしくは消費に用いられることを意図している、またはそうした用途に用いられる可能性のある種類のものである接続可能製品と定めます*1。第2項が状況を絞り当該製品が豪州において消費者によって取得されることとしました*1。第6条は「消費者」を豪州消費者法第3条のもとで消費者として当該物品を取得したとみなされる者と定義します*1。
そして、明示的に外れるものが6つあります*1。デスクトップの計算機またはノートの計算機、タブレットの計算機、スマートフォン、治療用物品法1989にいう治療用物品、道路車両基準法2018にいう道路車両、同法にいう道路車両の部品です*1。
外れる理由は条文に書かれていませんが、並びを見ると、別の制度が既に扱う領域が抜かれた形になっています*1。医療機器と自動車は所管の法律があり、汎用の計算機とスマートフォンは市場の性格が違います*1。残るのは、家庭に置かれる専用機器の広い集合です*1。
上位法の組み立ても押さえておくと、規則の位置が分かります*2。サイバーセキュリティ法2024の第2部は、第14条で規則が製品の類型ごとにセキュリティ基準を定めうるとし、第15条で基準への適合を、第16条で適合宣言書を伴う供給と宣言書の保持を求めます*2。適合しない製品が市場に出た場合の手当ては第19条の回収命令、従わなかった場合の公表は第20条です*2。今回の規則は、この骨組みに数値と項目を入れるものです*1*2。
法第3条(a)は、この法律の目的の一つを直接または間接にインターネットへ接続しうる製品であって豪州で取得されるものについて、製造者と供給者に、規則が定めるセキュリティ基準への適合を求めることにより、その製品のサイバーセキュリティを高めることとしています*2。第2部そのものは2025年11月29日に施行されており、規則の基準が動き出したのが2026年3月4日という順番です*1*2。
義務の掛かり方は、法の側にあります*1。第5条の概要は、第15条と第16条により製造者は、その製品が特定の状況で豪州において取得されることを認識し、または合理的に認識していると期待されうる場合、基準の要件に適合するよう製造しなければならないこと、製品に関する情報の公表など、基準に定める他の義務にも従わなければならないこと、適合しない製品は、供給者が同様の認識を持つ場合、豪州において供給してはならないこと、そして供給者は、規則の要件を満たす適合宣言書を添えて豪州で供給しなければならないことを説明します*1。
パスワードの要件は、除外の定義から読む
附則1第1部第2項が、パスワードの要件です*1。
掛かる範囲が3つに分けられています*1。製品が工場出荷時の状態にないときのハードウェア、消費者へ供給される時点で製品に事前導入されているソフトウェア（同じく工場出荷時の状態にないとき）、そして供給の時点では事前導入されておらず、ハードウェアや事前導入ソフトウェア、導入可能なソフトウェアを用いる製造者の意図する用途のすべてのために導入しなければならないソフトウェアです*1。
要件そのものは短いものです*1。第2項は製品ごとに一意であること、または製品の利用者によって定められることのいずれかを求めます*1。
実務で問われるのは、一意にする場合の作り方です*1。第3項は4つを禁じました*1。連番の計数器に基づくもの、公開されている情報に基づき、またはそこから導かれるもの、製品固有の識別子（製造番号など）に基づき、またはそこから導かれるもの。ただし、良好な業界慣行の一部として容認される暗号化の方法または鍵付きハッシュのアルゴリズムを用いる場合を除く、その他、良好な業界慣行の一部として容認されない態様で推測可能なものです*1。
用語の定義も置かれています*1。連番の計数器は複数のパスワードが、一意にするために1件ごとに変わる少数の文字を除いて同一であるようなパスワードの生成方法（「password1」と「password2」のような）とされ、良好な業界慣行は同種の活動に従事する、熟練し経験のある暗号技術者に合理的かつ通常に期待される程度の技能、注意、慎重さおよび先見性の発揮と定義されました*1。
そして、何が「パスワード」でないかも書かれています*1。暗号鍵、インターネットプロトコル群を構成しない通信プロトコルにおけるペアリングに用いられる暗証番号、アプリケーションプログラミングインタフェースの鍵は、この項でいうパスワードに含まれません*1。設計の側から見ると、この除外の3つが判定の入口になります*1。
日本と英国の枠組みはIoT製品のセキュリティ適合で扱っています。要求の骨格はよく似ていますが、豪州は宣言書と保存年限を規則の側で具体化した点が違います*1。
公表の質まで条文が決めている
附則1第1部の第3項と第4項は、公表する情報の中身と出し方を定めます*1。
第3項は、セキュリティ上の問題の報告方法の公表です*1。対象は製品のハードウェア、供給時点で事前導入されているソフトウェア、製造者の意図する用途のすべてのために導入しなければならないソフトウェア、製造者の意図する用途のために、またはこれに関連して用いられるソフトウェアの4つです*1。
公表する内容は2つです*1。製造者へセキュリティ上の問題を報告できる連絡先を、少なくとも1つと、報告した者が、受領の確認と、報告された問題の解決までの状況の更新を、いつ受け取ることになるかです*1。
パスワードの要件と比べると、対象が1つ広くなっています*1。第3項は4つ目に製造者の意図する用途のために、またはこれに関連して用いられるソフトウェアを挙げます*1。導入が必須でなくても、その用途のために使われるものが入る書き方で、連携用のアプリケーションや、機器と組で使うクラウド側の機能を含みうる範囲です*1。
出し方の条件が、この規則の特徴です*1。第3項第3号はアクセスしやすく、明確で、透明であることを求め、提供の仕方として事前の要請を要さずに、英語で、無償で、当該者の個人情報の提供を求めずにの4つを挙げました*1。問い合わせフォームに氏名と会社名を書かせてから連絡先を出す、という設計は取れません*1。
第4項は支援期間です*1。定められた支援期間は製造者により、またはその代理で、セキュリティ更新が提供される期間であって、終期のある期間として表されるものと定義されます*1。セキュリティ更新は製品のセキュリティを保護し、または高めるソフトウェアの更新（製造者が発見し、または製造者へ報告されたセキュリティ上の問題に対処する更新を含む）です*1。
| 場面 | 条文の求め |
|---|---|
| 公表 | セキュリティ更新を受け取れるハードウェアとソフトウェアについて、定められた支援期間を公表する |
| 短縮 | 第1号で公表した後に、支援期間を短縮してはならない |
| 延長 | 延長する場合は、新しい支援期間を実行可能な限り速やかに公表する |
| 分かりやすさ | 事前の技術的知識のない読者にも理解できる形で提供する（前出の4条件に加えて） |
| 自社サイト | 自社または自社の管理下のサイトで販売する場合、取得の判断に資する他の情報とともに目立つ形で公表し、主要な特徴が載る各所で、それと同等の目立ち方で並べる |
短縮の禁止は、製品企画に直接に響きます*1。公表した時点で、その期間まではセキュリティ更新の体制を維持することが確定します*1。組込みファームウェアの開発を委託で回している場合、支援期間の宣言は委託契約の期間設計と切り離せません。
適合宣言書は7項目、保存は5年
第3節が、供給に添える書面を定めます*1。
第9条第2項は宣言書は、製品の製造者により、またはその代理で作成されなければならないとし、第3項が記載事項を並べます*1。
| 項目 | 条文の求め |
|---|---|
| 製品の特定 | 製品の種類とバッチの識別子 |
| 主体の特定 | 製造者、製造者の授権代理人、および豪州にいる製造者の他の授権代理人（あれば）それぞれの名称と住所 |
| 作成の宣言 | 当該宣言書が製造者により、またはその代理で作成されたという宣言 |
| 適合の宣言 | 製造者の見解として、製品が基準の要件に適合して製造され、かつ基準に定める製品に関する他の義務を製造者が履行したという宣言 |
| 支援期間 | 適合宣言書が発行された日における、当該製品の定められた支援期間 |
| 署名 | 製造者の署名者の署名、氏名および役職 |
| 発行 | 適合宣言書の発行の場所と日付 |
第10条が保存期間です*1。法第16条第2項および第4項の目的で、この基準に関する適合宣言書の期間は5年とされました*1。
第4節は、回収命令に従わなかった場合の公表です*1。第11条は、法第20条(e)の目的で公表しうる事項として法第19条に基づいて当該事業体へ与えられた回収命令の詳細と消費者が検討することを推奨される行動を挙げ、後者の例として製品を破棄することと製品を使用する際に取るべき追加の予防措置を示しました*1。
製品を破棄することが例示に入っている点は、この制度の重さを示しています*1。同じサイバーセキュリティ法2024の別の部では、ランサムウェア支払の報告義務も動いています。機器と運用の両方を、1つの法律が受け持つ構造です*1。
受託開発の側で、先に決めておくこと
ここまでを、設計と契約の言葉に置き換えます*1。
第一に、支援期間の起点と終点です*1。終期のある期間として表すことが定義に含まれており、公表後の短縮は禁じられます*1。搭載するOSやライブラリの提供終了時期を先に洗い出し、そこから逆算して宣言する期間を決める順番になります。SBOMの作成と管理を先に整えておくと、この逆算が実測に基づくものになります。
第二に、パスワードの生成方式です*1。製造番号から導く方式は、良好な業界慣行として容認される暗号化または鍵付きハッシュを用いる場合に限られます*1。方式の選択と、その選択が業界慣行に照らしてどう位置づくかを、設計文書に残しておく必要があります*1。
第三に、報告窓口の運用です*1。連絡先を出すだけでなく、いつ受領確認を返し、いつ状況を更新するかを公表します*1。公表した時点で、その時間軸が対外的な約束になります。受け取る体制を持たないまま期間だけ書くと、後から食い違います。
第四に、宣言書の作成主体です*1。宣言書は製造者またはその代理で作成し、署名者の氏名と役職まで書きます*1。受託開発で機器を作る場合、誰が製造者に当たるのかを契約で確定しておかないと、発行の段になって止まります*1。豪州にいる授権代理人の情報も記載事項ですから、販売の体制と合わせて決めることになります*1。
第五に、回収命令が出たあとの想定です*1。第11条は、命令に従わなかった場合に公表しうる事項として、命令の詳細と、消費者への推奨行動を挙げます*1。推奨行動の例には製品の破棄が含まれます*1。回収の判断は販売する側が行いますが、原因の特定と代替の提供は開発側の作業です。契約に、回収時の役割分担と費用の負担、対応の期限を書いておくかどうかで、事後の動き方が変わります。
第五に、判定そのものです*1。除外される6製品に当たらず、家庭で使われる可能性のある接続機能付きの製品であれば、業務用として売っていてもそうした用途に用いられる可能性のある種類のものという文言に触れうる余地があります*1。製品ごとに判定し、その理由を残しておく運用が安全側です。
まとめ：豪州のスマート機器セキュリティ基準で押さえる3つの視点
サイバーセキュリティ（スマート機器のセキュリティ基準）規則2025は、サイバーセキュリティ法2024に基づく規則で、基準の本体である第2部と附則1が2026年3月4日から効力を持っています。押さえたい視点は三つあります。第一に、対象の範囲。第8条は、製造者が個人的・家庭的・世帯での使用や消費に用いられることを意図している、またはそうした用途に用いられる可能性のある種類の接続可能製品であって、豪州において消費者が取得するものを対象にします。デスクトップとノートの計算機、タブレット、スマートフォン、治療用物品法1989の治療用物品、道路車両基準法2018の道路車両とその部品の6つは外れます。消費者の意味は豪州消費者法第3条によります。第二に、3つの基準。附則1第1部第2項は、パスワードを製品ごとに一意にするか利用者が定めることを求め、一意とする場合に連番の計数器、公開情報、製品固有の識別子（良好な業界慣行として容認される暗号化や鍵付きハッシュを用いる場合を除く）に基づくもの、その他推測可能なものを禁じます。暗号鍵、インターネットプロトコル群以外のペアリング用の暗証番号、APIの鍵は、ここでいうパスワードに含まれません。第3項はセキュリティ上の問題の報告について、少なくとも1つの連絡先と、受領確認および解決までの状況更新の時期を、事前の要請なく、英語で、無償で、個人情報を求めずに公表することを求めます。第4項は、終期のある期間として支援期間を公表し、公表後の短縮を禁じ、延長時は速やかな公表を求め、自社サイトで販売する場合は主要な特徴と同等の目立ち方での表示を求めます。第三に、書面。第9条は適合宣言書に、製品の種類とバッチの識別子、製造者と授権代理人の名称と住所、作成主体の宣言、適合の宣言、発行日時点の支援期間、署名者の署名と氏名と役職、発行の場所と日付の7項目を求め、第10条は保存期間を5年としました。第11条は、回収命令に従わなかった場合に、命令の詳細と、製品の破棄を含む消費者への推奨行動を公表しうるとしています。
よくある質問
業務用の機器なら対象外ですか。
自動的に外れるわけではありません。第8条第1項(a)は、製造者が個人的・家庭的・世帯での使用や消費に用いられることを意図している製品に加えて、そうした用途に用いられる可能性のある種類のものも対象に含めています。第2項の状況は、当該製品が豪州において消費者によって取得されることです。消費者の意味は豪州消費者法第3条によります。明示的に外れるのは、デスクトップとノートの計算機、タブレット、スマートフォン、治療用物品、道路車両とその部品の6つです。
製造番号からパスワードを作る方式は使えますか。
条件付きで認められています。附則1第1部第2項(3)(c)は、製品固有の識別子（製造番号など）に基づき、またはそこから導かれるパスワードを禁じたうえで、良好な業界慣行の一部として容認される暗号化の方法または鍵付きハッシュのアルゴリズムを用いる場合を除くとしています。良好な業界慣行は、同種の活動に従事する熟練し経験のある暗号技術者に合理的かつ通常に期待される程度の技能・注意・慎重さ・先見性の発揮と定義されています。連番の計数器や公開情報に基づくものは、この例外の対象ではありません。
支援期間は後から変更できますか。
延ばす方向だけです。附則1第1部第4項(4)は、公表した後に定められた支援期間を短縮してはならないと定めます。第5項は、延長する場合に新しい支援期間を実行可能な限り速やかに公表するよう求めます。なお定められた支援期間は、セキュリティ更新が提供される期間であって終期のある期間として表されるものと定義されており、期間の終わりを示さない書き方は想定されていません。
適合宣言書は誰が作るのですか。
第9条第2項は、製品の製造者により、またはその代理で作成されなければならないとしています。記載事項には、製造者と授権代理人（豪州にいる他の授権代理人があればそれも）の名称と住所、製造者の署名者の署名・氏名・役職、発行の場所と日付が含まれます。供給者の側は、法第16条により、要件を満たす適合宣言書を添えて豪州で供給することが求められます。宣言書の保存期間は第10条で5年とされています。
出典
- *1 参考：オーストラリア連邦法令登録簿「Cyber Security (Security Standards for Smart Devices) Rules 2025」（F2025L00276・2025年3月4日登録）（https://www.legislation.gov.au/F2025L00276/asmade/text）。本文の一次情報として。第2条の施行表（第1部は登録の日＝2025年3月4日、第2部および附則1は登録の日から12か月を経過した日の翌日＝2026年3月4日）、第4条の定義、第5条の概要（法第15条・第16条に基づく製造者と供給者の義務）、第6条の消費者の意味（豪州消費者法第3条）、第8条の対象と除外6製品、第9条の適合宣言書7項目、第10条の保存期間5年、第11条の回収命令に従わなかった場合の公表事項、ならびに附則1第1部（定義、パスワードの要件、セキュリティ上の問題の報告に関する要件、定められた支援期間とセキュリティ更新に関する要件）を確認した。確認日は2026年9月9日。（2026年9月確認）
- *2 参考：オーストラリア連邦法令登録簿「Cyber Security Act 2024」（2024年法律第98号）（https://www.legislation.gov.au/C2024A00098/asmade/text）。上位法の一次情報として。第2条の施行表により第2部が2025年11月29日に施行されたこと、第3条(a)の目的（直接または間接にインターネットへ接続しうる製品であって豪州で取得されるものについて、製造者と供給者に規則の定めるセキュリティ基準への適合を求めること）、および第2部の構成（第14条の基準、第15条の適合、第16条の適合宣言書を伴う供給、第19条の回収命令、第20条の公表）を確認した。確認日は2026年9月9日。（2026年9月確認）
