LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

調達要件が「認証を持っていること」で書かれると、取得に何か月かかるかがそのまま案件の可否になります。米国防省が示したプリント基板の枠組みは、取得に8〜16か月かかる認証を免除の前提に置いています*1。

米国防省（DoD）は2026年7月2日、国防連邦調達規則補足（DFARS）を改正するための事前通知（ANPRM）を連邦官報に公表しました*1。ドケットDARS-2026-0298、RIN 0750-AL62、DFARSケース2022-D011で、意見の締切は2026年8月31日です*1。

防衛関連の機器やその組込みソフトウェアに関わる立場に向けて、何が対象になるのか、免除には何が要るのか、設計データと記録の扱いがどう変わるのかを一次情報から整理します。

対象は防衛システム向けの基板に絞られた

まず範囲の話です*1。

根拠となる法律は2つの国防授権法です*1。2021会計年度国防授権法（NDAA）第841条（Pub. L. 116-283）は10 U.S.C. 2533dを追加し、対象国からの対象プリント基板の取得を禁止したとされ、2022会計年度NDAA第851条（Pub. L. 117-81）が10 U.S.C. 2533dを改正し、その後10 U.S.C. 4873へ番号が振り直されたと説明されています*1。

対象国は4か国です*1。DoDは対象国（すなわち中華人民共和国、ロシア連邦、イラン・イスラム共和国、朝鮮民主主義人民共和国）に所在する、または対象国に支配される事業体からの対象プリント基板の調達を禁止することによってサプライチェーンのリスクを緩和すると述べました*1。

判断の基準は製造地です*1。DoDは、生地基板または一部製造された基板の地理的な製造地点に焦点を当て、階層的な信頼アーキテクチャを用いることによって、この禁止を実施する意向であるとされています*1。基板が最終的にどこで組み立てられたかではなく、生地基板がどこで焼かれたかを見る枠組みです*1。

もうひとつの根拠も併走しています*1。この事前通知に続く規則はマイクロエレクトロニクスおよびそれに関連するプリント基板の調達に関して、信頼できるサプライチェーンおよび運用セキュリティの標準を確立することをDoDに求める2020会計年度NDAA第224条の要請を実施することになるとされています*1。

ここで重要なのは、対象が広く取られていないことです*1。DoDは市販品として容易に入手できる（COTS）品目を含む市販品の調達に不合理な制限を課さないようにするため、10 U.S.C. 4873(c)が定める厳格な法定定義を採用するとし、この提案する枠組みは、COTS品目を含む特定の市販品または市販サービスに対する一律の禁止ではないと明言しています*1。

範囲は次のように限定されました*1。これらの要件は、その毀損が軍の任務、要員、または国家安全保障を直接脅かしうるシステムに組み込まれる対象プリント基板にのみ課されるとされ、用いられる定義は「対象プリント基板」「特定の種類」「防衛セキュリティシステム」の3つです*1。

免除に要るのは4本の柱と3つの規格

本体は免除の条件設計です*1。

DoDは免除の枠組みに名前を付けました*1。10 U.S.C. 4873に基づき対象国から調達するために免除を要する対象プリント基板について、DoDは10 U.S.C. 4873(b)(1)の法定要件を満たすための独立ハードウェア保証枠組みを設けることを提案するとされ、その法定要件は偽造、品質、または不正アクセスに関して重大な国家安全保障上の懸念がないという書面による判断を求めるものです*1。

供給者の申告に依拠しないことが、はっきり書かれています*1。対象国内の施設は、管理された非機密情報（CUI）の保護を法的にも実務的にも保証できないことを踏まえ、この免除の手続きは供給者による申告に依拠しないという判断です*1。

代わりに置かれたのが4本の柱です*1。DoDはサプライチェーンのセキュリティ、データの追跡可能性、施設の信頼性とセキュアな取扱い、およびサイバーセキュリティを担保する4本柱の枠組みへの適合を示すことが、免除を求める契約者にとっての主たる手段となると提案しました*1。

③には抜け道を塞ぐ設計が入っています*1。IPC-1791の認証は、米国外の施設についてはスポンサーシップを通じてのみ取得できるとされ、対象国内の施設はIPC-1791認証を取得できない可能性が高いという前提が置かれました*1。そのため例外が認められて対象国から輸入される生地基板は、システム統合の前に、IPC-1791の信頼できる組立者として認証された国内（または承認された同盟国）の施設を経由させなければならないとされています*1。

その施設が行うのは、設計との突き合わせです*1。この施設は、IPC-1782のデータを用いて独立した盲検のハードウェア保証試験（自動光学検査、X線検査など）を実施し、製造された基板が信頼できる電子設計ファイルと厳密に一致し、不正な改変が加えられていないことを検証するという手順です*1。

なお、機密の基板は別枠です*1。機密のプリント基板の製造は引き続き国家産業セキュリティプログラム運用マニュアル（NISPOM）の対象であり、この枠組みの下での海外調達の免除の対象にはならないと注記されています*1。

自社の同等性主張では要件を満たさない

実務でいちばん重い一文です*1。

DoDは規格の更新を織り込んだうえで、認証の形式を譲りませんでした*1。免除の要件を満たす目的においては、契約者（施設を含む）は正式な第三者認証（ISO/IEC 20243およびIPC-1791）を現に保持し、標準化されたデータスキーマ（IPC-1782）を生成していなければならないと述べています*1。

結論部分は明快です*1。契約者による申告、または社内的に同等であるという主張は、独立ハードウェア保証枠組みの要件を満たさないとされました*1。社内規程を規格に合わせて整備したという説明では届きません*1。

免除の申請には一式の資料が要ります*1。DoDは免除を求める契約者は、包括的な免除請求パッケージを契約担当官へ提出することが求められると見込むとし、第三者認証と追跡データに加えて信頼できる組立者の検証報告書、市場での入手可能性の正当化、部品の特定、システムへの適用と影響、移行戦略、および免除の範囲を挙げました*1。

報告書がそのまま通るとは限りません*1。DoD構成組織の長は、この検証報告書で十分かどうか、あるいは報告書、検証画像、電子設計ファイル、関連するハードウェアをDoDのハードウェア保証研究所へ提出して補足的な検証を受ける必要があるかを判断する裁量を持つとされています*1。

組立者と契約者の関係次第で、扱いが分かれます*1。信頼できる組立者が契約者の子会社、関連会社、またはその他の企業支配もしくは影響の下にある場合には、検証報告書、検証画像、電子設計ファイル、関連するハードウェアを、DoDのハードウェア保証研究所へ提出して独立した検証を受けなければならないとされ、その検証は国家安全保障局（NSA）、エネルギー省の国立研究所、FFRDC、またはUARCが担いうると書かれました*1。グループ内で検査を完結させる構成は、追加の検証を招く前提です*1。

データは機械可読で出し、10年以上残す

記録の要件は、開発側の作り方に直接跳ね返ります*1。

提出の形式と期限が示されています*1。DoDは契約担当官やDoDのハードウェア保証研究所の要求により、または契約データ要求リスト（CDRL）に定めるところにより、契約者はIPC-1782の製造追跡ログおよびIPC-1791の独立ハードウェア保証試験報告書を、標準化された機械可読の形式で、定められた期間内（例えば5営業日）に納入しなければならないと提案しました*1。

人が読む書類ではなく、機械が読める形式である点が要点です*1。追跡ログをPDFの検査成績書として保管しているだけでは、この要件は満たせません*1。設計・製造の各工程でどの機械がどのロットを流したかを、後から機械可読で切り出せる状態にしておく必要があります*1。

政府側の権利も定められました*1。契約者は、生成された出自、追跡、および検証のデータについて、適合を検査、監査、検証する目的に厳に限って、政府がアクセスし、複製し、分析し、利用する権利を認めなければならないとされ、DoDはこのデータを専有情報として扱い、競争的な再調達には用いないと説明されています*1。

一方で、営業秘密の主張は検証を止めません*1。契約者による専有情報または営業秘密の主張は、政府の検証の取り組みを制限または遅延させるものではないと書かれました*1。加えてDoD構成組織の長または指名されたDoDのハードウェア保証活動の裁量により、このデータおよび関連する信頼できる組立者の報告書は、適切な守秘義務に拘束されることを条件として、NSA、FFRDC、UARC、およびDoDのハードウェア保証を支援するエネルギー省の国立研究所と共有されうるとされています*1。

保存期間は長期です*1。契約者および独立検証施設は、すべての検証画像（自動光学検査、X線検査など）および追跡ログを、対象プリント基板の最終納入後10年以上、または防衛セキュリティシステムの運用期間のいずれか長い期間にわたり保持しなければならないとされ、さらに契約者は、要求に応じてこれらの記録を政府が直接監査できるようにしなければならないと続きます*1。

X線や自動光学検査の画像を10年以上、しかも検索可能な形で置いておくとなると、保存容量と保存形式の設計が要ります*1。防衛システムの運用期間が10年を超えるなら、期間はそちらに引き延ばされます*1。CUIの取扱い基準そのものはCMMCとNIST SP 800-171で整理した枠組みが土台になります。

全階層への流し込みが開発現場に課すもの

最後に、この枠組みが誰まで及ぶかです*1。

流し込みは全階層で、しかも市販品を含みます*1。DoDは10 U.S.C. 4873の禁止をサプライチェーン全体にわたり執行するため、これに続くDFARSの契約条項は厳格な必須の流し込み要件を含むとし、契約者は、市販品および市販サービスの取得に関する下請契約を含め、すべての階層のあらゆる下請契約およびその他の契約文書に、この契約条項の内容を挿入することを求められると述べました*1。

そして責任は元請に残ります*1。契約者は、この要件を単に流し込むだけでなく、対象プリント基板を最終納入品に統合する前に、すべての下位階層の供給者および施設から、有効な第三者認証（ISO/IEC 20243およびIPC-1791）と完全なIPC-1782の追跡データを収集し、検証し、維持する積極的かつ最終的な責任を負うとされています*1。

例外もあります*1。市販の認証を流し込む要件は、この枠組みの下で独立した検証試験を実施するDoDのハードウェア保証研究所、FFRDC、またはUARCへの下請契約、省庁間協定、または直接の利用には適用されないとされ、理由としてこれらの事業体は優越する連邦のセキュリティおよび保証の指示の下で活動していることが挙げられました*1。

ここから先は、開発と調達の実務に置き換えた読み方です。

第一に、認証の取得期間を計画表に載せることです。DoDは意見募集の質問のなかでIPC-1791認証の取得には8か月から16か月、IPC-1782およびISO/IEC 20243には3か月から11か月を要すると見積もっていると示し、これらの標準を例外の必須条件とする前に、どの段階的導入期間（例えば12か月、18か月、24か月）を検討すべきかを問いました*1。最短でも取得に1年近くかかる認証が要件になるため、案件の受注可否は認証の着手時期で決まります。

第二に、設計データの置き場所を先に決めることです。ガーバーファイル、ネットリスト、回路図はCUIとして保護する対象に挙げられました*1。DoDは意見募集で承認された免除の下で対象国内の施設へ製造要件を伝送する際に、NIST SP 800-171に従ってCUI（生地基板の設計データ）の保護をどのように担保するのかとも問うています*1。設計データを海外の製造委託先へ渡す経路そのものが、審査の対象になります。

第三に、追跡データを製造装置から機械可読で吸い出せるようにすることです。IPC-1782はレベル3または4が指定され、基材の原産地と使用機械の記録が求められます*1。装置ログを人手で転記する運用では、5営業日という納入期限に耐えません。装置とMESの連携、スキーマの固定、出力の自動生成までを設計に含める話になります。組込み側の工程管理は組込み/ファームウェア開発の外注で扱う論点と地続きです。

第四に、自社の位置づけを定義に照らして確かめることです。DoDは意見募集で市販の情報技術ベンダーに対し、現在のDoD向け売上のうち法定の「防衛セキュリティシステム」の定義に該当する見込みの割合と、この語の定義から除外される通常の業務用途に使われる割合を提供するよう求めるとしています*1。自社の納入先が定義に入るのかどうかで、負担の大きさは桁が変わります。

誤解されやすいのは、まだ規則案の前段階だから対応は先でよいという読み方です。これは事前通知であり、意見の締切は2026年8月31日でした*1。ただしDoDが求めている認証は取得に1年前後を要するもので、規則が固まってから着手すると間に合いません*1。サプライチェーン側の可視化の進め方はサプライチェーンセキュリティ管理で扱う手順が出発点になります。

まとめ：プリント基板の調達制限で押さえる3つの視点

米国防省（DoD）は2026年7月2日、DFARSを改正するための事前通知（ANPRM）を連邦官報に公表しました。DFARSケース2022-D011で、意見の締切は2026年8月31日です。押さえたい視点は三つあります。第一に、対象の範囲。2021会計年度NDAA第841条と2022会計年度NDAA第851条による10 U.S.C. 4873に基づき、中国、ロシア、イラン、北朝鮮に所在または支配される事業体からの対象プリント基板の調達が禁止されます。判断は生地基板または一部製造された基板の製造地点で行われ、要件は毀損が軍の任務、要員、または国家安全保障を直接脅かしうるシステムに組み込まれる基板に限られ、市販品への一律の禁止ではないと明言されています。第二に、免除の条件。企業レベルのISO/IEC 20243認証、IPC-1782のレベル3または4による機械レベルの追跡データ、IPC-1791認証施設での盲検の検査、設計データのCUIとしての保護という4本の柱が示され、契約者の申告や社内的な同等性の主張では要件を満たさないとされました。第三に、データと責任の扱い。追跡ログと試験報告書は機械可読の形式で5営業日などの期限内に納入し、検証画像は最終納入後10年以上または運用期間のいずれか長い期間保存します。条項は市販品の調達を含むすべての階層へ流し込まれ、収集と検証の最終的な責任は契約者に残ります。

よくある質問

出典

1. *1　参考：国防省 国防調達規則システム「Defense Federal Acquisition Regulation Supplement: Modifications to Printed Circuit Board Acquisition Restrictions (DFARS Case 2022-D011)」（連邦官報 2026年7月2日・規則制定の事前通知）（https://www.federalregister.gov/documents/2026/07/02/2026-13375/defense-federal-acquisition-regulation-supplement-modifications-to-printed-circuit-board-acquisition）。事前通知（ドケットDARS-2026-0298、RIN 0750-AL62、48 CFR第212部・第225部・第252部）の連邦官報掲載。2026年8月31日という意見の締切、2021会計年度NDAA第841条と2022会計年度NDAA第851条による10 U.S.C. 4873という根拠、対象国の4か国、生地基板の製造地点と階層的な信頼アーキテクチャ、独立ハードウェア保証枠組みの4本の柱とISO/IEC 20243・IPC-1782・IPC-1791の位置づけ、自社の同等性主張を認めない旨、免除請求パッケージの構成、機械可読での納入と5営業日という例示、10年以上という保存期間、全階層への流し込み、ならびに認証取得に8か月から16か月という見積りの一次情報として。確認日は2026年9月7日。（2026年9月確認）

Tweet