LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

自社の製品に、どこの誰が作った部品が入っているか。それを書面にして署名し、当局へ出す。米国の連邦通信委員会（FCC）が2026年8月7日に公表した規則案には、そういう提案が含まれています*1。認証を申請する側が、ハードウェアの部品表（HBOM）とソフトウェアの部品表（SBOM）を提出するという案です*1。

背景にあるのは、規制の基準が変わったことでした。従来のCovered List（禁止対象の一覧）は、特定の事業者が作ったかどうかで線を引いていました。そこへ「外国で生産された」という生産地を基準にした項目が加わり、UAS（無人航空機システム）、UASの重要部品、そして家庭用ルーターが対象になっています*1*2。

本記事は、米国向けに無線機器を出す企業の開発部門と、その組込み開発や部品管理の仕組みを受託する立場に向けて、何が決まり、何がまだ案なのかを整理します。個別の製品が対象になるかどうかの判断は、公式資料と米国の規制に詳しい専門家への確認を経て進めてください。

何が決まって、何が案なのか

この文書は二階建てになっています。決まった部分と、これから意見を聞く部分が同時に出ました*2。

手続の番号はET Docket No. 21-232、文書番号はFCC 26-50です。第三次の報告書と命令、および第三次の規則案が2026年7月22日に採択され、23日に公表されました*2。連邦官報への掲載は2026年8月7日で、意見の締切は9月8日、返信意見は9月21日とされています*1。

先に、決まったほうを押さえます。第三次の報告書と命令では、部品の抜け穴が塞がれました*2。判断や制御を担うハードウェア部品（logic-bearing hardware components）を組み込んだ機器について、その部品を作った事業者が自ら機器を作っていたとしたら認証を受けられない立場であるなら、その機器の認証も認めない、という規律です*2。

あわせて、Covered Listに載る事業者による改造や軽微な変更は、あらためて認証の全体を通すことが必要になりました*2。販売の規則が、電子商取引の事業者を含めて未認証機器を扱うあらゆる主体に及ぶことも明確にされ、そうした事業者には限られた例外を除いてオンラインの販売時点でFCC IDを示すことが求められます*2。

いっぽう、この記事で扱う部品表の提出や登録制は、いずれもまだ意見を聞いている段階の案です*1。確定した義務ではありません。ただし、意見の締切が目前である以上、内容の把握そのものが実務の作業になります。

「誰が作ったか」から「どこで作ったか」へ

今回の提案の多くは、ひとつの変化から派生しています*1。

Covered Listは、国家安全保障上の受け入れがたいリスクがあると判定された機器・サービスの一覧です*2。これまでの項目は、事業者の名前で決まっていました。そこに近年、生産地を基準にした項目が加わります。外国で生産されたUAS、UASの重要部品、そして家庭用ルーターです*1*2。名指しの事業者かどうかではなく、どこでどう作られたかで決まる形になりました*1。

そこでFCCは、規則の並び自体を組み替えることを提案しています。事業者を基準にした項目に適用される規則と、生産地を基準にした項目や対象分野に適用される規則を、分けて整理するという案です*1。Covered Listのウェブサイトも、二つの列に分けて示す形へ作り替えることが示されました*1。

用語の定義も条文に書き込む方向です。「外国で生産された」は、連邦調達規則の国内最終製品の基準に紐づけて定義する案が示されました*1。UASの重要部品については、データ伝送装置、通信システム、飛行制御装置、地上管制局、航法システム、センサーとカメラ、電池と電池管理システム、モーターのうち、主としてUAS向けに設計され意図されたものが列挙されています*1。ルーターは、主に家庭での使用を想定した消費者向けのネットワーク機器で、ネットワーク間でIPパケットを転送するものと定義する案です*1。

設計側にとって重要なのは、この定義が製品カテゴリで網をかける形になっている点でしょう。自社が名指しされていなくても、作っている物がその分類に入れば規律が及びます。無人航空機の機体認証のように国内の制度で見ている枠組みとは、切り口が異なります。

HBOMとSBOM——部品ごとに、製造者と製造地と割合

提案の中で、開発現場への影響がもっとも大きいのがここです*1。

FCCは、認証を申請する者に対して、書面にして署名したハードウェア部品表（HBOM）とソフトウェア部品表（SBOM）の提出を求めるべきかについて意見を求めています*1。求められる内容は具体的です。

範囲を狭める選択肢も同時に示されました。Covered Listの対象分野の機器に限る、リスクの高い機器に限る、あるいは部品の種類を指定するという三つの方向です*1。指定する部品の例として、判断や制御を担うハードウェア、モジュール型の送信機、半導体が挙げられています*1。

ここで効いてくるのが、製造地ごとの価値の割合という条件でしょう。SBOMを持っていても、この欄は埋まりません。部品表の一般的な運用は、何が入っているかを列挙するところまでで、どこで作られ、その価値がいくらかまでは扱わないのが通常です。SBOMの作成と管理で整えたデータに、調達側の情報を接ぐ作業が要ります。

もう一点、部品が誰の手によるものかで認証の可否が変わる案も出ています。第三次の報告書と命令が扱った判断や制御を担うハードウェアだけでなく、Covered Listの事業者が作ったあらゆる部品を組み込んだ機器の認証を禁じるか、あるいは反証できる推定として扱い、リスクがないことを申請者が示せば認証するか、という二案です*1。ソフトウェアやファームウェアについても、Covered Listの事業者が作ったり提供したりしたものの認証やダウンロードを禁じることが検討されています*1。この禁止による年間費用は5,000万米ドル未満と暫定的に見積もられました*1。

ホワイトラベルという抜け道

作った主体を書き換えて規制を逃れる、という経路への手当ても提案されています*1。

まず、「produced by（〜が生産した）」の定義を条文に置く案です*1。例として示されたのは、機器が世に出るまでの過程の主要な段階のいずれかについて、実質的な責任または支配を有する事業者、という考え方でした*1。設計だけの関与を一定の条件で除くべきだという意見と、より広く含めるべきだという意見の両方が寄せられており、FCCはその双方について意見を求めています*1。

申告の範囲も広がる方向です。ある機器を生産したすべての事業者を申請者に開示させる案が示されました*1。さらに、電気的に同一である機器の手続や、識別情報の変更手続が、開示されないホワイトラベルや再ブランド化によって規制を逃れる目的で使われることへの対処も論点に挙がっています*1。ひとつのFCC IDに紐づくすべてのブランド名と型番の開示を求めるかも問われました*1。

受託の立場で読むと、これは記録の粒度の話です。OEMやODMの形で作る場合、どの工程を誰が担ったかは契約の中にはあっても、製品データとしては残っていないことが少なくありません。供給網のセキュリティ管理で扱う取引先の階層に、工程の担い手という軸を足せるかが問われます。

認証の入口と出口が変わる

認証そのものの仕組みにも、複数の提案が並びました*1。

入口の側。Covered Listの対象分野に入る機器は、生産者が誰であるかを問わず認証の手続を通すことを求める案です*1。本来なら供給者適合宣言（SDoC）で足りる機器や、認証が免除される機器でも、対象分野であれば認証が必要になります*1。防衛契約管理局の一覧に載るUASのような区分を除外すべきかも、あわせて問われました*1。

輸入の側。対象機器を一般の輸入条件から外し、限られた条件でのみ輸入できるようにする案です*1。有効で制限のない認証があること、試験・評価・製品開発のために40台以下であること、輸出専用であること、米国政府の専用であること、米国政府向けの製品開発のためであること。この40台という数字は、未認証機器に一般に適用される4,000台という現行の水準から大きく下がります*1。

販売の側。オンラインの市場運営者に、FCC IDやSDoCの適合情報を表示するだけでなく検証まで求めるか、が論点です*1。規則案には、市場運営者が適合情報を収集し、機器が認証済みか免除対象かを確かめる合理的な手順を踏み、記録を保存し、販売時点で情報を表示する、という条文の案まで含まれています*1。免許が要る機器については、販売時点に警告文を表示させる案も示されました*1。

出口の側。認証は現在、取り消されない限り無期限に有効ですが、一定の期間で失効させる案が出ています*1。暫定的に示された期間は10年で、更新の手続や迅速な再認証の仕組みもあわせて問われました*1。SDoCで認証した機器についてはすべて登録させ、一意の識別番号を公開する案も示されています*1。登録の情報に部品表のデータを含めるか、識別番号を機器のラベルに表示させるかも論点です*1。

そして責任の所在です。FCCは、認証を申請する者や受けた者に、米国内の責任主体を置くことを求める案を示しました*1。順序も示されています。米国内の製造者または組立者、それがなければ輸入者、合意により責任を引き受ける小売業者その他の当事者、そして無断の改造があった場合はその改造を行った者（米国内であれば）または輸入者です*1。送達受領のための米国内の代理人という現行の要件では不十分な事例が複数あった、というのが理由として挙げられています*1。

パッチを当て続けられるか

規制が厳しくなる話ばかりではありません。運用を助ける方向の提案もあります*1。

認証済みの機器に手を入れると、変更の内容によっては認証の取り直しが必要になります。対象機器についてはこの縛りが強く、セキュリティ修正を配れないという事態が起こりえます。FCCの技術部門は現在、これを一時的に緩める措置を出しており、その効力は2029年1月1日までとされています*1。

提案は、この措置を条文に書いて恒久化するというものです*1。対象になるのは、既に認証を受けた対象機器へのソフトウェアとファームウェアの軽微な変更、具体的にはセキュリティ修正や互換性の更新で、利用者の被害を減らすものであり、機器の能力や市場での同一性を変えないものです*1。

ハードウェアについても、同様の扱いを広げるかが問われました。条件として挙がっているのは、能力を高めないこと、米国で生産された部品を外国で生産された部品に置き換えないこと、そして変更前の製品と同一のものとして販売され続けることです*1。

この論点は、製品を出した後の運用設計に直結します。脆弱性対応の体制を作っても、規制の側で配信が止まれば意味をなしません。組込みファームウェアの開発では、変更を「能力を変えるもの」と「変えないもの」に分けて記録できるかが、そのまま手続の軽重を決めることになります。

同じ構図は他の制度にもあります。EUのサイバーレジリエンス法やIoT機器のセキュリティ適合でも、出荷後に修正を届け続けられることが前提に置かれています。更新を配る力そのものが、規制対応の一部になっていると言えるでしょう。

受託・システム側で押さえる要点

確定を待たずに始められることを、順に挙げます。

第一に、部品表に製造地の欄があるかを確かめることです。提案されている記載事項は、製造者、製造地、製造地ごとの価値の割合です*1。部品番号と数量だけの部品表では、この欄が空のままになります。まず自社の現行データで何が埋まるのかを見るところからです。

第二に、ソフトウェアの部品表と調達データをつなぐことです。SBOMは開発側の資産として、部品表は購買側の資産として、別々に管理されているのが通常でしょう。提案では両方が同じ様式で求められます*1。突き合わせの鍵になる識別子を、どちらの側に持たせるかを先に決めておきます。

第三に、変更から30日という時計に耐える運用を考えることです。更新の期限が提案どおりなら、部材の切り替えを把握してから書類を出すまでが1か月です*1。設計変更の承認プロセスと、規制向け書類の更新が別の流れで動いていると、この期間には収まりません。

第四に、工程の担い手を製品データとして残すことです。「produced by」の定義と、生産に関わったすべての事業者の開示が論点になっています*1。契約書の中にしかない情報を、製品ごとに引ける形へ移す作業が要ります。

第五に、変更の性質を分類して記録することです。能力を変えない修正と、変える修正。この区別が手続の重さを分けます*1。ソフトウェア供給網のセキュリティで扱う変更管理の記録に、規制上の分類を足しておくと後の作業が軽くなります。

受託で進める場合の注意点も挙げておきます。

まだ案である段階で作り込みすぎないことです。部品表の範囲も、対象を絞る選択肢が複数示されています*1。全部品を対象に重い仕組みを組むと、範囲が絞られたときに過剰投資になります。まずは製造地と割合を保持できる器を用意し、埋める対象は後から広げられる形にしておくのが現実的でしょう。

取引先から情報を得る経路を先に作ることです。製造地も価値の割合も、社内のデータだけでは埋まりません。部材の供給元に問い合わせ、回答を製品データへ取り込む流れが要ります。一度きりの調査票ではなく、変更のたびに更新される仕組みとして設計できるかが分かれ目です。

他制度の台帳と土台を共有することです。OSSライセンスの管理でも部品の来歴を追います。制度ごとに別の台帳を立てると、同じ情報を何度も集めることになります。

体制としては、調達の実務と組込み開発の両方を追える要員が入れるかが分かれ目になります。部品の来歴、工程の担い手、変更の性質。これらは仕様書の項目名だけを見ていても判断できません。締切が近い意見募集の内容を読み解き、自社のデータで何が引けて何が引けないのかを確かめておきたいところです。

まとめ：FCC機器認証の見直しで押さえる3つの視点

米国のFCCは、機器認証の枠組みを強化する第三次の報告書と命令および規則案を2026年7月22日に採択し、23日に公表しました。連邦官報への掲載は8月7日で、意見の締切は9月8日、返信意見は9月21日です。押さえたい視点は三つあります。第一に、基準の変化です。Covered Listに、外国で生産されたという生産地を基準にした項目が加わり、UAS、UASの重要部品、家庭用ルーターが対象になりました。名指しの事業者かどうかで切り分ける発想は通じません。第二に、部品表の提出という提案です。認証の申請時に、書面にして署名したハードウェアとソフトウェアの部品表を出し、部品ごとに製造者、製造地、製造地ごとの価値の割合を記載し、変更から30日以内に更新するという内容が示されました。対象分野の機器や特定の部品種別に限る案も併記されています。第三に、認証の入口と出口の見直しです。対象分野の機器は生産者を問わず認証が必要になり、SDoCの機器は登録制に、認証には10年という期限を設ける案が並びます。米国内の責任主体を置く提案もあります。いずれもまだ案ですが、部品表に製造地と価値の割合を持てるかどうかは、確定を待たずに確かめられます。

よくある質問

出典

1. *1　参考：米国連邦官報「Protecting Against National Security Threats to the Communications Supply Chain Through the Equipment Authorization Program」（FCC、2026年8月7日）（https://www.federalregister.gov/documents/2026/08/07/2026-16197/protecting-against-national-security-threats-to-the-communications-supply-chain-through-the）。Covered Listの二分化、ホワイトラベルとproduced byの定義、HBOM/SBOMの記載事項と30日以内の更新および費用の暫定見積もり、対象分野の機器の認証必須化、輸入40台の条件、オンライン市場の検証義務、FCCロゴ、取消手続、軽微な変更の恒久化、UAS・ルーターの定義、10年の期限案、SDoC機器の登録、米国内の責任主体、意見の締切日の一次情報として（2026年8月確認）
2. *2　参考：FCC「Third Report and Order and Third Further Notice of Proposed Rulemaking」FCC 26-50（ET Docket No. 21-232、2026年7月22日採択・7月23日公表）（https://docs.fcc.gov/public/attachments/FCC-26-50A1.pdf）。第三次の報告書と命令で決まった内容（判断や制御を担うハードウェア部品の禁止、Covered List事業者による変更時の再認証、販売規則が電子商取引の事業者に及ぶこと、オンライン販売時点でのFCC ID表示）と、Covered ListへのUAS・重要部品・家庭用ルーターの追加、根拠法である安全で信頼できる通信ネットワーク法および2021年安全機器法の一次情報として（2026年8月確認）

Tweet