LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

日本で取ったJC-STARのラベルは、英国でも通用するのか。英国向けにもう一度、別の手続きを踏まなければならないのか——。IoT（インターネットにつながる機器）を海外に出す製造者では、こうした疑問が起こりがちです。英国は2025年12月3日に規則を改正し、翌4日から、日本のJC-STAR STAR-1とシンガポールのサイバーセキュリティ・ラベリング制度（CLS）のラベルを、みなし適合の条件に加えました。^*1 みなし適合とは、定められた条件を満たせば、英国のセキュリティ要件に従ったものとして扱う仕組みです。

国内向けにラベルを取っている製品なら、英国向けの作業を大きく減らせる可能性があります。ただし万能ではなく、ラベルの期限や、誰が製造者に当たるかによって、使えない場合もあります。本記事では、英国のIoT製品規制を検討する企業の担当者に向けて、英国が製造者に求める義務、みなし適合の条件、適合の宣言の扱い、そして英国向けに製品を出すときに確認したい点を整理します。

英国のIoT製品規制とは

英国のIoT製品規制の根拠となる法律は、製品セキュリティ・電気通信インフラ法2022（PSTI法）です。その第1部は、インターネットなどにつながる製品（法律では「関連する接続可能な製品」）の製造者に、2つの義務を課しています。セキュリティ要件を満たすこと（第8条）と、製品に適合の宣言を添付すること（第9条）です。^*1 要件の中身は、2023年の規則の別表1に書かれています。

今回の改正規則は、この2023年規則を改正するものです。義務そのものは変えずに、「どうすれば義務を果たしたと扱われるか」の選択肢を増やしました。改正は、セキュリティ要件と適合の宣言の2つに及びます。以下では、まず要件の中身を確かめ、そのあとに、それぞれの側で何が変わったかを見ていきます。

製造者に求められる3つの要件

1つ目はパスワードです。パスワードは製品ごとに一意であるか、利用者が自分で設定するものでなければなりません。一意のパスワードでも、連番に基づくものや、公開されている情報から導けるものは認められません。製造番号のような固有の識別子に基づくものも認められず、使えるのは、良い業界慣行として認められる暗号化や鍵付きハッシュ（鍵を使う一方向の変換）を通した場合に限られます。^*2

2つ目は、セキュリティ上の問題を報告する窓口の情報です。製造者は連絡先を少なくとも1つ公表し、報告した人が受領の確認と解決までの経過の連絡をいつ受け取れるかも示します。この情報は、事前の請求なしに、英語で、無償で、報告する人の個人情報を求めずに提供しなければなりません。^*2

3つ目は、セキュリティ更新を提供する期間の情報です。製造者は、更新を提供する期間（支援期間）を公表します。期間を延ばした場合は、新しい期間をできるだけ早く公表します。反対に、公表した後で期間を短くした場合は、この要件を満たさないとされています。^*2

みなし適合の条件はどう変わったのか

2023年規則の別表2は、みなし適合の条件を要件ごとに定めています。改正前は、各要件に条件が1つずつで、いずれもETSI EN 303 645という規格の該当する条項に従うことでした。報告の窓口については、ISO/IEC 29147という規格の各項に従うことも含まれていました。

改正規則の第5条から第7条は、パスワード、報告の窓口、更新期間の3つの要件の条件すべてに、同じ文言を加えました。^*1 従来の条件を「条件A」と呼び直したうえで、日本のJC-STAR STAR-1のラベルを条件B、シンガポールのCLSのラベルを条件Cとして加えています。条件は、要件ごとにどれか1つを満たせば足ります。

同じ文言が3つの要件すべてに入ったため、有効なラベルが1枚あれば、パスワード、報告の窓口、更新期間の3つをまとめて満たしたものとして扱われます。

ラベルに求められる3つの条件

条件Bと条件Cの文言には、ラベルがあれば何でもよいわけではないことを示す言葉が3つ入っています。1つ目は「現に付与されている（currently assigned／currently awarded）」ことです。^*1 過去に取得したという事実だけでは足りません。ラベルが取り消されたり失効したりすれば、その時点で条件を満たさなくなります。

2つ目は「そのラベルの有効期限が切れていない（that label has not expired）」ことです。ラベルには期限があるため、ラベルを更新し続けることが、英国の要件を守ることの一部になります。3つ目は、ラベルが付いているのが「自らが製造者である製品」であることです。他社が取得したラベルを、自社の製品の条件として使うことは想定されていません。

1つの製品に製造者が複数いる場合について、2023年規則の第5条は、それぞれの製造者が別表1の要件を満たすか、別表2の条件を満たさなければならないとしています。^*2 製造を委託している製品や、相手先のブランドで販売する製品では、英国の法律のうえで誰が製造者に当たるかを先に決めておく必要があります。

ラベルの根拠となる文書も、版まで指定されました。JC-STAR STAR-1は、情報処理推進機構（IPA）が公表する「JC-STAR STAR-1 適合基準および評価方法」（JST-CR-01-01-2024R1、2024年12月）です。シンガポールのCLSは、シンガポールのサイバーセキュリティ庁（CSA）が公表するCCC SP-151-2 CLS(IoT) Scheme Specificationsの第1.4版（2025年4月）です。^*1

適合の宣言も免除されるのか

今回の改正は、セキュリティ要件だけでなく、適合の宣言にも及んでいます。改正規則は、2023年規則に第4A条と別表2Aを加え、適合の宣言についても新しい条件を設けました。別表2Aは、JC-STAR STAR-1のラベル、またはシンガポールのCLSのラベルが現に付与され、期限が切れていなければ、製品に適合の宣言を添付する義務（PSTI法第9条第2項）に従ったものとして扱うと定めています。^*1

ここで注意したいのは、別表2と別表2Aの違いです。別表2には、ETSIの規格に従う条件Aが残っています。これに対して別表2Aには、ETSIの規格に従うという条件がありません。適合の宣言の添付が不要と扱われるのは、日本とシンガポールの2つの制度のラベルがある場合に限られます。

改正規則の説明ノート（規則に付く解説）も、第4条と第8条が適合の宣言についての条件を、第5条から第7条がセキュリティ要件についての条件を定めると整理しています。^*1 2つの義務は、どちらもラベルで果たせるようになりました。宣言の作成と添付は、輸出の実務では手間のかかる作業です。ラベルの取得で両方の義務を果たせるなら、英国向けにかかる費用の見積もりも変わってきます。

つまずきやすい点

一つ目は、規制の対象外に当たるかどうかを、みなし適合と混同することです。2023年規則の別表3は、規制の対象外となる製品の種類を並べています。みなし適合は、対象になる製品が義務をどう果たすかの話で、対象外かどうかは別に判定します。

二つ目は、ラベルを取った製品と、英国に出す製品が同じものかを確かめないことです。条件は「当該製品に」ラベルが付与されていることを求めています。型番やハードウェアの構成が違う派生機種まで、同じラベルで扱えるとは限りません。JC-STAR側で、ラベルがどの製品を対象にしているかを確かめておきます。

三つ目は、ラベルがあれば設計の手間がなくなると考えることです。みなし適合は「要件に従ったものとして扱う」という効果を与えるだけで、初期パスワードの作り方、問題を受け付ける窓口、支援期間の公表は、製品と運用の側に引き続き必要です。また、英国の規則は制度の文書を版まで指定しているため、JC-STAR側の基準が改訂されても、英国の規則が指しているのは改訂前の版のままです。

英国向けに製品を出すときに確認しておきたい点

この規則は英国の制度で、日本の事業者に直接の義務を課すものではありません。ただし、英国の市場に製品を出すなら、準備にかかる費用を大きく左右します。まず、国内向けにJC-STAR STAR-1を取っている製品を洗い出し、型番ごとにラベルの有効期限と対象の範囲を一覧にします。英国向けの作業は、この一覧をもとに見積もれます。

次に、ラベルの期限を日々の運用で管理できるようにします。製品の管理表にラベルの有効期限の欄を設け、期限が近づいたら担当者が更新を申請する流れにしておけば、失効したまま出荷を続ける事態を防げます。あわせて、製造を委託している製品や共同開発の製品では、誰が製造者に当たり、誰のラベルを使えるのかを契約の文言で決めておきます。

最後に、パスワード、窓口、支援期間の3つの仕組みは、ラベルとは別に製品の側で作っておきます。これらを先に作っておけば、ほかの国の制度に対応するときにも役立ちます。近い仕組みは、豪州のスマート機器のセキュリティ基準にも見られます。制度の全体像は、IoT機器のセキュリティ規制で整理しています。

まとめ：英国のみなし適合で確かめておきたい3つの点

JC-STARのラベルを英国で使ううえで、確かめておきたい点は3つに整理できます。第一に、JC-STAR STAR-1の有効なラベルがあれば、3つのセキュリティ要件と適合の宣言の添付を、まとめて満たしたものとして扱われること。第二に、ラベルは自社が製造者である製品に現に付与され、期限が切れていない必要があること。第三に、対象外かどうかの判定と、パスワードや窓口などの仕組みづくりは、ラベルとは別に残ることです。この3点を踏まえておけば、「国内のラベルがあるから英国も大丈夫だと思っていたのに、期限が切れていた」という事態を避けやすくなります。英国向けの準備の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：英国法令データベース「The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) (Amendment) (No. 2) Regulations 2025」（SI 2025 No. 1267）（https://www.legislation.gov.uk/uksi/2025/1267/made）。出典：2025年12月3日制定・12月4日施行。第3条（JC-STAR STAR-1とシンガポールのサイバーセキュリティ・ラベリング制度の定義。IPAのJST-CR-01-01-2024R1（2024年12月）、CSAのCCC SP-151-2 CLS(IoT) Scheme Specifications第1.4版（2025年4月））、第4条（第4A条の挿入）、第5条〜第7条（別表2の3つの要件への条件B・条件Cの挿入）、第8条（別表2Aの新設）、説明ノートを参照。根拠は製品セキュリティ・電気通信インフラ法2022 第3条第1項・第2項(a)、第9条第7項、第77条第2項(a)（2026年9月確認）
2. *2　参考：英国法令データベース「The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023」（SI 2023 No. 1007）（https://www.legislation.gov.uk/uksi/2023/1007/made）。出典：第3条〜第5条、別表1の第1項〜第3項（パスワード、報告の窓口、更新の提供期間）、別表2（ETSI EN 303 645の条項とISO/IEC 29147の各項）、別表3（対象外の製品）を参照（2026年9月確認）
3. *3　参考：英国法令データベース「The Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) (Amendment) Regulations 2025」（SI 2025 No. 211）（https://www.legislation.gov.uk/uksi/2025/211/made）。出典：2025年2月24日制定・2月25日施行。第4条（別表3への自動車の項目の追加）を参照（2026年9月確認）

Tweet