日本とEU、IoTセキュリティ制度の比較で協力を本格化：JC-STARとEU法CRAの覚書に署名

経済産業省と独立行政法人情報処理推進機構（IPA）は2026年11月4日、日本のIoT製品向けセキュリティ制度「JC-STAR」とEUのサイバーレジリエンス法（CRA）の制度比較に向けた日EU協力を本格化すると発表した。10月26日には、両制度の技術的な比較を行うワーキンググループの運営を担う在欧日系ビジネス協議会（JBCE）と、EUの資金拠出を受けたStandICT.eu事務局が協力覚書に署名している。家電やウェアラブル機器など、インターネットにつながる製品を日本と欧州の双方で売る企業にとって、両地域のセキュリティ要件がどう近づくのかは見逃せない動きだ。今回の発表が何を意味するのか、制度の中身と今後の見通しを整理する。

覚書の中身：何が決まったのか

今回の協力の中心にあるのは、「CRA・JC-STAR技術ワーキンググループ（TWG）」と呼ばれる枠組みだ。このワーキンググループは、JC-STARとCRAの技術的な比較を行うために設けられたもので、JBCEが運営している。10月26日にブリュッセルで署名された協力覚書「日EU間のサイバーセキュリティ分野における制度及び標準化連携」により、JBCEとStandICT.eu事務局はこのワーキンググループでの協力を強めることになった。報道によると、署名はオンライン形式で行われた。

覚書に基づき、JBCEとStandICT.eu事務局は、両制度のセキュリティ要件を比較し、似ている点と異なる点を明らかにする作業を支援する。会議の開催を通じて、欧州と日本の専門家が直接対話できる場をつくり、継続的な交流も支えるという。経済産業省とIPAはJBCEと連携し、StandICT.eu事務局や欧州のサイバーセキュリティ専門家と共同で、制度そのものと具体的なセキュリティ要件の比較や分析を本格化させるとしている。

ここでいう「比較」とは、片方の制度をもう片方に合わせることではない。経済産業省の発表では、日本とEUがそれぞれの法域の規制上の自律性を十分に尊重しながら比較を行うとされている。つまり、両制度の違いを正確に把握したうえで、重なる部分を増やし、企業が二重の対応を強いられない方向を探るのが狙いだ。最終的には、IoT製品のセキュリティ制度に関心を持つ国々が参加する国際会議「GCLI（グローバル・サイバーセキュリティ・ラベリング・イニシアティブ）」への参画を通じ、制度の調和やルール形成に国際的に貢献することも視野に入れている。

JC-STARとは何か

JC-STARは「セキュリティ要件適合評価及びラベリング制度」の略称で、IoT製品のセキュリティ対策を評価し、適合した製品にラベルを付ける日本の制度だ。IPAが2025年3月から運用している。製品が一定のセキュリティ要件を満たしていることを第三者が確認し、ラベルで見える化する仕組みで、消費者が製品を選ぶときの目安になることを目指している。

この制度はすでに国際的な広がりも見せている。2026年1月からは英国のPSTI法との相互承認が始まり、同年6月にはシンガポールのCLS（サイバーセキュリティ・ラベリング・スキーム）との相互承認も始まった。相互承認が進めば、日本で評価を受けた製品が他国の制度でも認められやすくなり、メーカーの手続き負担は軽くなる。今回のEUとの協力も、こうした相互承認の流れをさらに広げる一歩と位置づけられる。

日本国内では、2026年に入って大規模な個人情報の漏えいが相次いでおり、政府は11月5日に事業者向けの注意喚起も出している。基本的な対策の不足が原因とみられる事例が複数確認されたとして、ウェブサイトやモバイルアプリを運営する事業者にセキュリティ対策の徹底を求める内容だ。JC-STARのような制度は、製品側のセキュリティ水準を引き上げることで、こうした漏えいの入口を減らす役割も期待されている。

EUのCRAとは何か

EUのサイバーレジリエンス法（CRA）は、デジタル要素を含む製品に対してサイバーセキュリティ要件を課すEUの法律だ。2024年12月に発効した。2026年9月からは、脆弱性やインシデントの報告義務の適用が始まっている。さらに2027年12月からは、デジタル要素を含む製品に対する主要なサイバーセキュリティ要件が適用される予定だ。

CRAの対象は幅広い。スマートフォンや家電、ウェアラブル機器、産業用機器など、ネットワークにつながる製品の多くが対象になるとみられている。メーカーには、製品の設計段階からセキュリティを組み込むことや、脆弱性が見つかったときの報告と対応が求められる。EU市場で製品を販売する日本企業にとっても、無関係ではいられない法律だ。

日本とEUの制度は、成り立ちが異なる。JC-STARは適合評価とラベル表示を軸にした日本の制度で、CRAは法律で義務を課すEUの仕組みだ。だからこそ、両制度の要件を一つひとつ突き合わせて、どこが重なり、どこが違うのかを明らかにする作業が必要になる。今回のワーキンググループは、その土台づくりを担う。

日本企業への影響と今後の焦点

まず影響を受けるのは、IoT製品を日本と欧州の両方で販売しているメーカーだ。現状では、JC-STARの評価とCRAへの対応を別々に進める必要がある。両制度の比較が進み、要件の共通点が整理されれば、評価や試験の重複を減らせる可能性がある。特に中小のメーカーにとっては、対応コストの軽減につながるかどうかが大きな関心事になる。

次に注目したいのは、2027年12月に予定されるCRAの主要要件の適用開始だ。あと1年ほどしかない。日本企業はこの期限に向けて、製品のセキュリティ設計や脆弱性対応の体制を整える必要がある。今回の日EU協力が、要件の解釈や実務の進め方を分かりやすくするきっかけになれば、現場の負担は軽くなる。

ただし、過度な期待は禁物だ。今回の発表は協力の「本格化」であり、相互承認の合意ではない。制度の比較や分析が始まった段階で、具体的な成果が出るまでには時間がかかる。比較の結果、両制度の違いが大きい部分が見つかれば、調整にはさらに議論が必要になる。企業は、進み具合を定期的に確認しながら、自社の対応を進める必要がある。

消費者にとっての意味も見逃せない。JC-STARのラベルは、製品のセキュリティ水準を見分ける手がかりになる。EUでもCRAによって、製品のセキュリティ対策が底上げされると期待されている。日本とEUの制度が近づけば、消費者は国を問わず、同じような基準で製品を選べるようになる。スマート家電やウェアラブル機器を買うとき、ラベルの有無が判断材料の一つになる時代が近づいている。

今回の協力は、11月10日発行の業界紙でもトップで取り上げられるなど、製造業の関心も高い。背景には、世界的にサイバー攻撃の被害が広がっていることがある。IoT製品の数が増えるほど、攻撃の入口も増える。製品のセキュリティを制度で支える動きは、日本とEUの双方で加速している。両制度の比較がどこまで進むのか、今後のワーキンググループの議論が注目される。

Frequently Asked Questions

JC-STARとは何ですか

IoT製品のセキュリティ対策を評価し、適合した製品にラベルを付ける日本の制度だ。IPAが2025年3月から運用している。英国のPSTI法とは2026年1月から、シンガポールのCLSとは2026年6月から相互承認が始まっている。

EUのサイバーレジリエンス法（CRA）とは何ですか

デジタル要素を含む製品にサイバーセキュリティ要件を課すEUの法律で、2024年12月に発効した。2026年9月から脆弱性やインシデントの報告義務が始まっており、2027年12月からは製品に対する主要な要件が適用される予定だ。

今回の覚書で何が変わりますか

10月26日にJBCEとStandICT.eu事務局が協力覚書に署名し、両制度の技術的な比較を行うワーキンググループでの協力が強まった。経済産業省とIPAは、両制度や具体的なセキュリティ要件の比較と分析を本格化させる。相互承認の合意ではなく、比較と分析を進める段階だ。