JC-STAR・ISMAPは2027年7月から義務化？自治体調達の新ルールと未対応製品の扱い

結論からいうと、JC-STARやISMAPは、すべての事業者に一律で取得を命じる制度ではありません。

しかし、2027年7月1日に施行される地方自治法施行規則の改正と、総務省が示した自治体向けの調達手引書を合わせて読むと、情報資産の分類に応じて「認証・登録済みであること」を原則確認する考え方が示されています。案件によっては、事実上の調達要件になる可能性が高いと考えた方がよいでしょう。

一方で、JC-STARやISMAPに未対応なら、その時点で必ず失格になるわけでもありません。手引書には、未登録の機器やサービスについて、開発・製造・クラウド運用・サプライチェーンの管理状況を別の資料で確認する考え方も示されています。

ただし、ここで注意したいのは「認証がなくても書類を出せば大丈夫」という話ではないことです。必要な証拠を海外メーカーから集め、調達する自治体に適切だと判断してもらう必要があります。

私もIoT製品を扱う立場として、海外パートナーにどこまで対応できるか、今から確認する必要が出てきました。この記事では、制度を「義務化」と呼んでよいのか、未対応製品にはどんな余地があるのか、事業者が今から何を準備すべきかを整理します。

「義務化」と言い切ると少し違う
JC-STARとISMAPは同じ認証ではない
未対応製品でも「即失格」とは限らない
だから海外メーカーへの確認を今から始める
海外メーカーに送る確認メール例
「対応予定」と書くのも注意が必要
今から準備すること
まとめ：未対応でも即アウトではないが、準備は今から必要
参考資料

「義務化」と言い切ると少し違う

今回の土台となるのは、2027年7月1日に施行される地方自治法施行規則の改正です。改正規則自体がJC-STARやISMAPを直接義務づけるわけではありません。情報システム等の開発・導入・保守や、クラウドサービス、業務委託を適切に管理する枠組みを定め、これを実務に落とし込むために総務省が調達手引書を公表しました。

手引書は、地方自治法に基づく技術的な助言という位置づけです。また、選定基準の例についても「入札参加資格に関するものではない」と書かれています。したがって、「2027年7月1日以降、未認証製品は法律によって全面禁止される」と説明するのは正確ではありません。

ただし、任意だから気にしなくてよい、と考えるのも危険です。一方で、サプライチェーン・リスクが顕在化しても影響が軽微と考えられる案件では、手引書の全項目を考慮する必要はないともされています。案件によって適用範囲が変わる点には注意が必要です。

手引書の仕様書例では、情報資産の分類に応じて、受注事業者に対し、原則として次の制度で登録・評価された製品やサービスを提供するよう求めています。

JC-STAR：IP通信機能を持つ幅広いIoT製品。仕様書例では★1以上
ISMAP／ISMAP-LIU：クラウドサービス
デジタルマーケットプレイス（DMP）：ソフトウェア

実際の仕様書にこの条件が採用されれば、未登録製品を提案する側には追加説明が必要になります。政府の評価・登録制度に登録された製品なら、自治体側も確認項目を整理しやすく、提案する側の説明負担も下げられると考えられます。

法令上の一律義務ではなくても、私の実務上は、認証・登録済みの製品が提案しやすくなると考えています。未登録製品には追加説明が必要になるためです。これが「義務化に近い」と感じる理由です。

JC-STARとISMAPは同じ認証ではない

名前が並んで紹介されるため混同しやすいのですが、対象は異なります。

JC-STARは、IoT製品のセキュリティ要件への適合を示すラベリング制度です。STAR-1は、製品ベンダーが指定された要件と評価方法に基づき自己評価し、IPAが適合ラベルを付与する仕組みです。ラベルは完全な安全性を保証するものではありません。

ISMAPは、政府がクラウドサービスを調達する際のセキュリティ評価制度です。自治体向け手引書では、提供するクラウドサービスについて、ISMAPまたはISMAP-LIUのサービスリストへの掲載を確認する仕様書例が示されています。ただし、ISMAP-LIUはすべてのクラウドサービスが選べる代替制度ではなく、影響度が低い業務・情報を扱うSaaSが対象です。

対象	原則ルート	注意点
IoT機器	JC-STAR★1以上	PC・スマートフォン等は対象外
クラウド	ISMAP	サービス単位の掲載を確認
低影響度のSaaS	ISMAP-LIU	影響度が低い業務・情報向け
ソフトウェア	DMP	カタログ登録を確認
未登録の機器等	個別資料による確認	通過保証はなく、自治体が判断

IoT機器とクラウドが一体になったサービスなら、「端末はJC-STAR、クラウドはISMAP」という二つの確認が必要になる可能性があります。端末だけ確認して終わりではありません。

未対応製品でも「即失格」とは限らない

手引書では、政府の評価・登録制度に未登録の機器等についても、適切なサプライチェーン・リスク対策を確認する項目が示されています。

信頼できる品質保証体制
開発・製造工程で不正な変更がないことを確認する仕組み
開発・製造環境への物理的・論理的なアクセス制限
問題発生時に原因調査や排除へ協力できる体制
サプライヤーや再委託先を含む管理状況
本社所在地、資本関係、法的環境などによるリスク
第三者認証や監査結果
必要に応じたSBOMの作成・提供

つまり、代替確認の余地はあります。

ただし、これは認証取得より簡単な抜け道ではありません。国内販売会社やSIerだけで説明できない項目が多く、製品を開発した海外メーカー、クラウド運用部門、セキュリティ部門の協力が必要です。資料が存在していても、社外提出が禁止されていることもあります。

さらに、自治体機密性2以上の情報を扱う調達では、入札参加希望事業者に確認書の提出を求め、内容に異議がなければ承諾書を交付する記載例も示されています。最終的に認められるかどうかは、個別の仕様書と自治体側の判断によります。

だから海外メーカーへの確認を今から始める

施行まで時間があるように見えても、海外メーカーにとってJC-STARやISMAPは日本独自の制度です。「日本で必要になるので対応してください」とだけ送っても、優先順位を上げてもらえない可能性があります。

最初から認証取得を要求するより、まずは公式資料を共有し、次の三段階で回答してもらう方が現実的です。

対応できる可能性が高い
追加調査が必要
現時点では対応が難しい

確認したい内容は、少なくとも次の5点です。

製品がJC-STAR STAR-1の要件を満たせそうか
追加開発、試験、文書化が必要な項目はあるか
クラウドサービスがISMAPまたはISMAP-LIUの対象になり得るか
認証・登録が可能なら、最短でいつ頃か
期限に間に合わない場合、代替確認用の資料を提供できるか

ポイントは、製品担当者だけでなく、製品セキュリティやクラウドコンプライアンスの担当部署に回してもらうことです。認証の可否と、資料を社外へ提供できるかは、別の部署が判断することもあります。

海外メーカーに送る確認メール例

最初の連絡では、認証取得をいきなり要求するより、公式資料を見てもらい、対応可能性と不足項目を一次回答してもらう方が現実的です。実務で使える英文例は次のとおりです。

Subject: Request for Preliminary Assessment of JC-STAR and ISMAP Readiness
Dear [Name],

We are preparing for new supply-chain security requirements that will apply to Japanese local-government procurement from July 1, 2027.

Under the Japanese procurement guidance:

– IoT products are expected, in principle, to obtain JC-STAR Level 1 or higher.
– Cloud services are expected, in principle, to be registered under ISMAP or ISMAP-LIU.
– If the product or service is not registered, the customer may request alternative documentation to assess the supplier’s development, manufacturing, cloud-operation and supply-chain security controls.

We understand that [product/service name] is not currently registered under JC-STAR or ISMAP.

At this stage, we are not asking you to start the certification process immediately. We would first like your product-security and cloud-compliance teams to review the following official information and provide a preliminary assessment.

Official references:

1. JC-STAR overview in English
https://www.ipa.go.jp/en/security/jc-star/index.html

2. JC-STAR Level 1 requirements and assessment methods
https://www.ipa.go.jp/en/security/jc-star/tekigou-kizyun-guide/label1/s6ckaf000000ggej-att/STAR-1_Conformance_Requirements_and_Assessment_Methods.pdf

3. ISMAP overview in English
https://www.ismap.go.jp/csm?id=kb_article_view&sysparm_article=KB0010301

4. Japanese local-government procurement guidance
https://www.fdma.go.jp/laws/tutatsu/items/beef058c9c02772d62261f84a0094b77f47a81e7.pdf

Could you please review these materials and provide an initial response to the following questions?

1. Based on your preliminary review, could [product name] potentially meet the JC-STAR Level 1 requirements?

2. Are there any known requirements that the current product does not meet or that would require additional development, testing or documentation?

3. Could the associated cloud service potentially be registered under ISMAP or ISMAP-LIU? If another department is responsible for cloud security or compliance, please forward this request to them.

4. If certification or registration is feasible, what would be the earliest realistic timeframe?

5. If JC-STAR or ISMAP registration cannot be completed by July 2027, could you provide alternative evidence such as:

– Security or quality-management policies
– Secure development and change-management procedures
– Development-environment access controls
– Supplier and subcontractor management procedures
– Vulnerability assessment or penetration-test reports
– Incident-response and investigation procedures
– ISO 27001, SOC 2 or other third-party certifications
– SBOM information
– Cloud architecture, hosting locations and subprocessor information

A high-level preliminary answer is sufficient for this first step. Please classify each area as:

– Likely feasible
– Further investigation required
– Not currently feasible

We would appreciate your initial response by 2026/10/19. After receiving it, we can discuss the detailed requirements and the appropriate approach for Japan.

Best regards,

[Name]

「対応予定」と書くのも注意が必要

まだ適合ラベルを取得していない製品について、販売資料などで安易に「JC-STAR対応予定」「申請中」と表示するのは避けるべきです。

IPAは、申請が受理されて受理番号が通知される前に、「JC-STAR適合予定」「適合ラベル取得申請中」などと表示することを認めていません。受理番号の取得後であっても、対外的に案内するには所定の手続きで仮登録番号を取得し、その番号を記載する必要があります。海外メーカーから前向きな回答を得ただけでは、販売資料やWebサイトに「JC-STAR対応予定」と表示できません。

社内検討やメーカーとのロードマップ確認と、対外的な表示は分けて考える必要があります。

今から準備すること

まず、扱っている製品とサービスを「IoT機器」「クラウドサービス」「ソフトウェア」に分け、どの制度が関係するかを整理します。

次に、メーカーへ公式資料を送り、認証・登録の可能性とロードマップを確認します。並行して、認証が間に合わない場合に備え、品質管理、セキュア開発、アクセス制御、脆弱性診断、インシデント対応、第三者認証、SBOM、クラウド構成やデータ保管場所など、提供可能な資料を洗い出します。

そのうえで、実際の案件では入札仕様書を確認し、自治体や元請けに「代替資料による確認が可能か」「どの書式が必要か」を早めに相談するのが現実的です。制度上の余地があっても、個別案件で必ず採用されるとは限りません。

まとめ：未対応でも即アウトではないが、準備は今から必要

JC-STARやISMAPは、すべての製品・事業者に直接課される一律の法的義務ではありません。一方で、自治体向け手引書の仕様書例では、情報資産の分類に応じて、政府の評価・登録制度への登録状況を原則として確認する考え方が示されています。

ただし、サプライチェーン・リスクが顕在化しても影響が軽微と考えられる案件では、手引書の全項目を考慮する必要はないともされています。すべての自治体調達に同じ条件が一律適用されるわけではありません。それでも実務では、「認証は任意だから何もしなくてよい」ではなく、「認証・登録済みが標準ルートで、未登録なら追加の説明責任が生じる」と考えるのが近いでしょう。

未対応製品にも代替確認の余地はあります。しかし、必要書類は販売会社だけで用意できるものではありません。海外メーカーの製品セキュリティ部門やクラウド部門を巻き込み、対応可能性と資料提供の可否を今から確認しておく必要があります。

2027年7月1日を迎えてから動くのでは遅い。今回の制度変更は、認証の有無だけでなく、メーカーとどこまでセキュリティ情報を共有できるかを確認する機会だと考えています。