IoTセキュリティ

2026.09.18

JC-STARとCRAの違いとは？IoTセキュリティ認証・規制を比較して整理する

By 富樫葵

JC-STARとCRA(サイバーレジリエンス法)は、どちらもIoT機器のセキュリティ対策に関係する制度ですが、JC-STARは日本国内向けの任意の適合ラベリング制度、CRAはEU市場向けの法規制という点で性質が大きく異なります。

【結論】 JC-STARは経済産業省の方針に基づきIPAが運営する日本国内向けの適合ラベリング制度で、取得は任意です。CRAはEU市場に対象となる「デジタル要素を含む製品」を提供する事業者に法的義務を課すEUの規則で、違反時には罰則があります。

EU向けにCRAの対象製品を扱う場合は対応が必要です(報告義務は2026年9月11日、必須要件・適合性評価等の全面適用は2027年12月11日から)。国内市場中心で、自社製品がJC-STARの対象であれば、取引先や調達要件等も踏まえてJC-STAR★1の取得を検討します。
脆弱性対応体制の構築は両制度に共通しますが、SBOM整備の要否・範囲は制度によって異なります(詳細は5章)。

本記事では、JC-STARとCRAの制度概要を整理したうえで、対象市場、義務の強制力、SBOMの扱いの違いを比較し、国内向け・EU向けそれぞれの製品でどのような対応を検討すべきかを解説します。

JC-STARとCRAは何が違うのか？（結論）
1. 制度の性質はどう違うのか？
JC-STARとはどんな制度か？
1. JC-STARのレベル（★1～★4）はどう違うのか？
2. JC-STAR★1取得までの流れ・費用はどのくらいか？
CRA（サイバーレジリエンス法）とはどんな規制か？
1. CRAの対象製品・義務は何か？
2. CRAの適用スケジュール・罰則はどうなっているか？
JC-STARとCRA、対象市場・義務の強制力はどう違うのか？
JC-STARとCRA、SBOMの扱いはどう違うのか？
国内向け製品・EU向け製品で、対応はどう変わるのか？
1. EU向け製品を扱う場合はどうすべきか？
2. 国内市場中心の場合はどうすべきか？
JC-STARとCRAに共通して必要な準備は何か？
よくある質問
まとめ
当社が支援できること

1. JC-STARとCRAは何が違うのか？(結論）

JC-STARとCRAの違いを一言で表すと、対象市場と義務の強制力の違いに集約されます。
以下の比較表で全体像を整理します。

比較項目	JC-STAR	CRA
制度の性質	日本の適合性評価・ラベリング制度	EUの規則(法規制)
運営主体	経済産業省の方針に基づきIPAが運営	欧州委員会・EU加盟国当局
主な対象市場	日本国内	EU市場
対応の義務	ラベル取得は任意	対象製品には法的義務
罰則	CRAのような制裁金規定はない	最大1500万ユーロまたは全世界売上高2.5%等
SBOMの扱い	現在公開されている通信機器・ネットワークカメラ向け★3要件で作成・更新等を要求	製造者の義務の一部として整備・管理が必要

1.1 制度の性質はどう違うのか？

JC-STARは、事業者が自らの意思で取得を検討する適合性評価・ラベリング制度です。
取得しなくても罰則はありませんが、IPAは政府機関・重要インフラ・地方公共団体等の調達要件にラベル製品の選定を含めるよう働きかけを進めており、今後、取引先などからラベル取得を求められる可能性があります。

一方でCRAは、EU市場で提供される対象製品に適用される法規制であり、製造者・輸入者・流通業者等にはそれぞれの立場に応じた義務が課されます。

適用除外に該当しない対象製品については、任意に対応しないという選択はできません。

2. JC-STARとはどんな制度か？

JC-STAR(セキュリティ要件適合評価及びラベリング制度)とは、経済産業省の方針に基づきIPAが運営する、IoT製品向けのセキュリティ適合ラベリング制度です。
★1の申請受付は2025年3月25日より開始されました。
（出典：経済産業省「IoT製品に対するセキュリティラベリング制度(JC-STAR)の運用を開始しました」）

制度全体の詳しい仕組みについては、以下の記事でも解説しています。

JC-STARとは？IoTセキュリティ認証制度について解説

2.1 JC-STARのレベル(★1～★4)はどう違うのか？

JC-STARには★1から★4までの4段階のレベルがあり、レベルによって評価方式が異なります。

レベル	評価方式	想定される用途
★1	自己適合宣言(ベンダー自身が評価)	製品共通の最低限のセキュリティ要件
★2	自己適合宣言(ベンダー自身が評価)	製品類型ごとに追加される基本的な要件
★3・★4	第三者評価+IPAによる認証・ラベル付与	政府機関・重要インフラ等、高いセキュリティが求められる用途

上記のレベル区分は経済産業省の公表資料に基づきます。
（出典：経済産業省「IoT製品に対するセキュリティラベリング制度(JC-STAR)の運用を開始しました」）

2026年8月現在、実際に申請受付・運用されているのは★1のみです。★2および★3・★4については、IPAが2026年以降の申請受付開始を計画しています。

2.2 JC-STAR★1取得までの流れ・費用はどのくらいか？

JC-STAR★1の取得は、大きく5つのステップで進みます。

対象製品と適合基準を確認する
自己評価を行い、自己適合宣言書等の必要書類を準備する
IPAのオンライン申込フォームで申請番号を取得し、書類一式を提出する(受領)
IPAが経済産業省とともに書類を確認し、受理されると手数料支払いの案内が届く
手数料を支払い、適合ラベルの交付を受ける

申請手数料は198,000円(税込)、ラベルの新規有効期間は発行日から最大2年間です。
（出典：IPA「申請手続き・報告手続き」）

具体的な申請書類・実務の流れについては、以下の記事でさらに詳しく解説しています。

JC-STAR★1取得の流れと必要書類～中小IoTメーカー向け実務ガイド～

3. CRA（サイバーレジリエンス法）とはどんな規制か？

CRA(Cyber Resilience Act)とは、正式名称を規則(EU)2024/2847とするEUの規則です。
2024年11月20日にEU官報で公布され、公布から20日後の2024年12月10日に発効しました。
（出典：European Commission「Cyber Resilience Act」）

3.1 CRAの対象製品・義務は何か？

CRAは、EU市場で提供され、意図された目的または合理的に予見可能な使用において、デバイスやネットワークへの直接・間接の論理的または物理的データ接続を伴う「デジタル要素を含む製品」を対象とします。

ソフトウェア・ハードウェアの双方が対象になり得ますが、一部の製品には適用除外があります。
製造者には、次のような義務が課されます。

サイバーセキュリティリスク評価とセキュア設計
SBOM(ソフトウェア部品表)の整備
悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告
適合性評価・技術文書の作成・CEマーキング
サポート期間の設定

輸入者・流通業者にも、それぞれの立場に応じた確認義務があります。

3.2 CRAの適用スケジュール・罰則はどうなっているか？

CRAの主要な義務は段階的に適用されます。

2026年9月11日: 悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告義務が適用開始
2027年12月11日: 必須要件・適合性評価などが全面適用開始

違反時の罰則は義務の区分によって異なり、必須要件違反等では最大1500万ユーロまたは全世界年間売上高の2.5%のいずれか高い方が上限となります。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）

CRAの対象範囲・義務・準備の進め方については、以下の記事でさらに詳しく解説しています。

サイバーレジリエンス法(CRA)とは？日本のIoTメーカーが今から準備すべきこと

4. JC-STARとCRA、対象市場・義務の強制力はどう違うのか？

両制度の実務上の違いは、「対応しなかった場合に何が起きるか」に最も表れます。

観点	JC-STAR	CRA
対応しない場合	罰則はないが、取引先や入札等でラベル取得を求められる場合がある	不適合の場合、是正措置やEU市場での提供の制限・禁止、撤回・リコール、罰則等の対象になる可能性がある
対応の優先度の目安	国内向け製品・取引先からの要請がある場合に検討	EU向けに対象製品を出荷・供給する場合は、施行時期に応じた対応が必要

企業の所在地ではなく製品がEU市場で提供されるかどうかが基準になるため、日本企業であってもCRAの対象になり得る点には注意が必要です。

ただし、CRAにはOSS(商業活動の一環として提供されないもの等)の例外をはじめ対象外となる製品区分もあるため、自社製品が対象に含まれるかどうかは個別に確認が必要です。

5. JC-STARとCRA、SBOMの扱いはどう違うのか？

SBOM(ソフトウェア部品表)は、両制度に共通して登場するキーワードですが、求められる位置づけは異なります。

JC-STARでは、通信機器・ネットワークカメラ向けの★3(レベル3)適合基準において、SBOMに関する次のような要件が定められています。

サードパーティコンポーネントを含むSBOMの作成
サポート期間中のSBOM更新
SBOMを利用した定期的な脆弱性確認・対応
SBOMを利用したライセンス管理

上記はIPAが公開している★3(レベル3)適合基準に基づきます。
（出典：IPA「★3(レベル3)適合基準・評価手順」）

CRAでは、製造者に対し、製品に含まれる脆弱性やコンポーネントを特定・文書化し、少なくともトップレベルの依存関係を含む、一般的に使用される機械可読形式のSBOMを作成することが求められます。

SBOMは技術文書にも含まれ、必要な場合には市場監視当局からの理由を示した要求に応じて提供します。

両制度が求めるSBOMの具体的な様式・粒度は異なるため、一方の対応をそのまま他方の要件に流用できるとは限らない点に注意してください。

6. 国内向け製品・EU向け製品で、対応はどう変わるのか？

JC-STARとCRAは、どちらか一方を選んで対応する制度ではなく、自社製品がどの市場に投入されるかによって、対応方針がそれぞれ異なります。

6.1 EU向け製品を扱う場合はどうすべきか？

EU向けに、CRAの対象となるデジタル要素を含む製品を出荷・供給している(または予定がある)場合、CRA対応が必要になります。

悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告義務は2026年9月11日から、必須要件・適合性評価などの全面適用は2027年12月11日から始まるため、施行時期を踏まえて準備を進める必要があります。

JC-STARの取得自体は任意ですが、国内の取引先から求められる場合は並行して検討するとよいでしょう。

6.2 国内市場中心の場合はどうすべきか？

国内市場が中心で自社製品がJC-STARの対象であれば、取引先や調達要件等も踏まえてJC-STAR★1の取得を検討します。

将来的にEU向け展開を見据えているのであれば、CRAが求める要件(SBOM整備、脆弱性対応体制等)を早めに把握しておくと、後から二重対応の手戻りが発生するのを防ぎやすくなります。

7. JC-STARとCRAに共通して必要な準備は何か？

両制度の要件を個別に満たすというより、共通して土台になる社内準備から着手すると効率的です。

自社製品に組み込まれているソフトウェアコンポーネントを棚卸しし、SBOMを整備できる体制を整えておく(CRA対応や、現在公開されているJC-STAR★3要件への対応に役立ちます)
脆弱性情報を受け付け、対応する社内体制(PSIRT等)を整備する
製品のセキュリティ要件(初期パスワード対策、暗号化、アップデート機能等)の現状を把握する
対応スケジュール・体制・予算について社内合意を形成する

8. よくある質問

8.1 JC-STARを取得すればCRAにも対応したことになるのか？

いいえ、両制度は別の枠組みであり、JC-STARの取得だけでCRAの義務を満たしたことにはなりません。

ただし、ソフトウェアコンポーネントの棚卸しやSBOMの整備など、社内の体制構築で重なる部分があるため、一方の準備がもう一方の対応を進めやすくする効果は見込めます。

8.2 CRAは日本企業にも適用されるのか？

CRAでは、企業の所在地ではなく、製品がEU市場で提供されるかどうかが重要になります。
そのため、日本企業であってもEU向け製品を扱う場合はCRAの義務・罰則の対象になり得ます。

8.3 自社製品が国内向け・EU向けの両方に該当する場合、どう進めればよいか？

自社製品を国内市場・EU市場の両方で提供する場合は、EU向け製品についてCRAへの対応を進めつつ、国内向けについては自社製品がJC-STARの対象かを確認し、取引先や調達要件等も踏まえてラベル取得を検討します。

CRAは施行時期が明確なため(悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告義務は2026年9月11日、必須要件・適合性評価等の全面適用は2027年12月11日)、まずEU向け製品のCRA対応を計画に組み込みます。

国内向け製品でJC-STARの対象となるものについては、取引先や調達要件等を踏まえて★1取得を並行して検討すると、脆弱性対応体制の整備など共通する準備を効率的に進めやすくなります。

8.4 2027年12月11日より前にEU市場へ投入した既存製品もCRAの対象になるのか？

2027年12月11日より前にEU市場へ投入された製品は、原則として、同日以降に実質的な変更が行われた場合にCRAの全面的な要件の対象になります。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）

ただし、2026年9月11日から始まる、悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告義務は、2027年12月11日以前にEU市場へ投入された製品にも適用されます。