JC-STARとCRA(サイバーレジリエンス法)は、どちらもIoT機器のセキュリティ対策に関係する制度ですが、JC-STARは日本国内向けの任意の適合ラベリング制度、CRAはEU市場向けの法規制という点で性質が大きく異なります。
【結論】 JC-STARは経済産業省の方針に基づきIPAが運営する日本国内向けの適合ラベリング制度で、取得は任意です。CRAはEU市場に対象となる「デジタル要素を含む製品」を提供する事業者に法的義務を課すEUの規則で、違反時には罰則があります。
EU向けにCRAの対象製品を扱う場合は対応が必要です(報告義務は2026年9月11日、必須要件・適合性評価等の全面適用は2027年12月11日から)。国内市場中心で、自社製品がJC-STARの対象であれば、取引先や調達要件等も踏まえてJC-STAR★1の取得を検討します。
脆弱性対応体制の構築は両制度に共通しますが、SBOM整備の要否・範囲は制度によって異なります(詳細は5章)。
本記事では、JC-STARとCRAの制度概要を整理したうえで、対象市場、義務の強制力、SBOMの扱いの違いを比較し、国内向け・EU向けそれぞれの製品でどのような対応を検討すべきかを解説します。
JC-STARとCRAの違いを一言で表すと、対象市場と義務の強制力の違いに集約されます。
以下の比較表で全体像を整理します。
|
比較項目 |
JC-STAR |
CRA |
|
制度の性質 |
日本の適合性評価・ラベリング制度 |
EUの規則(法規制) |
|
運営主体 |
経済産業省の方針に基づきIPAが運営 |
欧州委員会・EU加盟国当局 |
|
主な対象市場 |
日本国内 |
EU市場 |
|
対応の義務 |
ラベル取得は任意 |
対象製品には法的義務 |
|
罰則 |
CRAのような制裁金規定はない |
最大1500万ユーロまたは全世界売上高2.5%等 |
|
SBOMの扱い |
現在公開されている通信機器・ネットワークカメラ向け★3要件で作成・更新等を要求 |
製造者の義務の一部として整備・管理が必要 |
JC-STARは、事業者が自らの意思で取得を検討する適合性評価・ラベリング制度です。
取得しなくても罰則はありませんが、IPAは政府機関・重要インフラ・地方公共団体等の調達要件にラベル製品の選定を含めるよう働きかけを進めており、今後、取引先などからラベル取得を求められる可能性があります。
一方でCRAは、EU市場で提供される対象製品に適用される法規制であり、製造者・輸入者・流通業者等にはそれぞれの立場に応じた義務が課されます。
適用除外に該当しない対象製品については、任意に対応しないという選択はできません。
JC-STAR(セキュリティ要件適合評価及びラベリング制度)とは、経済産業省の方針に基づきIPAが運営する、IoT製品向けのセキュリティ適合ラベリング制度です。
★1の申請受付は2025年3月25日より開始されました。
（出典：経済産業省「IoT製品に対するセキュリティラベリング制度(JC-STAR)の運用を開始しました」）
制度全体の詳しい仕組みについては、以下の記事でも解説しています。
JC-STARには★1から★4までの4段階のレベルがあり、レベルによって評価方式が異なります。
|
レベル |
評価方式 |
想定される用途 |
|
★1 |
自己適合宣言(ベンダー自身が評価) |
製品共通の最低限のセキュリティ要件 |
|
★2 |
自己適合宣言(ベンダー自身が評価) |
製品類型ごとに追加される基本的な要件 |
|
★3・★4 |
第三者評価+IPAによる認証・ラベル付与 |
政府機関・重要インフラ等、高いセキュリティが求められる用途 |
上記のレベル区分は経済産業省の公表資料に基づきます。
（出典：経済産業省「IoT製品に対するセキュリティラベリング制度(JC-STAR)の運用を開始しました」）
2026年8月現在、実際に申請受付・運用されているのは★1のみです。★2および★3・★4については、IPAが2026年以降の申請受付開始を計画しています。
JC-STAR★1の取得は、大きく5つのステップで進みます。
対象製品と適合基準を確認する
自己評価を行い、自己適合宣言書等の必要書類を準備する
IPAのオンライン申込フォームで申請番号を取得し、書類一式を提出する(受領)
IPAが経済産業省とともに書類を確認し、受理されると手数料支払いの案内が届く
手数料を支払い、適合ラベルの交付を受ける
申請手数料は198,000円(税込)、ラベルの新規有効期間は発行日から最大2年間です。
（出典：IPA「申請手続き・報告手続き」）
具体的な申請書類・実務の流れについては、以下の記事でさらに詳しく解説しています。
CRA(Cyber Resilience Act)とは、正式名称を規則(EU)2024/2847とするEUの規則です。
2024年11月20日にEU官報で公布され、公布から20日後の2024年12月10日に発効しました。
（出典：European Commission「Cyber Resilience Act」）
CRAは、EU市場で提供され、意図された目的または合理的に予見可能な使用において、デバイスやネットワークへの直接・間接の論理的または物理的データ接続を伴う「デジタル要素を含む製品」を対象とします。
ソフトウェア・ハードウェアの双方が対象になり得ますが、一部の製品には適用除外があります。
製造者には、次のような義務が課されます。
サイバーセキュリティリスク評価とセキュア設計
SBOM(ソフトウェア部品表)の整備
悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告
適合性評価・技術文書の作成・CEマーキング
サポート期間の設定
輸入者・流通業者にも、それぞれの立場に応じた確認義務があります。
CRAの主要な義務は段階的に適用されます。
2026年9月11日: 悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告義務が適用開始
2027年12月11日: 必須要件・適合性評価などが全面適用開始
違反時の罰則は義務の区分によって異なり、必須要件違反等では最大1500万ユーロまたは全世界年間売上高の2.5%のいずれか高い方が上限となります。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）
CRAの対象範囲・義務・準備の進め方については、以下の記事でさらに詳しく解説しています。
両制度の実務上の違いは、「対応しなかった場合に何が起きるか」に最も表れます。
|
観点 |
JC-STAR |
CRA |
|
対応しない場合 |
罰則はないが、取引先や入札等でラベル取得を求められる場合がある |
不適合の場合、是正措置やEU市場での提供の制限・禁止、撤回・リコール、罰則等の対象になる可能性がある |
|
対応の優先度の目安 |
国内向け製品・取引先からの要請がある場合に検討 |
EU向けに対象製品を出荷・供給する場合は、施行時期に応じた対応が必要 |
企業の所在地ではなく製品がEU市場で提供されるかどうかが基準になるため、日本企業であってもCRAの対象になり得る点には注意が必要です。
ただし、CRAにはOSS(商業活動の一環として提供されないもの等)の例外をはじめ対象外となる製品区分もあるため、自社製品が対象に含まれるかどうかは個別に確認が必要です。
SBOM(ソフトウェア部品表)は、両制度に共通して登場するキーワードですが、求められる位置づけは異なります。
JC-STARでは、通信機器・ネットワークカメラ向けの★3(レベル3)適合基準において、SBOMに関する次のような要件が定められています。
サードパーティコンポーネントを含むSBOMの作成
サポート期間中のSBOM更新
SBOMを利用した定期的な脆弱性確認・対応
SBOMを利用したライセンス管理
上記はIPAが公開している★3(レベル3)適合基準に基づきます。
（出典：IPA「★3(レベル3)適合基準・評価手順」）
CRAでは、製造者に対し、製品に含まれる脆弱性やコンポーネントを特定・文書化し、少なくともトップレベルの依存関係を含む、一般的に使用される機械可読形式のSBOMを作成することが求められます。
SBOMは技術文書にも含まれ、必要な場合には市場監視当局からの理由を示した要求に応じて提供します。
両制度が求めるSBOMの具体的な様式・粒度は異なるため、一方の対応をそのまま他方の要件に流用できるとは限らない点に注意してください。
JC-STARとCRAは、どちらか一方を選んで対応する制度ではなく、自社製品がどの市場に投入されるかによって、対応方針がそれぞれ異なります。
EU向けに、CRAの対象となるデジタル要素を含む製品を出荷・供給している(または予定がある)場合、CRA対応が必要になります。
悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告義務は2026年9月11日から、必須要件・適合性評価などの全面適用は2027年12月11日から始まるため、施行時期を踏まえて準備を進める必要があります。
JC-STARの取得自体は任意ですが、国内の取引先から求められる場合は並行して検討するとよいでしょう。
国内市場が中心で自社製品がJC-STARの対象であれば、取引先や調達要件等も踏まえてJC-STAR★1の取得を検討します。
将来的にEU向け展開を見据えているのであれば、CRAが求める要件(SBOM整備、脆弱性対応体制等)を早めに把握しておくと、後から二重対応の手戻りが発生するのを防ぎやすくなります。
両制度の要件を個別に満たすというより、共通して土台になる社内準備から着手すると効率的です。
自社製品に組み込まれているソフトウェアコンポーネントを棚卸しし、SBOMを整備できる体制を整えておく(CRA対応や、現在公開されているJC-STAR★3要件への対応に役立ちます)
脆弱性情報を受け付け、対応する社内体制(PSIRT等)を整備する
製品のセキュリティ要件(初期パスワード対策、暗号化、アップデート機能等)の現状を把握する
対応スケジュール・体制・予算について社内合意を形成する
いいえ、両制度は別の枠組みであり、JC-STARの取得だけでCRAの義務を満たしたことにはなりません。
ただし、ソフトウェアコンポーネントの棚卸しやSBOMの整備など、社内の体制構築で重なる部分があるため、一方の準備がもう一方の対応を進めやすくする効果は見込めます。
CRAでは、企業の所在地ではなく、製品がEU市場で提供されるかどうかが重要になります。
そのため、日本企業であってもEU向け製品を扱う場合はCRAの義務・罰則の対象になり得ます。
自社製品を国内市場・EU市場の両方で提供する場合は、EU向け製品についてCRAへの対応を進めつつ、国内向けについては自社製品がJC-STARの対象かを確認し、取引先や調達要件等も踏まえてラベル取得を検討します。
CRAは施行時期が明確なため(悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告義務は2026年9月11日、必須要件・適合性評価等の全面適用は2027年12月11日)、まずEU向け製品のCRA対応を計画に組み込みます。
国内向け製品でJC-STARの対象となるものについては、取引先や調達要件等を踏まえて★1取得を並行して検討すると、脆弱性対応体制の整備など共通する準備を効率的に進めやすくなります。
2027年12月11日より前にEU市場へ投入された製品は、原則として、同日以降に実質的な変更が行われた場合にCRAの全面的な要件の対象になります。
（出典：European Commission「The Cyber Resilience Act - Summary of the legislative text」）
ただし、2026年9月11日から始まる、悪用が確認された脆弱性・製品のセキュリティに影響を及ぼす重大インシデントの報告義務は、2027年12月11日以前にEU市場へ投入された製品にも適用されます。
JC-STARは日本国内向けの任意の適合ラベリング制度、CRAはEU市場向けの法規制という点で性質が異なりますが、脆弱性対応体制の構築など、共通して求められる準備もあります。
自社製品が国内向けかEU向けかを踏まえて、それぞれに必要な対応を計画的に進めることが重要です。
自社だけでの判断が難しい部分は、専門の支援サービスへの相談がおすすめです。
JC-STARの取得やCRA対応を検討する際、要件の解釈や証跡の整理、SBOM整備の実務などを自社だけで判断するのは負荷が大きい場合があります。
当社では、IoTセキュリティに関する以下のサービスでご相談を承っています。
「JC-STAR取得支援サービス」は、JC-STAR★1の適合基準の確認から実機テスト、申請書類作成までを実務担当者に伴走する形で支援するサービスです。
「何から手をつければいいか分からない」という段階からのご相談も可能です。
「IoT脆弱性診断」は、企画・設計段階から出荷後まで、複数のタイミングでIoT機器のセキュリティリスクを評価するサービスです。
ハードウェア・ファームウェア・機器仕様・アップデート方式の4層を対象に診断し、報告書提出後の改善提案や再診断までを一貫してサポートします。
JC-STARの適合基準確認やCRAが求めるセキュリティリスク評価の材料としても活用できます。
CRAが求めるSBOM整備や、現在公開されている通信機器・ネットワークカメラ向けJC-STAR★3要件で求められるSBOMの作成・更新には、「SBOMスキャナ」が候補になります。
バイナリデータを解析して検出可能なOSSコンポーネントを自動で洗い出し、SPDX・CycloneDXなどの機械可読形式によるSBOMの作成・更新を支援します。
弊社、サイエンスパーク株式会社は1994年の創業より、ソフトウェア・ハードウェアのセキュリティ対策を30年以上に渡り続けてまいりました。
セキュリティリスクの診断から対策導入・運用までのお手伝いが可能ですので、お気軽にお問い合わせくださいませ。
ご相談だけでも大歓迎です。
参考情報・出典
・IPA「セキュリティ要件適合評価及びラベリング制度(JC-STAR)」
・経済産業省「IoT製品に対するセキュリティラベリング制度(JC-STAR)の運用を開始しました」
・European Commission「Cyber Resilience Act」
・European Commission「The Cyber Resilience Act - Summary of the legislative text」