★1 は製品一台の最低限の要件（初期パスワードの変更、更新手段の提供など）を確認する制度で、取得後の継続義務はガイドライン上ない。一方、損害の規模を決めるのは、一つの配信サーバー・一つの管理者認証・一つの制御面から同時に動く容量である。製品単体のラベルはそれを評価しない。引受・審査の側がこの 5 項目を確認すれば、ラベルの外形に頼らずにリスクを価格に反映でき、設備所有者と施工者の側にも対応する動機が生まれる。
解説動画（約6分半）
他言語版: 日本語 ／ English ／ 简体中文 ／ 再生リスト ／ 第2弾（供給の集中と標的構造・約8分）: 電力網ラベルに潜むサイバーリスク ／ 意見の出し方: 11月6日までに意見を
1. 要件の内容と、要件が評価しない事項
改定案は、2027 年 4 月以降に系統連系する IP 通信機能付き機器（PCS、蓄電池、EV 充電器、監視装置など）に JC-STAR★1 ラベルの取得を求める。制度運用者の IPA は 2026 年 7 月、当社の照会に次のとおり文書で回答している（原文は回答データセット）。
JC-STAR は対象とする「機器」に対して「境界防御」という考えは導入していない。
ラベル取得製品をどの場所に設置するのかによってラベルの効力が変わることはない。
「適合ラベル取得済み」は、「安全に設置・運用されている」ことではない。
また資源エネルギー庁は同月、境界防御や IEC 62443 等の代替措置と比較評価した資料、既設設備への影響を評価した資料は存在しないと文書で回答している。つまり、ラベルの効果の大きさを示す資料も、設備単位の安全を示す資料も、制度側にはない。
2. 確認したい 5 項目
設備所有者・施工者・メーカーに対して、そのまま質問として使える形で示す。
- 同一ファームウェア配信系統に属する容量（kW）と台数配信サーバーや署名鍵が侵害されると、更新は正規の経路で同時に全台へ届く。一件の事故が一サイトで止まらない。質問: この設備の PCS・蓄電池は、どのメーカーのどの配信系統から更新を受け取るか。同じ系統に属する機器は国内で概ね何台・何 kW か。
- 一つの管理者認証情報で同時に操作できる容量の上限上限が無ければ、認証情報一件の漏えいで制御面全体が動く。質問: メーカーのクラウドまたは保守用遠隔接続から、出力制御・停止・設定変更ができるか。一つの認証情報で同時に操作し得る台数・合計容量に上限はあるか。
- 遠隔命令で到達し得る最低運転点と出力変化率の制限が、機器側で固定されているか固定されていれば、侵害されても系統擾乱の規模は機器側で頭打ちになる。遠隔から変更できるなら、頭打ちはない。質問: 遠隔命令で出力を 0% まで落とせるか、それとも定格の一定割合が下限か。変化率の上限は機器に固定か、遠隔から書き換え可能か。
- 通信断時の挙動（直前の指令値を保持するか、安全側の既定運転に戻るか）復旧までの間の挙動が、周波数低下による他設備の脱落といった二次損害を左右する。質問: 外部通信が途絶したとき、機器は何をするか。それは仕様書に書かれているか。
- 設備が外部ネットワークから制御点へ到達できない構成かゲートウェイやゾーン分割による境界防御は、製品ラベルが評価しない、設備単位の到達可能性を決める。質問: 現場のネットワーク境界に自前の装置があるか。機器が外へ出せる通信先は列挙されているか。系統運用者の指令経路とメーカーの保守経路は分かれているか。
3. 海外制度との違い
| 制度 | 評価単位 | 継続義務 |
|---|---|---|
| JC-STAR★1（日本・改定案） | 製品単体のラベル（自己適合宣言） | ラベル取得後の継続義務はガイドライン上なし |
| EU サイバーレジリエンス法（CRA、規則 (EU) 2024/2847） | 製品＋製造者 | 悪用された脆弱性の 24 時間以内の早期警告、サポート期間中の更新提供義務（報告義務は 2026 年 9 月 11 日から適用） |
| 米 NERC CIP-002-5.1a | 一つのサイバーシステムが制御する発電容量（1,500 / 3,000 MW） | 容量に応じた管理要件、監査 |
| 英 PSTI 法（2024 年 4 月 29 日施行） | 製品＋製造者 | 初期パスワード禁止、脆弱性開示窓口、更新提供期間の明示 |
評価の単位が製品単体か、設備・事業者・容量か。取得後に続く義務があるか。この二点で日本の改定案は他と異なり、引受・審査の側が補わなければ、誰も見ない空白になる。
4. 当社の立場
当社は要件化そのものに反対しているのではない。ラベルの有無だけで「対策済み」と扱われることによって、上記 5 項目が審査から抜け落ちることを懸念している。引受条件・特約・融資の審査項目にこの 5 項目が入れば、設備所有者と施工者は、ラベルを取るだけでなく設備を守る構成を選ぶ動機を持つ。制度の修正を待たずに市場の側で始められる手である。
この頁の内容は、日本損害保険協会、大手損害保険会社の企業向け部門、政府系金融機関の再生可能エネルギー融資窓口に情報提供として送付している。送付日と受領の有無は台帳に記す。
この文書が言わないこと
特定の製品や事業者のリスクが高い、とは言わない。★1 に効果がない、とも言わない。初期パスワードの廃止や更新手段の提供は、機器一台への侵入に対して意味がある。保険料率や融資条件の具体的な水準を提案するものでもない。述べているのは、製品ラベルが評価しない項目があり、その項目が損害の規模を決めるという事実と、制度側にその空白を埋める資料が存在しないという所管庁の回答だけである。
出典
- 資源エネルギー庁「『電力品質確保に係る系統連系技術要件ガイドライン』改定案」および意見公募要領（2026年10月6日公示、e-Gov 案件番号 620340012、受付締切 2026年11月6日）
- 資源エネルギー庁 電力基盤整備課による当社公開質問への文書回答（2026年7月13日・16日・30日）、IPA セキュリティセンター 技術評価部による文書回答（2026年7月19日・25日・26日）。原文は回答データセット（CC BY 4.0）
- NERC CIP-002-5.1a; Regulation (EU) 2024/2847 (Cyber Resilience Act); UK Product Security and Telecommunications Infrastructure Act 2022
- 当社「狙われないと考える根拠は、どこにもない」「Cybersecurity から Cyber-Resilience へ」「改定案の検証」
益田 周防海（Suomi Masuda）／株式会社I-S3。公開資料と受領した回答文に基づく。保険・融資の個別判断に対する助言ではない。