✅ ざっくり言うと
- 🔐 資源エネルギー庁は、太陽光や蓄電池などの分散型電源について、系統接続に使う一定の機器にJC-STAR★1の取得を求める方向を示していると考えられます。単なる推奨ではなく、系統連系の実務要件に近づいている点が重要だと思われます。
- ⚡ 対象になるのは、発電設備そのものというよりも、そこに使われるIP通信機能付き機器です。パワーコンディショナ（PCS、Power Conditioning System）、蓄電池管理システム（BMS、Battery Management System）、エネルギー管理システム（EMS、Energy Management System）等の出力制御装置、遠隔監視装置、ゲートウェイ等が想定されています。
- 🗓 適用開始は一律ではありません。太陽光と蓄電池は特高・高圧が2027年4月、低圧が2027年10月、風力は2027年4月（当面はゲートウェイのファイアウォール等に限定した早期適用）、燃料電池は2028年4月と整理されており、対象設備と適用時期を分けて読むことが欠かせないと考えています。
- 🛠 既設設備は直ちに遡及適用されるわけではないものの、交換や更新の場面では新要件が実務上問題になり得ます。例外措置があるとしても、それは免除ではなく、理由、証憑、移行計画、当面の代替対策を伴う「条件付きの移行管理」だと読むのが妥当だと思われます。
はじめに
今回は、資源エネルギー庁「分散型電源のサイバーセキュリティ対策について（資源エネルギー庁）」（2026年7月、電力基盤整備課）をもとに、太陽光、蓄電池、風力、燃料電池といった分散型電源に、今後どのようなサイバーセキュリティ対応が求められるのかを説明していきます。再エネの話というと、発電効率や系統制約、FIP（Feed-in Premium）、出力制御、地域共生といった論点に目が向きがちだと思いますが、これからは「つながる設備であること自体のリスク管理」も避けて通れなくなると考えています。
なお、JC-STARという制度そのものの概要や、系統連系・長期脱炭素電源オークション・補助金・契約実務におけるJC-STARの位置づけについては、先月の拙稿「JC-STARは再エネ事業の新しい実務要件になるのか」で整理しました。
本稿ではその重複をできるだけ避け、2026年7月に公表された資源エネルギー庁の資料に即して、対象機器の切り分けや、既設設備の扱い・移行措置といった、より踏み込んだ論点に焦点を当てます。
率直に申し上げると、この資料の面白いところは、サイバーセキュリティを「IT部門の話」から「系統接続の話」に引き上げているところにあると思います。つまり、再エネ設備や蓄電池は、単なる発電・蓄電の機械ではなく、通信機能を通じて外部とつながる設備であり、それゆえ接続の条件の中に最低限のサイバー要件を埋め込むという発想が前面に出てきているわけです。
本稿では、あえて話を盛りません。資料に書かれていること、その資料から自然に読み取れることに絞って整理します。実務では、勇ましい断言より、何が確定情報で、何が推測かを区別することが結局は強いと考えているからです。
この資料は何を示しているのか
まず前提として、資料の正式タイトルは「分散型電源のサイバーセキュリティ対策について」であり、発行時期は2026年7月、発行主体は資源エネルギー庁 電力基盤整備課です。タイトルを見るだけだと一般論の解説資料に見えるのですが、中身はかなり実務的で、分散型電源の系統接続にあたり、JC-STAR★1ラベル取得を要件化していく方向性を明確に示しています。
この意味で、本資料は「サイバーセキュリティも大事ですね」という啓発文書ではないと考えています。むしろ、どの設備に、どの機器に、いつから、どういう条件で適用されるのかという設計思想を、外部に示すための文書だと読むべきだと思われます。
再エネ業界の方にとっては、法令改正や接続ルール改定の前段階で何が重視されているのかを把握するうえで、かなり重要な位置づけの資料だと感じています。
なお、本稿全体を通じて、事実関係は、分散型電源のサイバーセキュリティ対策について（資源エネルギー庁）と、そのフォローとして参照可能な電力分野のサイバーセキュリティについて（資源エネルギー庁）の記載に依拠しています。
なぜ今、分散型電源にサイバー対策が求められるのか
資料の問題意識は明快です。分散型電源の導入と系統への接続が急速に進む中で、これらに対するサイバーセキュリティ上のリスクが指摘されているという一文がスタート地点だと考えられます。
ここで大切なのは、「再エネが危ない」という話ではなく、分散し、通信し、制御される設備が増えるほど、攻撃対象も増えるというある意味当然の現実に、政策として真正面から向き合い始めた、ということだと思われます。
そして資料は、抽象論に逃げていません。
海外における分散型電源へのサイバー攻撃の事例に加え、国内でも、太陽光発電の監視装置に内在する脆弱性が悪用され、サイバー攻撃の踏み台にされる事案が生じていることを取り上げています。
ここでのキーワードは「踏み台」だと考えています。設備そのものが止められるリスクだけでなく、設備が他の攻撃の起点になり得るリスクが語られている点は、実務家として見逃せません。
また、資料は、ロシア連邦保安庁（FSB、Federal Security Service）によるポーランド電力網へのサイバー攻撃事例にも言及しています。
ここは、センセーショナルに読むのではなく、電力系統という社会基盤における通信混乱や監視・制御の支障が、社会全体に与える影響の大きさを、政策担当者が強く意識しているという文脈で読むのが穏当だと思われます。
現行制度の「空白」はどこにあったのか
この資料でもうひとつ重要だと感じているのは、既存制度にギャップがあったことを、政策側自らが明言している点です。
資料によれば、「電気設備に関する技術基準を定める省令」において、50kW以上の事業用電気工作物にはサイバーセキュリティ確保が義務付けられている一方、50kW未満の小規模太陽光発電設備等については、電気事業法上、サイバーセキュリティ確保に特化した明確な技術基準の規定までは存在しない状況にあった、という整理です。
この点は、現場感覚でもかなり大きい論点だと考えています。
再エネ業界では大規模案件がよく語られますが、実際にはむしろ小規模設備の広がりと通信機能付き機器の大量接続こそが、新しいリスクを作る側面もあると思われます。
だとすると、今回の動きは、新規に厳格規制を突然持ち込むというより、既存ルールが十分にはカバーしていなかった領域を、系統接続ルールの側から埋めにいく措置として理解するのが自然だと考えています。
制度変更の核心。JC-STAR★1要件化とは何か
資料の中核は、2027年4月以降に新たに系統接続する、PCSやEMS等のIP通信機能付き機器について、最低限確保すべきサイバーセキュリティ水準としてJC-STAR★1の取得を要件化するという点にあると考えています。
ここで問題になっているのは、発電設備の一般論ではなく、系統とつながる際に用いられる通信機能付き機器の最低限の安全性だと整理できます。
未来志向でも面白い点があると思います。
これまでの再エネ実務では、接続可能量、出力制御、系統増強、認定、FIP移行といった論点が中心でした。
しかし、分散型電源が社会インフラの一部として深く組み込まれるほど、接続の条件は物理安全だけでなく、サイバー安全も含んだものへと拡張されていくと考えられます。
今回の資料は、その方向をかなり明瞭に示していると感じています。
言い換えれば、これは「セキュリティの推奨」から「接続要件としてのセキュリティ」への移行だと思われます。
制度の重心そのものが動いているわけです。
再エネ事業者やメーカーの方は、この変化を軽く見ない方がよいと考えています。
対象は設備全体ではなく、IP通信機能を有する機器である
ここは誤解が生じやすいので、少し丁寧に整理しておきたいところです。
制度上、対象設備として掲げられているのは、太陽光発電、蓄電池、風力発電、燃料電池です。他方で、実際に要件がかかるのは、それら設備に使われるIP通信機能を有する機器であり、例として、PCS、BMS、EMS等の出力制御装置、遠隔監視装置、ゲートウェイ等が挙げられています。
したがって、「太陽光設備が全部対象になる」「パネルそのものにラベルがいる」といった読み方は正確ではないと考えられます。
正しくは、通信を通じて外部とつながり、制御や監視に関与し得る機器が問題になっている、ということだと思われます。
この区別は、調達、設計、設備更新、契約交渉のどの局面でも重要で、対象機器の洗い出しがずれると、制度対応もコスト見積りもずれてしまうと考えています。
なお、燃料電池については、資源エネルギー庁の関連説明上、PCSを用いる形式が対象であり、PCSを介して連系するガスエンジンも含むとされています。
ここからも、燃料電池一般を十把一絡げに扱うのではなく、通信・制御の接点を狙って要件を効かせる、という制度設計の意図が読み取れると思われます。
適用開始時期は一律ではない
制度の理解でもうひとつ大事だと考えているのが、適用開始時期が電源ごと・区分ごとに分かれている点です。
太陽光発電と蓄電池は、特高・高圧が2027年4月、低圧が2027年10月、風力発電が2027年4月、燃料電池が2028年4月と整理されています。
なお、風力発電の2027年4月適用は、当面、ゲートウェイのファイアウォール（又は同等の防御機能を有する機器）に限定した早期適用とされており、風力設備の全システムが一斉に対象となるわけではありません（分散型電源のサイバーセキュリティ対策について（資源エネルギー庁））。
この差は、政策上の優先順位と、市場の実情の双方を反映していると読むのが自然だと思われます。
低圧の太陽光・蓄電池について半年の差が置かれているのは、流通在庫等への配慮という観点が背景にあると理解しています。
制度というと白黒で語られがちですが、現実の実務では、在庫、保証、既契約案件、設備更新タイミングなどへの配慮がどうしても必要で、その意味で、今回の制度は一応の厳しさを持ちながらも、実装可能性を意識した設計になっていると考えています。
また、公式説明では、一般送配電事業者への契約申込みの際に新要件が問題になるとされています。
ここは、単に市場に流通する製品の一般規制というより、系統接続の手続の局面で確認される要件として読むべきだと考えられます。
既設設備はどうなるのか（ここを雑に読むと危ないです）
既設設備については、公式説明がかなり明快です。
2027年3月末までに契約申込みの受付が完了している対象設備や、既設の対象設備で既に使用されている対象機器については、新要件が遡及適用されて直ちに系統接続ができなくなることはない、というのが原則的な整理だと考えられます。まずはここで落ち着いていただいて大丈夫だと思われます。
もっとも、これで安心して終わると、正直に申し上げて半分しか読めていないという印象を持ちます。
同じ公式説明は、2027年4月以降、新要件の下で既設の対象設備の対象機器を交換する場合には、原則としてJC-STAR★1取得製品の使用が求められるとしています。
つまり、既設設備は制度から外れているのではなく、交換・更新という時間軸を通じて、いずれ制度の中に入ってくるということだと理解できます。
しかも、対象機器の交換は、同一機器への交換であっても「軽微な変更」とは扱われないと説明されています。
ここは、O&M（Operation & Maintenance）や設備保全、アセットマネジメントの部門にとって見逃しにくい点だと考えています。交換部材の選定が、そのまま接続実務と法的整理につながる可能性があるからです。
例外措置
制度は原則だけでなく、現実の設備事情にも目を向けていると考えています。
既設機器間の互換性等により、JC-STAR★1取得製品への交換を求めると、他の機器まで広範に交換が必要になるなど、事業者に過度な負担が生じる場合には、一定条件のもとで、未取得製品への交換と当面の使用が認められる余地があるとされているためです。
ただ、ここは強調しておきたいのですが、これは単なる免除ではないと考えています。
属地の一般送配電事業者に個別相談したうえで、所定の様式による計画書を提出することが条件とされており、その計画書には、少なくとも次の三つの要素が求められます。
第一に、その時点で取得製品への交換が難しい理由。
第二に、広範なリプレース又はリパワリング（Repowering）の実行予定年等を示したうえで、最終的には交換対象機器の全てを取得製品とすること。
第三に、それまでの間、一定のサイバーセキュリティ対策を講じることです。
この設計を眺めると、制度の発想はかなり一貫していると感じます。
すなわち、現時点での全面適合が難しい事情は尊重する。
しかし、その代わりに、理由を示し、証拠を添え、将来の適合時期を約束し、その間の代替対策を講じることを求めるわけです。
実務家として率直に言えば、これは「柔軟な例外」というより、「条件付きの移行管理」だと理解した方が正確だと思われます。
「過度な負担」とは何か
例外措置に関連して、「過度な負担」とはどんな場面を指すのかは、多くの読者にとって気になる点だと思われます。
公式説明では、具体的な想定例まで挙げられています。
故障したPCS一個を新要件適合品に交換すると、既設の旧型PCSや変圧器等との互換性や設定電圧の差異により、当該設備を従来どおり使えなくなり、変圧器やPCS全体の交換が必要になる場合が例示されているためです。
ほかに、2026年3月末までに締結済みの延長保証契約や、事業継続のために既に購入・保有している交換製品との関係で、適合製品への交換が困難な場合も挙げられています。
制度担当者も、現場が抱える問題が単なる「コスト」だけでなく、互換性、保証、既存在庫、設備停止リスク、事業継続性にまたがることを理解していることが伺えます。
逆に言えば、これらを抽象的に「大変です」と主張するだけでは足りず、どこに、どの程度の、どんな支障が出るのかを具体的に示せる準備が必要になると考えられます。
制度対応は、ラベル取得だけでは終わらないと考えられます
ここも大事なポイントだと思っています。
公式説明は、既設設備を運用する事業者に対して、「電力制御システムに関するサプライチェーン・セキュリティ対策の手引き」、「電力システムにおけるサイバーセキュリティリスク点検ガイド」、「電力システムにおけるサイバーセキュリティ対策状況可視化ツール」等を活用しながら、日々のサイバーセキュリティ対策の強化に取り組むよう促しています。
つまり、この制度は「適合ラベルの有無」だけで完結するものではないと考えられます。
サプライチェーン、調達、運用、保守、廃棄、自己点検、可視化といった、事業者側の管理行為全体が視野に入っているためです。
ラベルがあるから万事安心ということではなく、ラベルは最低限の入口であって、実運用ではその外側に別途の管理が当然に必要になる、というのが素直な読み方だと思われます。
この点は、技術部門と法務・コンプライアンス部門が分断されがちな組織ほど、意識しておいた方がよい論点だと考えています。
事業者はいま何を確認しておくべきか
資料と公式説明に依拠する範囲で、現時点で確認しておくべき事項を挙げるとすれば、少なくとも次のような点が中心になると考えています。
第一に、自社設備や計画案件に、IP通信機能を有する機器がどこにあるかを洗い出すことです。
PCS、EMS、BMS、遠隔監視装置、ゲートウェイ等が本当にどう構成されているかは、意外と整理されていない現場も多いのではないかと感じます。
図面には載っていても、運用上の位置づけが曖昧、というケースは珍しくないと思われます。
第二に、新設案件と既設案件を分けて整理することだと思います。
新設は適用時期との関係でストレートに問題になりますし、既設は既設で、今後の交換・更新時にどう扱うかを考えておく必要があると考えられます。
「今動いているから大丈夫」という整理では、少し足りないと感じています。
第三に、互換性、保証、在庫、保守契約の整理です。
例外措置が問題になり得るのは、まさにこのあたりの事情が現実に重いからだと考えられます。
であれば、逆に、その事情を証憑ベースで整理しておくことが実務上の武器になり得ると思われます。
これは、制度対応であると同時に、設備資産管理そのものでもあります。
第四に、メーカーやベンダーの対応状況です。
2027年以降の要件化を見据えると、どの製品がどの時期に対応する見込みかは、調達や案件組成に直結してくる論点だと考えています。
制度理解だけが先行して、実際に入手可能な製品や交換計画が追い付かない、という事態は避けたいところだと思っています。
この制度をどう読むべきか
私は、この資料が示しているのは、再エネ普及への逆風ではなく、分散型電源が本当に社会インフラの一部として扱われ始めたということだと考えています。
インフラである以上、安定供給、保安、災害対応だけでなく、サイバーセキュリティも当然に要求されるようになるのは、むしろ自然な流れだと思われます。
もちろん、現場から見れば負担もあると思います。
既設案件の交換、互換性、保証、在庫処理、設備停止回避といった論点は、簡単ではないと感じます。
それでも制度設計全体を眺めると、いきなり一律適用で切り捨てるのではなく、遡及適用を避けつつ、更新のタイミングで順次適合を求め、過度な負担には条件付き例外を用意するという構造になっており、現実に即した移行措置として、一定の合理性があると考えています。
他方で、だから安心という話でもないと思われます。
制度のメッセージはかなりはっきりしていて、分散型電源の時代は、サイバー対策込みで進むということです。
将来の案件組成、ファイナンス、EPC契約、O&M契約、長期修繕計画、保険、デューデリジェンス（Due Diligence）のどこかで、この論点は確実に顔を出してくると考えられます。
先に読める人が、少し先の市場で有利になるだろうと感じています。
まとめ
今回の資源エネルギー庁資料から読み取れるのは、分散型電源のサイバーセキュリティが、もはや周辺論点ではないということだと考えています。
太陽光、蓄電池、風力、燃料電池といった設備は、通信機能付き機器を介して系統とつながる以上、接続の入口で最低限のセキュリティ水準が問われる方向に進んでいると思われます。
特に押さえたいのは、対象が設備全体ではなくIP通信機能を有する機器であること、既設設備は直ちに遡及適用されない一方で交換・更新時には実務上の影響が出ること、そして例外措置があるとしても、それは説明責任と移行計画を伴う暫定対応にすぎないことです。
ここを丁寧に押さえるだけでも、制度の読み方はだいぶ変わってくると考えています。
再エネの未来は、発電量だけで決まるわけではないと考えています。
社会インフラとして信頼されるかどうかで決まる、と言ってもよいと思います。
そして、これからの信頼は、物理的な安全性だけでなく、サイバーセキュリティを含めて初めて成立するものになりつつあると感じています。
今回の資料は、その現実を静かに、しかしかなり明確に告げているように思われます。
コメント