電力制御システムセキュリティガイドラインは、日本電気協会が発行し、日本電気技術規格委員会（JESC）が承認した民間自主規格です。現行版はJESC Z0004(2025)で、2025年2月18日に承認された第2回改定により、サプライチェーン・リスク管理、セキュリティ仕様の確認、機器・外部記憶媒体の管理が加わりました。この記事では、電気設備の技術基準の解釈（電技解釈）第37条の2がどの設備にどの文書を割り当てているかを先に整理し、そのうえで改定条項が調達のどこに効くか、委託先として要件を提示される側がどう答えるかをまとめます。記載は2026年10月21日時点の一次情報に基づきます。
まとめ：JESC Z0004(2025)が効く設備と2025年改定で発注側が決める3点
このガイドラインは、技術基準への適合を判断する具体的な物差しです。電気事業法第39条が技術基準への適合維持を義務づけ、技術基準省令第15条の2がサイバーセキュリティの確保を定め、電技解釈第37条の2第2号が「電力制御システムにおいては」このガイドラインによることと定めています。電技解釈は適合方法をこれに限定しておらず、十分な保安水準を確保できる技術的根拠があれば別の方法でも省令に適合すると判断されます。その根拠を示せず省令の技術基準に適合していないと認められれば、第40条の技術基準適合命令で修理・改造や使用の一時停止を命じられる対象です。
効く範囲は、電気事業の用に供する電気工作物と、発電事業用の自家用電気工作物です。それ以外の工場・ビルの自家用電気工作物には、同じ第37条の2の第3号で経済産業省の内規が割り当てられています。
2025年改定を受けて発注側が先に決めるのは3点です。電力制御システムごとの委託先・再委託先の依存関係、要件定義書に載せるセキュリティ仕様（通信回線の隔離や操作ログの保存期間まで）、契約後の確認方法（チェックリストで足りる相手と監査まで入れる相手の線引き）です。受託側も、資源エネルギー庁の手引きが「委託先等」に再委託先と発注先を含めているため、要件の条項番号と提出できる証跡を先に揃えておく必要があります。
電力制御システムセキュリティガイドラインの法的位置づけと入手方法
電気事業法第39条から電技解釈第37条の2第2号へつながる引用構造
出発点は電気事業法第39条で、事業用電気工作物を設置する者に、主務省令で定める技術基準への適合維持を義務づけています。同法第38条は事業用電気工作物を「一般用電気工作物以外の電気工作物」と定義しており、自家用電気工作物もここに含まれます。技術基準にあたる電気設備に関する技術基準を定める省令は、第15条の2で「事業用電気工作物（小規模事業用電気工作物を除く。）の運転を管理する電子計算機」にサイバーセキュリティの確保を求めています。
省令は具体の対策を書かず、電気設備の技術基準の解釈（令和7年11月20日付け改正版）の第37条の2が中身を指定します。同条第2号は「電力制御システムにおいては、日本電気技術規格委員会規格 JESC Z0004（2025）『電力制御システムセキュリティガイドライン』によること。配電事業者においても同規格に準じること」と書いています。自主規格が、解釈を経由して適合性を判断する物差しになる構造です。
適合していないと主務大臣が認めた場合、電気事業法第40条により、修理・改造・移転の命令、使用の一時停止や制限が可能です。罰金の条文を引く話ではなく、設備を止められるかどうかの話として社内に説明すると優先順位が通りやすくなります。経済産業省の第19回電力サブワーキンググループ（2026年2月12日）の資料4-1は、事業用電気工作物の設置者がサイバーセキュリティ確保の取組を保安規程（電気事業法第42条）に定めて届け出る整理も併記しています。
JESC Z0004(2025)の版・頒布条件と無料PDFが無い理由
「電力制御システムセキュリティガイドライン pdf」で探しても本体は出てきません。日本電気協会Webストアが頒布する有償の書籍で、商品名はJEAG1111-2024、規格番号はJESC Z0004(2025)、2025年5月30日発刊、A4判37頁、税込4,950円です。
| 版 | JESCでの承認 | 委員会 |
|---|---|---|
| 制定 | 2016年5月30日 | 第86回 |
| 第1回改定 | 2019年7月31日 | 第102回 |
| 第2回改定（現行・Z0004(2025)） | 2025年2月18日 | 第127回 |
承認履歴はJESCの承認規格ページの記載です。37頁は電力制御システムに絞った要求事項の集合で、調達仕様へ引き写すときは条項をそのまま貼らず、自社の構成に合わせて具体化する作業が要ります。なお、JESCページの概要欄にはスマートメーターに関する記述があるため、本規格の対象は電力制御システムである点に注意してください。手引き内の購入先リンクを利用できない場合は、日本電気協会Webストアで商品名を検索できます。購入時はWebストアの商品ページで版番号を確かめるのが確実です。
電技解釈第37条の2が設備ごとに割り当てる3つの文書
検索で混同されやすいのが「どの設備にどの文書が効くのか」です。第37条の2は3号構成で、設備によって引用先が違います。
電力制御システム・スマートメーター・自家用電気工作物の振り分け
| 第37条の2 | 対象 | よるべき文書 | 発行 |
|---|---|---|---|
| 第1号 | スマートメーターシステム | JESC Z0003(2025) | 日本電気協会 |
| 第2号 | 電力制御システム | JESC Z0004(2025) | 日本電気協会 |
| 第3号 | 自家用電気工作物の遠隔監視・制御システム | 自家用電気工作物の内規 | 経済産業省 |
第3号の対象は「自家用電気工作物（発電事業の用に供するもの及び小規模事業用電気工作物を除く。）」です。電力サブワーキンググループの資料4-1にある適用範囲の表では、電力制御システムセキュリティガイドラインの対象は「電気事業の用に供する電気工作物」と「自家用電気工作物（発電事業）」の2列で、自家用電気工作物（発電事業以外）は内規の列に入っています。発電事業として届け出ている自家用発電設備は、工場内にあってもJESC Z0004の側です。
工場・ビルの自家用電気工作物に効く経済産業省の内規と経過措置
工場の受変電設備やビルの自家用発電設備を遠隔監視している場合、効くのは内規のほうです。内規は2022年6月10日付け（20220530保局第1号）で定められ、解釈の第3号は2022年10月1日に施行されました。附則には、施行時に設置済み・工事着手済みの電気工作物は「施行後最初に行う変更の工事が完成するまでの間は、なお従前の例によることができる」とあります。
猶予が切れるのは変更工事の完成時点です。遠隔監視装置の更新や制御盤の入れ替えを発注するときは、内規の要求を仕様書に織り込み、完成までに適合させる段取りが要ります。2023年3月20日の改正で、内規の目的規定には「小規模事業用電気工作物を除く」が追加されています（新旧対照表）。
電力制御システムに当たるシステムの範囲
電力制御システムは、発電・送電・配電の設備の運転を監視し、制御するシステムを指します。中央給電指令所の需給制御システム、送配電の系統監視・制御（SCADA）、発電所・変電所の監視制御装置と保護制御装置、それらを操作する端末やネットワーク機器が典型です。オフィスの基幹システムや小売電気事業者の顧客管理システムは別の文書の守備範囲で、小売電気事業者には資源エネルギー庁の「小売電気事業者のためのサイバーセキュリティ対策ガイドライン」があります。
この線引きを共有しないまま進めると、IT部門の情報セキュリティ規程を制御系にそのまま当てて破綻します。稼働を止められない設備ではパッチ適用のタイミングひとつ取っても前提が変わるためです。OTとITの違いとPurdueモデルの階層構造を押さえたうえで、どの階層のどの機器が対象になるかを図に起こす順番が現実的です。
2025年2月改定で追加された3領域とガイドライン本体の条項番号
第2回改定は、令和5年7月の「重要インフラのサイバーセキュリティに係る安全基準等策定指針」と、令和6年3月の電力サブワーキンググループの提言「電力制御システムのサプライチェーン・セキュリティ向上策に関する提言」を踏まえたものです（Webストアの商品説明より）。何が増えたかは、資源エネルギー庁が2025年6月3日に公表した手引きの対応表から条項単位で特定できます。
第2-2条と第4-1条に入ったサプライチェーン・リスク管理の中身
手引きの対応表では、サプライチェーン・リスク管理は第2-2条（役割）と第4-1条（セキュリティ管理）に対応づけられています。求められるのは、委託先等の役割と責任範囲の明確化、サプライチェーンの依存関係と委託先等の対策状況の把握、そのリスクに関するセキュリティリスク管理です。
手引きは出発点として電力制御システムのリスト化を置き、管理台帳に名称・利用範囲・開発製造と運用保守の発注先・委託先の名称・システム構成・接続する自組織以外の通信回線の種別などを記載し、最低限年に一回見直すことを求めています。
「依存関係の把握」は取引先一覧を作れば終わる話ではありません。手引きは電気事業者の先にインテグレーター、ソフトウェアサプライヤー、製品サプライヤー、部品サプライヤー、運用・保守委託事業者、廃棄委託事業者、クラウドサービス事業者を並べ、再委託先（SIer等）と再々委託先まで図示しています。不正プログラムの埋め込みや脆弱性の混入だけでなく、設定ミス等のリスクも考慮すると明記されている点が従来の議論との差です。リスクの洗い出し方はIPAの制御システムのセキュリティリスク分析ガイドの手順が具体的で、資産ベースと事業被害ベースの二段構えをそのまま流用できます。
第6-1条のセキュリティ仕様の確認が調達工程に持ち込む3つの作業
第6-1条（セキュリティ仕様の確認）に対応する要求は、調達時にセキュリティ仕様を明確にすること、仕様どおりに設計・製造されていることを確認すること、セキュリティに影響し得る仕様変更を管理することの3つです。発注時・検収時・変更時のそれぞれに作業が発生します。
対応するリスクとして手引きが挙げるのは、開発・製造時の不正な改造、不正プログラムの埋め込み、運用・保守時のソフトウェアの不正な更新です。保守フェーズの更新も対象になるため、納品契約と保守契約の間で、更新時の仕様確認や変更管理の責任が抜けないようにします。更新やパッチ適用について、契約書には責任分担と承認条件を、運用手順書には影響評価・実施・切り戻しの手順を記載する方法が考えられます。
第6-2条が求める機器・外部記憶媒体及びデータのライフサイクル管理
第6-2条は機器・外部記憶媒体及びデータの管理です。対応リスクは調達時の不正な改造と不正プログラムの埋め込み、そして廃棄時の機密情報の窃取で、入口と出口の両方が対象です。
廃棄時の確認対象には、保守用のノートPC、設定を保存したUSBメモリ、交換後の旧コントローラなどがあります。手引きは利用終了・廃棄までを対応フローに含めています。調達の稟議段階で廃棄手順と証跡の残し方まで決めておくと、5年後の入れ替えで慌てません。
調達仕様書への落とし込み手順と要件定義書に書くセキュリティ仕様
資源エネルギー庁が2025年6月3日に公表した「電力制御システムに関するサプライチェーン・セキュリティ対策の手引き」は、新たな要求事項ではなく既存要求を実施するための文書で、対応フローとグッドプラクティスが具体的に書かれています。
要件定義書に明記する通信回線対策・ログ保全・検収までの記載項目
手引き本体は、要件定義書に記載するセキュリティ仕様の例を列挙しています。発注側が空欄のまま出しがちな項目です。
- 通信回線に関する対策（不必要な通信回線からの隔離、不正アクセスの遮断、通信のなりすまし防止、サービス不能化の防止）
- 構築時および運用後の脆弱性対策
- 操作ログの収集機能、保存可能な期間、アクセス権限の管理
- 侵入および不能化の検知
- アカウント管理による利用者の制限
- 機密性・完全性の確保（通信経路上の盗聴防止、保存した情報の機密性と完全性）
- 侵入対策等の物理的保護
- 障害発生時の可用性確保
- 納品時のセキュリティ仕様に関する検収の実施
手引きは不正プログラム対策の管理と感染防止の機能を要件定義書で明示的に求めることが望まれるとしています。遠隔制御を実装するなら通信回線がアタックサーフェスになるため該当項目を必ず書く、という洗い出しの順序も示されています。典型構成ごとにセキュリティ仕様を組織で統一しておけば、案件ごとに一から書く手間は減らせます。
発注先・委託先の選定基準に入れる4条件と再委託を制限する契約条項
手引きが選定基準として挙げる例は4つです。セキュリティ対策の管理体制を組織の管理方針に基づいて構築・文書化し定期的に改善していること、インシデント発生時の連絡体制を構築していること、業務の再委託を制限すること、従業員へ定期的に教育や研修を実施していること。
再委託の制限は、契約書の条項にしなければ機能しません。全面禁止ではなく、事前承認と再委託先の名称・所在地・作業範囲の開示を条件にする形が現実的です。手引きの図は再々委託先まで描いているので、二次請けまでしか見ていない管理は想定の範囲に届いていません。
契約後の定期確認におけるチェックリストと監査の使い分け
手引きは、要求したセキュリティ対策の遵守を契約後も定期的に確認すること、確認頻度は委託先とあらかじめ協議して決めることを求めています。手段は2段階で、通常はチェックリストによるアンケート調査やヒアリング、特に重要な委託先には実施方法を協議したうえで監査を定期的に実施します。
線を引く軸は取引額ではなく、その委託先の作業が制御系に到達できるかどうかです。操作権限やネットワーク到達性は、監査の要否を判断する材料になります。ただし、図面や帳票だけを扱う相手でも、情報漏えいや改ざんの影響を評価し、チェックリストで十分かを判断します。サプライチェーン・リスク管理計画は最低限一年に一度の見直しが望まれるとされ、サプライチェーン上のインシデントや新たな規制等の発表があったときにも見直します。
ガイドラインの外側で電力分野に重なる2026年の制度
JESC Z0004(2025)だけを見ていると、2026年に動いた周辺制度を取りこぼします。電力制御システムの調達に直接かかわるものを3つ挙げます。
経済安全保障推進法の事前審査と2026年10月施行のサイバー対処能力強化法
手引きは、経済安全保障推進法の「特定妨害行為の防止による特定社会基盤役務の安定的な提供の確保に関する制度」への対応に向けた参考情報も含んでいます。電力分野で指定された特定社会基盤事業者は、特定重要設備の導入や重要維持管理等の委託の前に経済産業大臣の審査を受けます。制度の全体像は経済安全保障推進法の基幹インフラ届出の実務要件で扱っています。
これに重なるのが、2026年10月1日に施行された重要電子計算機に対する不正な行為による被害の防止に関する法律（サイバー対処能力強化法、令和7年法律第42号）です。内閣府の制度解説（2026年10月）によると、特別社会基盤事業者は届出対象の特定重要電子計算機について、原則として導入日から4か月以内に製品名等を届け出ます。施行時点で導入済みのものは2027年3月31日まで、WindowsとWindows Serverは届出対象外です。特定侵害事象等を認知したら速報（ランサムウェア事案等は認知日から3〜5日以内、DDoS攻撃事案は可能な限り速やか）を出し、認知した日から30日以内に詳報を提出します。全容が未把握・未確定でも、その時点で把握している事項を記載し、後から判明した情報は続報で補足します。電力サブワーキンググループの資料4-1の表では、電力分野の対象について、発電事業者と特定卸供給事業者に「50万kW以上」、送配電事業者に「全社指定」と記載されています。納入側の視点での影響はサイバー対処能力強化法の届出・報告義務と委託先への影響にまとめました。
実務上の要点は、ログの保存と初動の役割分担です。保守委託先がログを保管する場合は、事故時の提供期限と連絡経路を事前に合意します。ログの取得や調査が完了していなくても、把握済みの事項で期限内に報告し、その後の調査結果を補足します。第6-1条の要件定義で操作ログの保存期間とアクセス権限を書く際に、この報告で使う前提で決めておくと二度手間になりません。
重要インフラ統一基準と安全基準等策定ガイドラインが次回改定に及ぼす影響
2026年7月31日、サイバーセキュリティ戦略本部が重要インフラのサイバーセキュリティ対策のための統一基準を決定し、9月11日には内閣官房 国家サイバー統括室が安全基準等策定ガイドライン（163頁）を公表しました。2025年改定が参照した令和5年7月の旧指針は、統一基準第3部と策定ガイドラインに置き換わっています。電力制御システムセキュリティガイドラインはこの体系でいう安全基準等にあたるため、次の改定では新しい項目が降りてくる前提で読むのが妥当です。
策定ガイドラインは、対策事項が原則として制御システムにも適用されると書き、「閉域網だから安全」「専用OSだから安全」「独自技術仕様だから安全」という過信を名指しで否定しています。制御システムに必ずしも適用されない「[ITシステムのみ]」は、ペネトレーションテストの実施、メールインフラの保護、高度なマルウェア対策機能等の導入の3項目だけで、これらも制御システムで実施するかどうかは効果とリスクを考慮して分野ごとに判断する扱いです。資産管理も脆弱性管理もログ取得も、制御システム側で実施する前提に置かれています。制御系にIT側の対策がそのまま入らない理由と工程別の打ち手は制御システムセキュリティ対策の考え方で整理しています。
リスク点検ツールと系統連系技術要件のJC-STAR要件化
資源エネルギー庁は2024年3月に「電力システムにおけるサイバーセキュリティリスク点検ガイド」と「電力システムにおけるサイバーセキュリティ対策状況可視化ツール」を公表しています。点検項目はNIST Cybersecurity Framework ver1.1の5機能（特定・防御・検知・対応・復旧）で整理され、電力広域的運営推進機関（OCCTO）のセキュリティ自己診断でも使われています。委託先の定期確認に使うチェックリストを一から作る前に、この項目体系に寄せると発注側の自己点検と粒度が揃います。
もう1つは系統連系技術要件です。資源エネルギー庁の案内によると、系統連系技術要件は2026年度内に改正され、太陽光発電・蓄電池・風力発電・燃料電池の設備で使うIP通信機能を持つ機器（PCS、BMS、EMS等の出力制御装置、遠隔監視装置、ゲートウェイ等）は、一般送配電事業者への契約申込みの際、新設・交換する機器にJC-STAR★1取得機器の使用が求められます。
開始時期は、太陽光と蓄電池の特高・高圧と風力発電が2027年4月、太陽光と蓄電池の低圧が2027年10月、燃料電池が2028年4月です。2027年3月末までに契約申込みの受付が完了した設備や既設の機器には遡及適用されませんが、2027年4月以降に既設設備の対象機器を交換する場合は、同一機器への交換でも接続検討申込みが必要です。再エネ設備を納める案件では、機器選定の段階でJC-STAR★1の取得状況を確認してください。
受託側が委託先等に当たる場合の線引きと提示された要件への答え方
この文書群は、電気事業者だけでなく、そこへ納品する側にも直接向いています。発注側の解説では抜け落ちる論点です。
委託先・再委託先・発注先まで含む委託先等の範囲と自社の該当判定
手引きは「委託先等」を、委託先、再委託先（多段階の委託を含む）、および発注先と定義し、対象読者を「委託先・発注先を含む、電力制御システムのサプライチェーンに関係する全事業者」と明記しています。電気事業者と直接契約していなくても、二次請けとして制御系に触れるなら範囲内です。
判定は、自社の成果物が電力制御システムの構成要素になるか、その運用・保守・廃棄に関与するかで行います。該当するなら、選定基準の4条件に対応する文書（セキュリティ管理体制の文書、インシデント連絡体制、再委託の運用ルール、教育記録）を先に揃えておくのが有利です。要求されてから作ると、提案書の期限に間に合いません。
「電力のガイドライン準拠」と書かれたときに最初に確認する設備区分
発注仕様に「電力制御システムセキュリティガイドライン準拠」と書かれていても、前述の第37条の2の振り分けで対象設備が内規の側に入ることがあります。要件定義の初回で、設備の区分と発電事業の届出の有無を確認してください。ここを曖昧にしたまま見積もると、根拠のない管理策のために工数が積み上がるか、必要な要求を落とすかのどちらかになります。
電気事業法の適用を受けない製造ラインやビル設備が相手なら、IEC 62443やIPAの分析ガイドを土台にしたほうが議論は早く進みます。
仕様準拠の証跡として脆弱性診断を入れる工程と確認する出力物の粒度
第6-1条が求める「仕様どおりに設計・製造されていることの確認」は、検収書へのサインだけでは証跡になりません。手引きの仕様例に構築時および運用後の脆弱性対策が入っているため、構築完了時と運用開始後の2点で検査結果を残す形が対応しやすくなります。
出力物は、検出項目の一覧に加えて、対象ホストと対象ポート、判定日時、未修正項目の理由と暫定措置までを含めると、翌年の定期確認でそのまま比較材料に使えます。外部からの検査が必要な工程では、脆弱性診断・セキュリティ診断のような第三者の検査を調達計画に組み込み、費用と実施時期を初期見積りに載せておくと、検収直前の差し戻しを避けられます。診断範囲を制御系ネットワークのどこまでにするかは、稼働への影響を見て事前に区切ってください。
よくある質問
電力制御システムセキュリティガイドラインについて、調達と受託の現場で出る質問をまとめました。
電力制御システムセキュリティガイドラインのPDFは無料で入手できますか？
無料公開はされていません。日本電気協会Webストアが頒布する有償の書籍（JEAG1111-2024／JESC Z0004(2025)）で、2025年5月30日発刊、A4判37頁、税込4,950円です。無料で読めるのは、資源エネルギー庁が2025年6月3日に公表したサプライチェーン・セキュリティ対策の手引きなどの周辺資料です。手引きには条項との対応表が載っているため、購入前の当たりをつける用途に使えます。
電力制御システムセキュリティガイドラインの最新版はどれですか？
2026年10月21日時点の最新版は、2025年2月18日にJESCが承認した第2回改定版のJESC Z0004(2025)です。電技解釈第37条の2第2号もこの版を引用しています。2026年7月に重要インフラの統一基準、9月に安全基準等策定ガイドラインが出たため、次の改定はこれらを反映する可能性がありますが、改定版の公表はまだありません。
ガイドラインに従わない場合、罰則はありますか？
ガイドライン自体は民間自主規格で、罰則規定はありません。ただし電気事業法第39条が技術基準への適合維持を義務づけ、技術基準省令第15条の2がサイバーセキュリティの確保を定め、電技解釈第37条の2がガイドラインを指定する構造です。適合していないと主務大臣が認めた場合、第40条の技術基準適合命令で修理・改造・移転の命令、使用の一時停止や制限を受ける可能性があります。
工場の自家用発電設備も適用対象になりますか？
自家用電気工作物も事業用電気工作物に含まれるため、技術基準省令第15条の2の対象です。ただし、よるべき文書は区分で分かれます。発電事業の用に供する自家用電気工作物は電力制御システムセキュリティガイドライン、それ以外の自家用電気工作物の遠隔監視システム・制御システムは経済産業省の「自家用電気工作物に係るサイバーセキュリティの確保に関するガイドライン（内規）」です。小規模事業用電気工作物はどちらからも除かれます。2022年10月1日の施行時点で設置済み・工事着手済みの設備は、施行後最初の変更工事が完成するまで従前の例によることができます。
委託先として求められたとき、どの文書を提出すればよいですか？
手引きの選定基準を踏まえた提出物の例を以下に示します。実際の提出範囲は、発注仕様と契約条件に合わせて確認します。セキュリティ管理体制を記した規程類、インシデント発生時の連絡体制図と連絡先、再委託の運用ルール（事前承認の手順と再委託先の開示範囲）、従業員への教育・研修の実施記録の4点です。加えて、納入システムの脆弱性検査の結果と未修正項目の扱いを示せると、仕様準拠の確認まで一度に答えられます。ISMS認証の文書は管理体制の証跡として使えますが、それだけで第6-1条や第6-2条に答えたことにはなりません。
