電力制御システムセキュリティガイドラインは、日本電気協会が発行しJESCが承認した民間自主規格です。2025年2月18日の第127回委員会で第2回改定が承認され、サプライチェーン・リスク管理とセキュリティ仕様の確認、機器の管理が新たに加わりました。この記事では、電気事業法から技術基準省令、その解釈を経てガイドラインへつながる法的な位置づけ、改定で増えた条項が調達のどこに効くか、資源エネルギー庁が2025年6月3日に公表した手引きが示す要件定義書の記載項目を整理します。委託先・再委託先として要件を提示される側の答え方も後半で扱います。
まとめ：2025年改定で発注側が先に決める3点と委託先に出す要件
このガイドラインは「読んで参考にする文書」ではありません。電気事業法第39条が事業用電気工作物の技術基準適合維持を義務づけ、その技術基準省令がサイバーセキュリティの確保を定め、解釈がこのガイドラインを引用する構造になっています。適合していないと判断されれば、第40条の技術基準適合命令として修理・改造・使用の一時停止を命じられる対象です。
2025年改定を受けて発注側が先に決めるべきは3点です。1つめは電力制御システムのリストと、それぞれの委託先・再委託先の依存関係。2つめは要件定義書に載せるセキュリティ仕様で、通信回線の隔離や操作ログの保存期間まで含みます。3つめが契約後の確認方法で、チェックリストで足りる相手と監査まで入れる相手を先に分けておく必要があります。
受託側にも同じ文書が向いてきます。手引きが定義する「委託先等」には再委託先と発注先が含まれており、SIerも対象読者です。要件の出典と条項番号を確認したうえで、提出できる証跡の粒度を先に揃えておくと、選定の段階で落ちません。
電力制御システムセキュリティガイドラインの正体と電気事業法上の位置づけ
まず、この文書が何であって何でないかを確定させます。以下はすべて2026年9月20日時点の一次情報の記載に基づきます。
電気事業法から技術基準省令第15条の2へつながる法的位置づけ
出発点は電気事業法第39条です。事業用電気工作物を設置する者に対し、主務省令で定める技術基準に適合するように維持する義務を課しています。その技術基準にあたる電気設備に関する技術基準を定める省令は、第15条の2でサイバーセキュリティの確保を規定しました。条文は「事業用電気工作物（小規模事業用電気工作物を除く。）の運転を管理する電子計算機は……サイバーセキュリティを確保しなければならない」と書いています。
省令は仕様を細かく書きません。具体の中身は解釈に委ねられ、その解釈が民間自主規格であるこのガイドラインを引用します。つまり自主規格でありながら、実質的には適合性を判断する物差しとして機能します。適合していないと主務大臣が認めた場合、電気事業法第40条の技術基準適合命令によって、修理・改造・移転の命令や使用の一時停止・制限が可能です。罰金の条文を直接引く話ではなく、設備を止められるかどうかの話だと理解しておくと、社内の優先順位を説明しやすくなります。
A4判37頁・税込4,950円という頒布条件と無料PDFが無い理由
「電力制御システムセキュリティガイドライン pdf」で検索しても、本体は出てきません。この規格は日本電気協会Webストアが頒布する有償の書籍で、JEAG1111-2024として2025年5月30日に発刊、A4判37頁、税込4,950円です。官公庁の資料と違い、全文をダウンロードして回覧する運用はできません。
37頁という分量も判断材料になります。ISO/IEC 27001の管理策のように網羅的な対策集ではなく、電力制御システムに絞った要求事項の集合です。調達仕様へ引き写すときは、条項をそのまま貼るのではなく、自社システムの構成に合わせて具体化する作業が必ず要ります。なお、資源エネルギー庁の手引きPDF内にある商品ページのリンク（products/detail/702）は2026年9月20日時点で404を返すため、購入時は日本電気協会Webストアで版を確かめてください。
適用対象となる事業用電気工作物と除外される小規模事業用電気工作物
省令第15条の2が名指しするのは、事業用電気工作物の運転を管理する電子計算機です。小規模事業用電気工作物は除外されています。発電所・変電所の監視制御、送配電の給電システム、それらを操作する端末やネットワーク機器が中心で、オフィスの基幹システムは別の管理体系に属します。
この線引きを社内で共有しないまま進めると、IT部門の情報セキュリティ規程を制御系にそのまま当てて破綻します。パッチ適用のタイミングひとつ取っても、稼働を止められない設備では前提が変わります。OTとITの違いとPurdueモデルの階層構造を先に押さえたうえで、どの階層のどの機器が対象になるかを図に起こす順番が現実的です。
2025年2月改定で追加された3領域とガイドライン本体の条項番号
第2回改定は2025年2月18日の第127回委員会で承認されました。JESCの承認規格ページによれば、制定は2016年5月30日、第1回改定が2019年7月31日ですから、6年ぶりの改定です。何が増えたのかは、資源エネルギー庁が公表した手引きの対応表から条項単位で特定できます。
第2-2条と第4-1条に入ったサプライチェーン・リスク管理の中身
手引きの対応表では、サプライチェーン・リスク管理は第2-2条（役割）と第4-1条（セキュリティ管理）に対応づけられています。求められるのは3つ。委託先等の役割と責任範囲を明確にすること、サプライチェーンの依存関係と委託先等の対策状況を把握すること、そのリスクに関するセキュリティリスク管理を行うことです。
「依存関係の把握」は、取引先一覧を作れば終わる話ではありません。手引きは電気事業者の先にインテグレーター、ソフトウェアサプライヤー、製品サプライヤー、部品サプライヤー、運用・保守委託事業者、廃棄委託事業者、クラウドサービス事業者を並べ、さらに再委託先（SIer等）と再々委託先まで図示しています。設定ミスのような過失起因のリスクも評価対象に含めると明記されている点が、不正プログラムの埋め込みだけを想定した従来の議論との差です。リスクの洗い出し方そのものは、IPAの制御システムのセキュリティリスク分析ガイドの手順が具体的で、資産ベースと事業被害ベースの二段構えをそのまま流用できます。
第6-1条のセキュリティ仕様の確認が調達工程に持ち込む3つの作業
第6-1条（セキュリティ仕様の確認）に対応する要求は、調達時にセキュリティ仕様を明確にすること、仕様どおりに設計・製造されていることを確認すること、セキュリティに影響し得る仕様変更を管理することの3つです。時点が3か所に分かれているのが要点で、発注時・検収時・変更時のそれぞれに作業が発生します。
対応するリスクとして手引きが挙げるのは、開発・製造時の不正な改造、不正プログラムの埋め込み、運用・保守時のソフトウェアの不正な更新です。保守フェーズの更新が名指しされているため、納品して終わりの契約では条項を満たせません。年次のバージョンアップやパッチ適用の手順を、契約書と運用手順書の両方に書き分ける作業がここで発生します。
第6-2条が求める機器・外部記憶媒体及びデータのライフサイクル管理
第6-2条は機器・外部記憶媒体及びデータの管理です。対応リスクは調達時の不正な改造と不正プログラムの埋め込み、そして廃棄時の機密情報の窃取。入口と出口の両方が対象になっています。
現場で抜けやすいのは出口側です。保守用のノートPC、設定を保持したままのUSBメモリ、リプレース後に倉庫へ残る旧コントローラ。手引きは機器をライフサイクルを通じて管理し保護することを求めており、利用終了・廃棄までを対応フローに含めています。調達の稟議段階で廃棄手順と証跡の残し方まで決めておくと、5年後の入れ替えで慌てません。
2026年の制度再編がガイドラインの次回改定に及ぼす影響の読み方
2025年改定で対応が一段落した、とは言い切れません。2026年に入ってから、このガイドラインの上流にある国の枠組み自体が組み替わりました。
重要インフラ統一基準と安全基準等策定ガイドラインが置き換えた体系
2026年7月31日、サイバーセキュリティ戦略本部が重要インフラのサイバーセキュリティ対策のための統一基準を決定しました。根拠はサイバーセキュリティ基本法第25条第1項第3号で、同法は令和7年法律第43号によって改正されています。続いて2026年9月11日、内閣官房 国家サイバー統括室が安全基準等策定ガイドライン（163頁）を公表しました。
従来の「安全基準等策定指針」は、同日改定の行動計画の新旧対照表で削られ、統一基準第3部と策定ガイドラインの2文書に置き換わっています。電力制御システムセキュリティガイドラインは、この体系でいう「業界団体等が定める業界標準・ガイドライン」＝安全基準等にあたります。上流が変わった以上、次の改定で統一基準第3部の項目が降りてくる前提で読むのが妥当です。2025年改定が参照したのは令和5年7月の旧指針ですから、参照元はすでに一世代前になりました。
制御システムにも原則適用される対策とITシステム限定の3項目
策定ガイドラインは、対象とする情報システムに制御システムを含め、記載する対策事項は原則として制御システムにも適用されると書いています。「閉域網だから安全」「専用OSだから安全」「独自技術仕様だから安全」という3つの過信を名指しで否定したうえで、適用が容易でないものだけを例外として挙げる構成です。
例外は3項目しかありません。ペネトレーションテストの実施、メールインフラの保護、高度なマルウェア対策機能等の導入です。逆に言えば、資産管理も脆弱性管理もアカウント管理もログ取得も、制御システム側で実施する前提に置かれています。除外の3項目すら「実施の効果と実施に際するリスクを考慮し、分野ごとに個別に判断することが期待される」という書きぶりで、一律の免除ではありません。制御系にIT側の対策がそのまま入らない理由と工程別の打ち手は、制御システムセキュリティ対策の考え方で分野横断に整理しています。
調達仕様書への落とし込み手順と要件定義書に書くセキュリティ仕様
ここからが実務です。資源エネルギー庁が2025年6月3日に公表した「電力制御システムに関するサプライチェーン・セキュリティ対策の手引き」は、新たな要求事項ではなく既存要求を実施するための文書で、対応フローとグッドプラクティスが具体的に書かれています。
要件定義書に明記する通信回線対策・ログ保全・検収までの記載項目
手引き本体は、要件定義書に記載するセキュリティ仕様の例を列挙しています。発注側が空欄のまま出しがちな項目ばかりです。
- 通信回線に関する対策（不必要な通信回線からの隔離、不正アクセスの遮断、通信のなりすまし防止、サービス不能化の防止）
- 構築時および運用後の脆弱性対策
- 操作ログの収集機能、保存可能な期間、アクセス権限の管理
- 侵入および不能化の検知
- アカウント管理による利用者の制限
- 機密性・完全性の確保（通信経路上の盗聴防止、保存した情報の機密性と完全性）
- 侵入対策等の物理的保護
- 障害発生時の可用性確保
- 納品時のセキュリティ仕様に関する検収の実施
手引きは不正プログラム対策の管理と感染防止の機能を要件定義書で明示的に求めることを推奨しており、書かなければ実装されないことを前提とした構成です。加えて、遠隔制御を実装するなら通信回線がアタックサーフェスになるため該当項目を必ず書く、という洗い出しの順序も示されています。典型構成ごとにセキュリティ仕様を組織で統一しておけば、案件ごとに一から書く手間は減らせます。
発注先・委託先の選定基準に入れる4条件と再委託を制限する契約条項
選定基準として手引きが挙げる例は4つです。セキュリティ対策の管理体制を組織の管理方針に基づいて構築・文書化し定期的に改善していること、インシデント発生時の連絡体制を構築していること、業務の再委託を制限すること、従業員へ定期的に教育や研修を実施していること。
3つめの再委託の制限は、契約書の条項として書かなければ機能しません。制限とは全面禁止ではなく、事前承認と再委託先の名称・所在地・作業範囲の開示を条件にする形が現実的です。手引きの図では再委託先（SIer等）の先に再々委託先まで描かれており、二次までしか見ていない管理は想定の範囲に届いていないことになります。
契約後の定期確認をチェックリストと第三者監査で使い分ける基準
契約して終わりではありません。手引きは、要求したセキュリティ対策を遵守しているかを契約後も定期的に確認すること、確認頻度は委託先とあらかじめ協議して決めることを求めています。手段は2段階です。通常はチェックリストによるアンケート調査やヒアリング、特に重要な委託先には実施方法を協議したうえでセキュリティ対策に関する監査を定期的に実施します。
どこで線を引くか。判断軸は取引額ではなく、その委託先の作業が制御系に到達できるかどうかです。設備の運転を止め得る操作権限やネットワーク到達性を持つ相手は監査側、図面や帳票だけを扱う相手はチェックリスト側で足ります。リスク管理計画の見直しは最低でも年1回、インシデント発生時や新たな規制の発表時にも行うと手引きは書いています。
受託側が委託先等に当たる場合の線引きと提示された要件への答え方
ここは発注側の解説では抜け落ちる論点です。この文書群は、電気事業者だけでなく、そこへ納品する側にも直接向いています。
委託先・再委託先・発注先まで含む委託先等の範囲と自社の該当判定
手引きは「委託先等」を、委託先、再委託先（多段階の委託を含む）、および発注先と定義し、対象読者を「委託先・発注先を含む、電力制御システムのサプライチェーンに関係する全事業者」と明記しています。電気事業者と直接契約していなくても、二次請けとして制御系に触れるなら範囲内です。
判定は単純で、自社の成果物が電力制御システムの構成要素になるか、またはその運用・保守・廃棄に関与するかを見ます。該当するなら、選定基準の4条件に対応する文書（セキュリティ管理体制の文書、インシデント連絡体制、再委託の運用ルール、教育記録）を先に揃えておくのが有利です。要求されてから作ると、提案書の提出期限に間に合いません。
このガイドラインを持ち出さない場面と代わりに使う基準の選び方
逆に、適用しない場面をはっきりさせます。工場の自家用電気工作物やビルの受変電設備を扱う案件で、このガイドラインを持ち出すのは筋が違います。名宛人は事業用電気工作物の運転を管理する電子計算機であり、A4判37頁の要求事項は電力制御システムを前提に書かれているためです。
製造業のラインやビル設備が相手なら、IEC 62443やIPAの分析ガイドを土台にしたほうが議論は早く進みます。自家用電気工作物の保安に関わる部分は、電気主任技術者の選任と保安規程の枠組みが先にあります。発注側が「電力のガイドライン準拠で」と書いてきた場合も、対象設備が事業用電気工作物かどうかを要件定義の初回で確認してください。ここを曖昧にしたまま見積もると、根拠のない管理策のために工数だけが積み上がります。
仕様準拠の証跡として脆弱性診断を入れる工程と確認する出力物の粒度
第6-1条が求める「仕様どおりに設計・製造されていることの確認」は、検収書へのサインだけでは証跡になりません。手引きが挙げる仕様例にも構築時および運用後の脆弱性対策が入っているため、構築完了時と運用開始後の2点で検査結果を残す形が対応しやすくなります。
出力物の粒度も先に合意しておきます。検出された項目の一覧だけでなく、対象ホストと対象ポート、判定日時、未修正項目の理由と暫定措置までを含めると、翌年の定期確認でそのまま比較材料として使える形です。外部からの検査が必要な工程では、脆弱性診断・セキュリティ診断のような第三者の検査を調達計画に組み込み、費用と実施時期を初期見積りに載せておくと、検収直前の差し戻しを避けられます。診断の範囲を制御系ネットワークのどこまでにするかは、稼働への影響を見て事前に区切る必要があります。
よくある質問
電力制御システムセキュリティガイドラインについて、調達と受託の現場で実際に出る質問をまとめました。
電力制御システムセキュリティガイドラインのPDFは無料で入手できますか？
無料公開はされていません。日本電気協会Webストアが頒布する有償の書籍（JEAG1111-2024／JESC Z0004(2025)）で、2025年5月30日発刊、A4判37頁、税込4,950円です。電子書籍版も同ストアで扱われています。無料で読めるのは、資源エネルギー庁が2025年6月3日に公表したサプライチェーン・セキュリティ対策の手引きなど、ガイドラインを補う周辺資料です。手引きには条項との対応表が載っているため、購入前の当たりをつける用途には使えます。
ガイドラインに従わない場合、罰則はありますか？
ガイドライン自体は民間自主規格で、そこに罰則規定があるわけではありません。ただし電気事業法第39条が技術基準への適合維持を義務づけ、技術基準省令第15条の2がサイバーセキュリティの確保を定め、その解釈がガイドラインを引用する構造です。適合していないと主務大臣が認めた場合、第40条の技術基準適合命令によって修理・改造・移転の命令、使用の一時停止や制限を受ける可能性があります。金銭的な制裁より、設備を止められるリスクとして扱うのが実態に合います。
工場の自家用発電設備も適用対象になりますか？
省令第15条の2の名宛人は事業用電気工作物（小規模事業用電気工作物を除く）の運転を管理する電子計算機です。工場の自家用電気工作物が事業用電気工作物に該当するかは設備の区分によるため、まず設置している設備の法令上の区分を確認してください。該当しない設備にこのガイドラインを当てるより、IEC 62443やIPAのリスク分析ガイドを土台にするほうが、対策の粒度は合います。
ISMS認証があれば要求事項を満たしたことになりますか？
なりません。ISO/IEC 27001は情報セキュリティの管理システムを対象とする認証で、電力制御システムの運転を管理する電子計算機に求められる個別要求とは範囲が異なります。安全基準等策定ガイドラインも、ペネトレーションテストなど一部を除く対策事項を制御システムにも原則適用する前提を示しています。既存のISMS文書は選定基準の「管理体制を構築・文書化している」の証跡として使えますが、それだけで第6-1条や第6-2条の要求に答えたことにはなりません。
委託先として求められたとき、どの文書を提出すればよいですか？
手引きが示す選定基準の4条件に沿うと、提出物は自ずと決まります。セキュリティ管理体制を記した規程類、インシデント発生時の連絡体制図と連絡先、再委託の運用ルール（事前承認の手順と再委託先の開示範囲）、従業員への教育・研修の実施記録の4点です。加えて、納入システムに対する脆弱性検査の結果と未修正項目の扱いを示せると、仕様準拠の確認まで一度に答えられます。確認の頻度は発注側と協議して決める建て付けのため、初回契約時に年次の確認方法まで書き込んでおくと、後の追加依頼を減らせます。
関連記事
- 制御システムセキュリティ対策とは？IT対策が効かない理由と工程別の打ち手を解説：分野を問わない制御システム側の対策の全体像を扱っています。
- 制御システムのセキュリティリスク分析｜IPAガイドの手順とリスク値の算定基準：依存関係の洗い出しとリスク値の付け方を手順で解説しています。
- OTとは？ITとの違い・Purdueモデル・OTセキュリティ実装まで解説：対象範囲を図に起こす前提となるOTの階層構造をまとめています。
