セミナー情報これからの調達を変える自治体ルールの改正とは
2026年6月26日、「地方自治法施行規則の一部を改正する省令」（令和8年総務省令第80号）が公布されました。施行は2027年7月1日です。
一見すると自治体だけの話に見えますが、業種や取引先を問わず、一般企業の情報システム担当者にとっても押さえておきたい「これからの調達の標準形」を先取りした考え方です。
調達段階でのサプライチェーン・リスク対策への影響
2024年に成立した改正地方自治法では、自治体に「情報システムの適正な利用を図るために必要な措置」を義務づけました。これを受けた今回の改正では、その中身をサイバーセキュリティの観点から具体化しています。
この改正内容は、組織体制の整備から情報資産の分類・管理、物理・人的・技術的対策、クラウドサービスの適切な利用、対策の評価・見直しまで、8つの措置が体系的に列挙されています。なかでも実務に直結するのが、調達の段階でサプライチェーン・リスクに対処するという発想です。
総務省の通知は、その具体策として「選定基準」をあらかじめ定め、情報資産の分類に応じて「原則として政府の評価・登録制度に登録された製品」を選ぶよう求めています。ここで挙げられている制度が次の3つです。
つまり、サーバーやネットワーク機器、複合機、ネットワークカメラといった機器はJC-STAR、クラウドサービスはISMAPの登録品を選ぶことが「原則」になる、という整理です。
なお、DMPはデジタル庁が運営する行政機関と事業者をつなぐSaaS調達プラットフォームで、行政機関での予算要求や製品選定に対応しています。ただし、行政機関向けであることから、公平性の観点から特定の事業者名などでの恣意的な検索が除外されているなど、一般企業が調達するときとは少し事情が異なるため、ここでは解説を省略します。
「製品選びの物差し」としてのJC-STARとISMAP
JC-STARは、IPA（情報処理推進機構）が運営するIoT製品のセキュリティラベリング制度です。2025年3月に申請受付が始まり、同年5月から「★1適合ラベル」の交付が始まりました。国内外の規格と調和しており、★1から★4のレベルが設定されています。
★1と★2は自己適合宣言、★3以上は第三者認証という段階構成で、製品のセキュリティ機能を確認できます。これはルーターなどの機器を自社に導入するときに、同じ価格帯なら適合ラベル付きを選ぶ、といった判断材料になります。
ISMAPは、政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価・登録する制度で、登録サービスは「ISMAPクラウドサービスリスト」で公開されています。SaaSやIaaSを選定するとき、このリストは「第三者が政府水準で監査済み」という手がかりになります。
加えて、データセンター所在国の法律により、外国当局にデータが強制開示されるリスクがある場合は利用を見送る、というデータ主権の観点まで示しています。
なぜ一般企業の情シスにも関係するのか
今回の改正は自治体だけの話に見えますが、一般企業の情シスでも把握しておきたい理由が大きく3つあります。
1つ目は、公共の調達で使われる基準は民間に波及することです。かつてのプライバシーマークやISMSがそうであったように、政府・自治体が採用した基準が少しずつ大企業の取引条件や業界標準として広がっていきます。
取引先から「JC-STAR適合品か」「ISMAP登録クラウドか」を問われる場面が増えていく可能性があるのです。
2つ目は、今回のように定められた基準をそのまま自社の選定基準として転用できることです。選定基準を中小企業が定めるのは大変ですが、このような公的な機関での水準があると、専門部署を持たない情シスでも手軽に扱えます。
「機器はJC-STAR、クラウドはISMAP、迷ったら第三者評価のある製品」という考え方は、シンプルで説明可能なルールだと言えます。
3つ目は、サプライチェーン全体を見る視点が標準になることです。今回の基準は供給元だけでなくその委託先や再委託先、さらに本社所在地の法的環境まで踏み込んでリスクを評価することを求めています。
自社が利用する製品やサービスの「素性」を把握する姿勢は、企業規模を問わず求められる時代なのです。
いま情シスが着手できること
まずは、自社のIT資産と調達ルールの棚卸しから始めましょう。使っている機器やクラウドが第三者評価を受けているかを一覧にし、更改のタイミングで見直せるよう整理します。そして、「自社版の選定基準づくり」です。JC-STARやISMAPを参考に、「新規調達は原則として第三者評価のある製品を優先し、例外は理由を残す」といった運用ルールを定めておくと、属人的な判断を減らせます。
さらに、「主要な取引先やクラウドの所在地とデータの流れ」を確認します。どの国のどの事業者にデータが渡るのかを把握しておくことは、有事の際の説明責任にも直結します。認証には相応の期間がかかるため、自治体向けビジネスを持つ企業であれば、2027年7月の施行を見据え、自社製品の認証取得スケジュールを早めに逆算することも欠かせません。
自治体向けの新ルールは、裏を返せば「これからの安全なIT調達のお手本」だとも言えます。第三者の評価がある製品を優先し、取引先とデータの流れを把握しておくという考え方を、施行までの時間を使って自社の運用に落とし込んでおきましょう。
増井 敏克氏（ますい としかつ）増井技術士事務所代表。技術士（情報工学部門）、情報処理技術者試験にも多数合格。
ビジネス数学検定1級。
「ビジネス」×「数学」×「IT」を組み合わせ、コンピューターを「正しく」「効率よく」使うためのスキルアップ支援や各種ソフトウェア開発、データ分析などをおこなっている。
著書に『図解まるわかり セキュリティのしくみ』『図解まるわかり プログラミングのしくみ』『図解まるわかり アルゴリズムのしくみ』『IT用語図鑑』『IT用語図鑑［エンジニア編］』『Pythonではじめるアルゴリズム入門』『プログラマ脳を鍛える数学パズル』『プログラマを育てる脳トレパズル』（以上、翔泳社）、『プログラマのためのディープラーニングのしくみがわかる数学入門』『プログラミング言語図鑑』（以上、ソシム）、『基礎からのプログラミングリテラシー』（技術評論社）、『RとPythonで学ぶ統計学入門』（オーム社）などがある。
