【10/19】データセンター安全認証を国が創設へ｜中国系クラウドを事実上排除

データセンターとクラウドの安全性を国が審査して認める「安全認証」の制度を、政府が新しく作る方針だと日本経済新聞が2026年10月19日に報じました。総務省と経済産業省が2027年度以降の導入を目指し、金融や医療など重要な個人情報を扱う企業に、認証を受けたサービスを使うよう促します。中国やロシアなどの影響下にある事業者は、事実上ここから外れる仕組みになる見通しです。

この記事では、報道で確かめられた制度の中身、内閣官房の有識者会議がこれまでに示してきた考え方、政府調達向けのISMAPとの違い、米国や欧州の先行例を表で整理します。審査項目など、確認できていない点は「未確認」と分けて書きます。

データセンター安全認証とは？国が新設する制度の中身

国がデータセンターとクラウドの安全性を審査し、合格した事業者のサービスを「安心して使える」と示す制度です。

日本経済新聞の2026年10月19日の報道によると、所管は総務省と経済産業省で、導入は2027年度以降の予定です。制度の正式な名前は、報道の時点ではまだ出ていません。

対象はデータセンター事業者と国内にサーバーを持つクラウド事業者

対象は、日本国内に立地するデータセンター事業者と、国内にサーバーを持つクラウドサービス提供者の2つです。

データセンターは、企業や役所のデータを大量に預かるサーバーの建物です。クラウドは、そのサーバーをインターネット越しに貸し出すサービスです。銀行の口座情報や病院のカルテも、いまは多くがこうした場所に保存されています。

金融・医療の企業に「認証済み」の利用を促す

認証を受けたサービスを使うよう促される相手は、金融や医療など重要な個人情報を扱う企業です。

報道の表現は「促す」で、使うことを法律で義務づけるかどうかは書かれていません。事業者に認証の取得を義務づけるのか、取得は任意で利用側に選ばせるのかは、本記事で確認できた範囲では示されていません。

なぜ中国系クラウドが「事実上排除」になるのか

外国政府の影響下にある事業者からのデータ流出や停止を防ぐ制度で、報道では中国・ロシア系は事実上外れる見通しです。

日本経済新聞は、新制度が中国やロシアなどの影響下にある企業を事実上排除する仕組みになると報じました。報道の表現は「事実上」で、特定の国の企業を名指しで禁止する制度とは伝えられていません。どの審査項目でどう外れるのかという具体的な仕組みは、まだ確認できていません。

外国政府の影響下にある事業者が問題になる理由

問題になるのは、運営する会社が自国の政府から求められたとき、預かったデータを渡したりサービスを止めたりするおそれがある点です。

内閣官房の経済安全保障法制に関する有識者会議は、2025年12月4日の資料で、ゲノム（遺伝情報）、位置情報、生体認証、金融、医療といった個人の機微なデータが外部に漏れると、特定の個人への影響力行使に使われるリスクがあると整理しました。データの保存や処理をどこに任せるかという契約そのものが、漏えいの入り口になり得るという考え方です。

（編集部分析）中国は国の情報活動への協力を組織や個人に求める法律を持つ国です。中国に本社を置く事業者が日本でサーバーを運営する場合、日本の契約や法律だけでは、本国の政府からの要請を断れる保証がありません。国の認証で入口を絞る今回の方針は、データの主権を自国で守る方向の判断と評価できます。

審査項目の詳細はまだ確認できていない

何を審査して合否を決めるのかは、日経の無料公開部分と政府の公表資料の範囲では確認できません。

日本経済新聞の記事は、審査で事業者の企業情報を見る方向だと書いていますが、資本の出どころや役員の国籍まで見るのかなど、詳しい部分は会員限定の本文にあり、本記事では確認できていません。総務省・経済産業省の公式発表も、10月20日時点で見当たりません。この点は推測で埋めずに「未確認」として扱います。

制度ができるまでの経緯｜有識者会議の提言から認証制度へ

2025年12月に論点が示され、2026年1月の提言と6月の法改正での先送りを経て、10月19日に認証制度として報じられました。

内閣官房の有識者会議が進めてきた「データセキュリティ」の議論の流れを時系列で並べると、次のとおりです。

提言の段階では「措置の検討が必要」という書き方でしたが、10月の報道で、所管の省と導入の時期、利用を促す業種が具体的になりました。

1月16日の提言骨子は、具体策として2つを挙げています。1つは、サプライチェーン（機器や部品の調達網）の危険への対策など、データセンターやクラウド上の情報の漏えい・滅失を防ぐ措置です。もう1つは、事業者を通じて日本国内のデータセンターの設置状況などを国が把握する措置です。

同じ骨子は、日本が自由なデータ流通を掲げる「DFFT（信頼性のある自由なデータ流通）」の提唱国であることにも触れ、企業のデータ活用を必要以上に縛らないよう求めています。（編集部分析）報道された制度が「禁止」ではなく「認証して利用を促す」形になっているのは、この配慮と重なると読めますが、政府が理由として説明したものではありません。

次の図は、有識者会議の議論から利用企業の選択までの流れをまとめたものです。

図のとおり、事業者が認証を取り、利用する企業がそれを選ぶという二段の仕組みです。報道では中国・ロシアなどの影響下にある企業が事実上外れる見通しとされますが、どの段階でどう扱われるかは審査基準の公表を待つ必要があります。

ISMAPと何が違うのか｜政府調達向けとの比較

ISMAPは主に政府のクラウド調達のための制度で、今回の認証は金融・医療の民間企業の利用を念頭に置く点が違います。

ISMAP（政府情報システムのためのセキュリティ評価制度）は、主に各省庁がクラウドを調達するときに、あらかじめ評価・登録されたサービスから選ぶための仕組みです。登録されたサービスの一覧は公開されています。有識者会議の提言骨子も、政府が調達する情報システムにはISMAPなどの措置があると整理したうえで、民間企業が持つ機微なデータは既存の法律で十分に守られていないおそれがあると指摘しました。

報道と提言骨子で確かめられる範囲で、2つを並べると次のようになります。

表の右の列は報道の段階の情報で、審査基準が公表されれば変わる可能性があります。左の列が「国の役所を守る仕組み」なら、右の列は「国民のデータを預かる民間の現場を守る仕組み」と言えます。

米国・EU・豪州はすでにデータセンターを規制している

米国、EU、オーストラリアは、データセンターやクラウドを安全保障の対象に入れる制度を2025年までに動かしています。

有識者会議の2025年12月の資料は、海外の例として次の制度を挙げています。

米国の大統領令の規則は国名を挙げて取引を禁止・制限し、EUと豪州は事業者に登録とリスク管理を義務づけています。日本の新制度は、報道の段階では「国が認証して利用を促す」形と伝えられています。

（編集部分析）規制の対象も法的な効果も国ごとに違うので単純には比べられませんが、米国が2024年の大統領令から国名を挙げて動いてきたのに対し、日本の制度は2027年度以降の導入で、時間の面では後を追う形です。同盟国の中で日本だけ規制が緩ければ、データの「抜け穴」として狙われかねません。導入が2027年度以降という時間軸は、この差を埋めるには遅いという見方もできます。

自治体のIT機器を国認定品に限る方針との関係

総務省は2026年4月に、自治体が買うIT機器を国の認定品に限る方針も固めており、今回のクラウド認証とは守る層が違う別の施策です。

ビジネス+ITの2026年4月21日の記事によると、総務省は4月20日に、全国の自治体がパソコンやサーバー、通信機器を調達するときに国が安全性を認定した製品に限る方針を固めました。2027年夏ごろの運用開始を見込み、現時点で認定基準を満たす中国製の機器は無いとされます。政府は2019年から中央省庁の通信機器の調達で特定の中国企業の製品を事実上排除しており、その枠組みを自治体に広げる形です。

自治体の方針は「機械そのもの（ハードウェア）」の調達の話で、今回の認証は「データを預ける先（データセンターとクラウドの事業者）」の話です。対象の層は違いますが、どちらも国の基準で入口を絞り、中国系の製品・事業者が結果として外れるという点で同じ方向を向いています。自治体の方針は総務省による中国製IT機器の排除を扱った記事でも取り上げています。

利用企業と私たちの暮らしへの影響

金融・医療の企業で認証済みへの移行が進む可能性はありますが、一般の利用者に新たな手続きは求められていません。

銀行や病院が認証済みのクラウドを選ぶようになれば、口座情報やカルテの預け先も国の審査を通った事業者に寄っていくとみられます。ただし、これは制度が報道どおりに動いた場合の見通しです。

金融機関・病院の担当者がいま確かめておくこと

いま契約しているデータセンターとクラウドの運営会社が、どの国の資本で、サーバーがどこにあるかを把握しておくことです。

認証制度の審査基準はまだ出ていませんが、有識者会議の提言骨子は、国内のデータセンターの設置状況を事業者を通じて国が把握する措置を挙げています。どの会社のどの拠点にデータを置いているかを自社で言える状態にしておけば、基準が公表されたときに切り替えが要るかどうかをすぐ判断できます。複数の事業者を重ねて使っている場合は、再委託先まで確かめておくと漏れがありません。

一般の利用者に求められる手続きはあるか

現時点で一般の利用者に求められる手続きはなく、銀行や病院の側で対応が進む話です。

ただし、報道の段階では利用は「促す」もので、すでに使っているサービスをいつまでに切り替えるのか、切り替えの費用を誰が負うのかは示されていません。気になる人は、使っている銀行や病院が個人情報の保存先をどう公表しているか、プライバシーポリシーを見ておくとよいでしょう。

（編集部分析）国民の健康や資産の情報は、一度国外に流れれば取り戻せません。安さや便利さだけで外国系のサービスを選んできた流れを、国の基準で見直すことは、国民の情報を自国で守る力を取り戻す一歩と評価できます。一方で、認証が「促す」だけで終われば、費用の安い外国系サービスを選ぶ企業は残ります。実効性は、金融庁や厚生労働省が業界の指針に認証の利用をどこまで書き込むかにかかっています。

中国による日本への働きかけについては高市首相を狙った中国の影響工作の記事でも整理しています。

これからの焦点と確かめ先

今後の焦点は、審査基準の中身、法律の根拠、認証を義務にするかどうかの3点で、いずれも総務省・経済産業省の発表を待つ段階です。

2026年6月に成立した経済安全保障推進法等の改正法には、データセンター・クラウドへの措置は入りませんでした。小野田大臣は4月28日の衆院本会議で、有識者会議の提言を踏まえて政府として引き続き検討すると答えています。今回の認証制度が次の法改正に盛り込まれるのか、省令や指針で作られるのかは、本記事で確認できた範囲では示されていません。確かめる先は次のとおりです。

• 総務省・経済産業省の報道発表（審査基準・制度名の公表）
• 内閣官房「経済安全保障法制に関する有識者会議」のページ（推進法改正の議論）
• 金融庁・厚生労働省の業界向け指針（認証の利用を求めるかどうか）

（編集部分析）審査が重くなれば、国内の中小のデータセンター事業者にとって認証の取得費用が負担になる可能性もあります。外国系を外す一方で国内の事業者まで締め出しては本末転倒なので、基準とあわせて国内事業者への支援策が示されるかも注目点です。

制度の名前や審査項目が公表されたら、この記事に追記します。

データセンター安全認証のよくある質問

本文で扱いきれなかった、周辺の疑問をまとめます。

制度の詳細が公表されれば、答えが変わる質問もあります。最新の情報は下の参考情報の公式ページで確かめてください。

参考情報

• 日本経済新聞「データセンター・クラウド、国が安全認証へ 中国系を事実上排除」（2026年10月19日）
• 内閣官房 経済安全保障法制に関する有識者会議「経済安全保障推進法改正に関する提言骨子（データセキュリティ）」（2026年1月16日）
• 内閣官房 同会議 推進法改正に関する検討会合 第2回資料9「データセキュリティ制度の検討について」（2025年12月4日）
• 内閣官房 経済安全保障法制に関する有識者会議 第16回資料1（改正法の国会審議の経過と答弁）
• ビジネス+IT「政府、自治体のIT機器調達を国認定品に限定へ」（2026年4月21日）
• ISMAPポータル（政府情報システムのためのセキュリティ評価制度）