トランプ政権、米電力網の外国製機器に新規制　バックドア・遠隔操作リスクを国家安全保障上の脅威に

米ホワイトハウスは2026年8月26日、米国のバルク電力系統（Bulk-Power System）で使用される外国製電力機器について、サイバー攻撃や遠隔操作、供給停止などの国家安全保障リスクを審査・制限する大統領令を公表しました。

大統領令では、外国製の電力機器に「デジタルバックドア」が組み込まれ、外国から遠隔アクセスされる可能性を例示しています。ただし、特定の製品やベンダーにバックドアが確認されたと発表したものではありません。

新たな枠組みでは、外国の関係主体が関与し、米エネルギー長官が妨害、無許可アクセス、悪意ある遠隔操作、供給途絶などの過度または容認できないリスクがあると判断した場合、対象機器の取得、輸入、移転、設置を禁止できます。

対象は変圧器や蓄電池、インバーターだけでなく、PLC、RTU、保護リレーなどの産業制御システム（ICS）、関連するソフトウェア、ファームウェア、デジタルサービス、保守サービス、リモートアクセス機能まで含みます。

米電力網を対象とした大統領令のサマリー

• 米ホワイトハウスは2026年8月26日、外国製のバルク電力系統用機器をめぐるリスクについて国家非常事態を宣言しました。
• 対象は原則として69kV以上の送電網や発電設備などで、地域の配電設備は除外されています。
• 外国製機器を一律に禁止する制度ではありません。
• 米エネルギー長官が「Covered Foreign Entity」との関係と、サイバー・供給網・国家安全保障上のリスクを認定した取引が禁止対象になります。
• 対象となり得るのは、変圧器、インバーター、蓄電池、UPS、発電機、保護リレー、PLC、RTU、DCS、安全計装システムなどです。
• ハードウェアだけでなく、関連ソフトウェア、ファームウェア、デジタルサービス、保守、更新機構、リモートアクセス機能も審査対象になります。
• 既設機器についても、リスクが認定された場合には識別、隔離、監視、保護、切断、交換、撤去などを命じられる可能性があります。
• 既設設備の切断や交換にあたっては、電力供給の信頼性、安全性、代替品の有無、サービス継続を考慮するよう定めています。
• エネルギー長官は120日以内に必要な規則を策定するよう指示されています。
• 180日以内には、連邦政府のエネルギーインフラ調達で米国製を優先するためのFAR改定案をまとめるよう求められています。
• 大統領令は特定国を名指ししていません。
• 2020年のトランプ政権でも類似の枠組みが導入され、その後DOEが中国関連の一部設備を対象とする禁止命令を出しましたが、2021年に撤回されています。

項目	内容
公表日	2026年8月26日
公表主体	米ホワイトハウス
対象	米国のバルク電力系統
対象電圧	69kV以上の送電系統を含む
地域配電	対象外
主な対象機器	変圧器、インバーター、蓄電池、発電機、保護リレー、PLC、RTU、DCS、安全計装システムなど
デジタル領域	ソフトウェア、ファームウェア、デジタルサービス、保守、リモートアクセス機能など
新規取引	条件を満たす外国製機器の取得・輸入・移転・設置を禁止可能
既設機器	隔離、監視、保護、切断、交換、撤去などを命令可能
規則策定	120日以内
連邦調達見直し	180日以内にFAR改定案を策定
特定国の指定	大統領令本文ではなし

外国製機器の「デジタルバックドア」をリスクとして例示

大統領令で特に注目されるのが、外国製電力機器のデジタル機能を国家安全保障上のリスクとして明示した点です。

ホワイトハウスは、外国製のバルク電力系統用機器について、外国の主体が脆弱性を作り込んだり悪用したりできる可能性があると説明しています。

その例として、機器内部にデジタルバックドアが組み込まれ、外国から遠隔アクセスされる可能性を挙げています。

ただし、今回の大統領令は「特定メーカーの機器からバックドアが発見された」というインシデント公表ではありません。

大統領令の記載は、外国製電力機器が持ち得るサプライチェーン上のリスクを政策上の前提として示したものです。「外国製機器にバックドアが確認された」と断定するのは適切ではありません。

外国製機器を一律禁止する制度ではない

今回の措置は、外国で製造されたすべての電力機器を米国から排除するものではありません。

禁止対象となるには、複数の条件を満たす必要があります。

対象となるのは、米国の管轄下で行われる取得、輸入、移転、設置などの取引で、その機器や関連するソフトウェア、ファームウェア、デジタルサービス、保守サービス、リモートアクセス機能が「Covered Foreign Entity」に所有、管理、指揮される人物によって設計、開発、製造、供給されている場合です。

そのうえで、エネルギー長官が、妨害、破壊、無許可アクセス、悪意ある遠隔操作、供給停止、重要インフラへの壊滅的な影響、国家安全保障上の容認できないリスクなどがあると判断した場合に禁止対象となります。

エネルギー長官には、条件付きで取引を認めるための緩和措置を設計・交渉する権限も与えられています。

また、安全性を確認した機器やベンダーを事前承認し、将来の取引について除外できる「pre-qualified」制度を設けることも可能です。

PLC・RTU・DCSなど産業制御システムも対象

対象は電力設備の大型ハードウェアだけではありません。

大統領令は、バルク電力系統の変電所、制御室、発電所で使われる多数の設備を対象として列挙しています。

具体的には、変圧器、系統連系インバーター、蓄電池エネルギー貯蔵システム、重要インフラ向けUPS、大型・小型・非常用発電機、高圧遮断器、発電タービンなどです。

さらに産業制御システムとして、RTU（Remote Terminal Unit）、PLC（Programmable Logic Controller）、IED（Intelligent Electronic Device）、DCS（Distributed Control System）、安全計装システムなども含まれます。

これは、電力インフラのサプライチェーンリスクを「機械設備の製造国」だけでなく、制御機能やデジタルアクセスまで含めて評価する考え方です。

ソフトウェア・ファームウェア・リモートアクセスも審査対象

大統領令では、機器本体に加えて関連するソフトウェアやファームウェア、リモートアクセス能力も考慮するよう定めています。

近年の電力設備では、ベンダーがリモートから状態確認、保守、アップデートを行える製品も珍しくありません。

この場合、ハードウェアの製造地だけではなく、誰がソフトウェアを開発しているか、アップデートを配信できる主体は誰か、クラウドや保守用リモートアクセスを誰が管理しているかまでがサプライチェーン上の論点になります。

大統領令では、critical component、software、firmware、digital service、maintenance service、remote-access capabilityを明示的に対象へ含めています。

つまり、米国の電力インフラ向けに機器を供給する企業は、BOMや製造国だけでなく、ソフトウェア開発、更新経路、保守契約、遠隔管理機能なども説明できる状態が求められる可能性があります。

既設の外国製設備も隔離・交換の対象になり得る

今回の大統領令は、新規調達だけを対象としたものではありません。

エネルギー長官は、8月26日以前に取得・設置された外国製のバルク電力系統用機器についても、継続利用、運用、保守、サービス、更新に条件を課すことができます。

必要に応じて、対象機器の識別、隔離、監視、セキュリティ強化、切断、交換、撤去を求めることも可能です。

ただし、電力設備は簡単に停止・交換できるものではありません。

そのため大統領令は、隔離、切断、交換、撤去を命じる前に、系統の信頼性、安全性、安全な代替製品の有無、重要サービスの継続への影響を考慮するよう定めています。

必要に応じて段階的な対応も認められます。

対象は69kV以上、地域配電は除外

今回の大統領令が対象とする「bulk-power system」は、米国のすべての電力設備を意味するわけではありません。

定義では、相互接続された送電ネットワークの運用に必要な設備・制御システムと、送電系統の信頼性維持に必要な発電設備を対象としています。

具体的には、69,000ボルト（69kV）以上の送電線を含みます。

一方、地域の電力配電に使われる設備は明示的に対象外です。

そのため、一般家庭や店舗へ直接電力を届ける低圧・配電設備を全面的に規制する大統領令ではありません。

120日以内に具体的な規則を策定

大統領令は枠組みを定めた段階であり、実際にどの国、企業、製品が規制対象になるかについては今後の規則が重要になります。

エネルギー長官は、国防、国土安全保障、情報機関などと協議し、120日以内に必要な規則・規制を公表するよう指示されています。

規則では、特定の国や人物をCovered Foreign Entityとして指定することや、その支配下にある企業を特定すること、重点的に審査すべき設備や国を指定することが可能です。

また、禁止対象となる取引を個別に許可するライセンス制度も整備できます。

大統領令本文では特定国は指定されていません。このため、現時点で「中国製電力設備を全面禁止した」と表現することはできません。

180日以内に連邦政府の調達ルールも見直し

今回の措置は民間の電力設備だけでなく、米連邦政府の調達政策にも影響します。

エネルギー長官は180日以内に、Federal Acquisition Regulatory Councilと協議し、エネルギーインフラの連邦調達で国家安全保障リスクを適切に評価するためのFederal Acquisition Regulation（FAR）改定案をまとめるよう求められています。

同時に、米国で製造されたエネルギーインフラを優先する方向も示されています。

FAR Councilは提案を受け取ってから90日以内に、規則改定のための意見募集を行うことを検討します。

そのため今後は、米国政府向け電力設備を供給する企業にも、製造国、部品の原産地、ベンダー支配関係、ソフトウェア更新、リモートアクセスなどについて、より厳格な説明が求められる可能性があります。

AI・データセンターの拡大も電力網保護の背景に

ホワイトハウスは今回の措置の背景として、AIとデータセンターの電力需要拡大も明示しています。

大統領令では、先端製造業、データセンター、AI、防衛生産の急速な成長によって、米国が安定した大量の電力へ依存する度合いが高まっていると説明しています。

その結果、電力網へのサイバー攻撃や供給網の寸断が成功した場合の影響も以前より大きくなったとの認識です。

ホワイトハウスは2026年4月にも、変圧器、高圧送電部品、変電所、高圧遮断器、保護リレーなどの国内生産能力について、国防上重要な産業資源と位置付けています。

今回の大統領令は、電力供給能力を増やす政策と同時に、その設備自体のサプライチェーンや遠隔制御を国家安全保障の対象として扱う動きと見ることができます。

2020年にも類似措置、中国関連設備を禁止した経緯

トランプ政権は第1次政権時代の2020年5月にも、米国のバルク電力系統を外国の脅威から保護する大統領令を出しています。

当時の大統領令も、外国の敵対主体が関係し、国家安全保障上の過度または容認できないリスクがある電力設備の取得・輸入・移転・設置を禁止できる枠組みでした。

同年12月、米エネルギー省はこの権限を基に、重要な国防施設へ電力を供給する一部の69kV以上の設備について、中国政府の所有・管理・影響下にある人物が製造・供給した特定機器を対象とする禁止命令を出しました。

この禁止命令は2021年4月に撤回されています。

2026年の大統領令本文では中国を含む特定国は名指ししていません。そのため、2020年の中国向け措置をそのまま2026年の対象国とみなすことはできません。

一方、今回の枠組みは、ソフトウェア、ファームウェア、デジタルサービス、保守、リモートアクセス機能まで明示的に審査対象としており、電力設備のデジタルサプライチェーンを強く意識した内容になっています。

関連：なぜ企業や公的機関は中国 製 Webカメラやルーターなどの通信機器を排除する必要があるのか

中国系攻撃者による重要インフラ侵入とは分けて考える必要

米国の重要インフラをめぐっては、中国政府支援と評価される攻撃グループによる侵入活動も継続的に問題となっています。

たとえば米国や同盟国の当局は、Volt Typhoonについて、通信、エネルギー、水道、運輸などの重要インフラへ長期的に侵入していたと警告してきました。

セキュリティ対策Labでも「JPCERTがVolt Typhoonの攻撃キャンペーン「Operation Blotless」に関して注意喚起」で活動を整理しています。

ただし、今回の大統領令はVolt Typhoonなど特定の攻撃グループによる侵害を直接の根拠として特定したものではありません。

実際のネットワーク侵入と、製造・調達段階で機器やソフトウェアに潜在するサプライチェーンリスクは、分けて整理する必要があります。

日本企業への影響

今回の大統領令は米国のバルク電力系統を対象としていますが、日本の電力設備メーカー、制御機器メーカー、ソフトウェア企業、システムインテグレーターにも影響する可能性があります。

米国向けに対象設備や関連システムを供給している場合、単に「日本企業が販売している」ことだけではなく、製品の製造・組立場所、主要部品の供給元、ソフトウェア開発主体、ファームウェア更新経路、保守委託先、クラウドサービス、リモートアクセスの運用主体などを説明できることが重要になります。

特に、自社製品に外国製のPLC、通信モジュール、インバーター、制御ソフトウェアなどを組み込んでいる場合、完成品メーカーだけを確認してもサプライチェーン全体のリスク評価にはなりません。

今後公表されるCovered Foreign Entityの定義、禁止対象機器、事前承認ベンダー、ライセンス制度を確認し、米国の顧客へ必要な情報を提供できるようサプライチェーンを棚卸ししておく必要があります。

情報システム・OTセキュリティ部門への示唆

今回の大統領令が示しているのは、OT・ICSのセキュリティでは脆弱性管理だけではなく「誰が設備を作り、誰が遠隔から操作・更新できるか」まで管理対象になるということです。

電力、製造、交通、水道などの重要インフラでは、PLCやRTU、保護リレー、インバーターなどを10年、20年単位で利用することがあります。その間にメーカーの資本関係、保守会社、クラウド基盤、ソフトウェア更新経路が変化する可能性があります。

企業では、OT資産台帳にメーカー名や型番だけを記録するのではなく、ファームウェア、ソフトウェア、遠隔保守機能、通信先、保守ベンダー、更新方法まで含めて管理する必要があります。

また、リモートアクセスは原則として必要最小限とし、常時接続を避け、MFA、踏み台環境、アクセス承認、セッション記録、通信先制限などを組み合わせることが重要です。

サプライチェーン調達では、SBOMだけでなく、ソフトウェア更新の署名検証、保守用アカウント、バックドアとなり得る非公開インターフェースの有無、脆弱性報告体制、製品終了後のサポートまで確認する必要があります。

今回の米国の措置は、特定国の製品を一律排除するルールではありません。重要なのは、調達時点から設備の所有・製造・開発・保守・遠隔アクセスの関係を可視化し、国家安全保障や事業継続上のリスクを評価できる状態にすることです。

出典

• Declaring a National Emergency to Secure the United States Bulk-Power System – The White House
• Fact Sheet: President Donald J. Trump Declares a National Emergency to Secure America’s Bulk-Power System – The White House
• Presidential Determination Pursuant to Section 303 of the Defense Production Act of 1950, as Amended, on Grid Infrastructure, Equipment, and Supply Chain Capacity – The White House
• Executive Order on Securing the United States Bulk-Power System – Trump White House Archives
• Secretary of Energy Signs Order to Mitigate Security Risks to the Nation’s Electric Grid – U.S. Department of Energy
• Revocation of Prohibition Order Securing Critical Defense Facilities – U.S. Department of Energy
• Trump Order Aims to Block Foreign Backdoors in US Power Grid Gear – SecurityWeek
• JPCERTがVolt Typhoonの攻撃キャンペーン「Operation Blotless」に関して注意喚起 – セキュリティ対策Lab