SaaS・ソフトウェア企業の輸出管理｜みなし輸出・ISMAP・クラウド規制の実務対策【2026年版】

こんにちは、株式会社TIMEWELLの濱本です。「うちはSaaSなので輸出管理は関係ない」という言葉を、ここ一年で何度も聞きました。気持ちは分かります。物理的なモノを船で運ぶわけでもなく、倉庫もなく、通関もない。しかし現実には、SaaSやソフトウェアこそ輸出管理の網に深く絡みついている分野です。

このシリーズで業種別の輸出管理を整理してきて、改めて思うのはSaaS事業の特殊さです。モノは動かなくても、技術は動く。暗号アルゴリズムを載せたAPIは、クライアントが海外にいるだけで国境を越えます。海外エンジニアをリモートで雇えば、採用した瞬間にみなし輸出の論点が発生します。さらにISMAPという日本独自の政府調達の関門があり、その基準が2025年末に大幅に改定されました。今回は2026年4月時点の最新情報で、SaaS・ソフトウェア企業が押さえるべき輸出管理の実務を5つの論点に整理します。

暗号を載せたSaaSがEARのどこに当たるかを順番に潰す: 「EAR対象か→ECCN該当か→EAR99か」の判定フローと、EAR99でも許可が要る場合（禁輸仕向地・エンドユース・エンドユーザー）、de minimis／FDP、取引先スクリーニング、日本の該非判定との二重チェックまでを記入式でまとめた実務シートを配布しています。自社の品目と仕向地に当てはめた確認記録として、そのまま社内に残せます。 → EAR該非フロー＆EAR99チェックリストをダウンロード（無料。会社名とお勤め先のメールアドレスのご登録が必要です）

SaaSは輸出しているつもりがなくても輸出管理の当事者

SaaS企業が最初につまずくのは、「輸出」の定義です。外為法も米国EARも、物品だけでなく技術と役務を管理の対象にしています。SaaSは物品こそ運ばないものの、技術提供そのものが本業なので、むしろ管理対象の中心に位置しているのです。

米国EAR（Export Administration Regulations）はCategory 5 Part 2で暗号機能を持つソフトウェアを広く管理対象にしており、TLS、VPN、ファイルベースの暗号化、E2E通信のいずれかを実装していれば、5D002や5A002に該当する可能性があります。米国製のライブラリやOSSを組み込んでいれば、de minimis rule（米国原産含有率25%以上、一部国は10%以上）で米国の再輸出管理が日本法人にも及びます。「うちは純国産」と言い切れるSaaSは思ったより少ないのが実情です。

国内法でも、経産省は2013年にクラウドと役務取引に関する通達を出しました。そこで示されたのは「暗号化された状態で国外サーバーに保存・転送されるだけなら役務取引に該当しない」という整理です。ただし、これはあくまでデータの通過の話であって、暗号技術そのものを海外拠点に提供する場合や、復号鍵を海外側で扱う場合は別問題です。

加えて、SaaSは「役務の提供」と「プログラムの提供」のどちらに分類されるかが曖昧になりがちです。月額サブスクでAPIアクセスだけを売るなら役務取引、オンプレ版のインストーラーや仮想アプライアンスを配布するならプログラムの提供に寄ります。両方のモデルを持つ会社は、該非判定をサービスごとに切り分ける必要があります。実際に現場を見ると、ここを一枚のエクセルで管理していて粒度が合わなくなっているケースが多い。日本のSaaS企業はまだ輸出管理のオペレーションが製造業ほど成熟しておらず、経産省の「安全保障貿易管理」の枠組みで考えると、製造業の10年遅れくらいの位置にいると感じます。

ISMAP2026年改定で変わる政府調達とクラウド事業者の対応

国内のSaaS事業者にとって、輸出管理と並んで避けて通れないのがISMAP（政府情報システムのためのセキュリティ評価制度）です。政府調達におけるクラウドサービスのセキュリティ水準を担保する制度で、2020年の運用開始以来、AWS、Microsoft Azure、Google Cloud、IIJ、さくらインターネットなど主要CSPが登録してきました。

ISMAPクラウドサービスリストに載っていないと、各省庁の基盤系システムはもちろん、自治体の一部調達でも入札の土俵に上がれません。これが国内SaaS企業、とくに中堅どころにとって参入障壁になってきました。取得・維持のコストが重すぎるという声は以前から上がっており、政府は2025年9月18日に管理基準の全般的な改定案を公表し、10月17日までパブリックコメントにかけました。意見公募の結果は2025年12月25日に公示され、提出意見60件を踏まえて案の修正が行われています¹²。

改定のポイントは二つあります。ひとつは、国際規格の改定を反映した「情報セキュリティ管理基準（令和7年改正版）」からガバナンス基準・マネジメント基準・管理策基準を取り込み、「クラウド情報セキュリティ管理基準（平成28年版）」のクラウド固有管理策や、政府統一基準群・NIST SP800-53 rev.5から必要な管理策を追加したこと。もうひとつは、詳細管理策の項目数を1,163から322へ、およそ7割圧縮したことです³。この削減は、チェックリストの軽量化というより、詳細管理策を「統制目標を実現するために満たすべき必要最小限の内容の記述」に絞り、具体的な実施方法を新設の「手引き」へ移した結果です。つまり質を落としたのではなく、粒度を変えたという整理が正しい。

2026年1月にはIIJがクラウド型認証サービス「IIJ IDサービス/アイデンティティ管理オプション」とクラウド型Webセキュリティサービスの追加登録を発表しました⁴。一方、改定後の管理基準をいつから適用するか、既登録の事業者にどのような経過措置を置くかは、2025年12月25日に公示された意見公募結果の時点でも「関係者の御意見を踏まえながら慎重に検討を進めて参ります」とされたままで、確定していません²。ガイドラインやその他の規程類も作成中です。ISMAP取得を見送ってきた中堅SaaSにとっては再検討のタイミングですが、スケジュールは公式発表を追いかける前提で考えたほうが安全です。正直なところ、322項目でもハードルは低くない。個社で挑むのではなく、AWS上で動くSaaSならAWSのISMAP登録を前提に自社側で必要な統制に集中する、といった棲み分けが現実解になります。

余談ですが、ISMAPとJC-STAR（IPAが運営するIoTセキュリティラベリング制度）の関係を混同する相談を時々受けます。JC-STARはIoT製品向け、ISMAPはクラウドサービス向けで、対象が違います。JC-STARは★1・★2がベンダーの自己適合宣言方式で、いずれも新規申請の受付が行われています。第三者評価による★3については、2026年2月6日に通信機器・ネットワークカメラの「★3セキュリティ要件」が、2026年6月12日に同じ2類型の「★3適合要件」が公開されました⁵。SaaS単体はJC-STARの対象外ですが、ハードウェア連携型のB2B SaaSを売る会社は両方を意識しておく必要があります。

みなし輸出の落とし穴：海外エンジニア採用が引き金になる

SaaSはエンジニアが価値の源泉です。国内人材だけで回せる会社はもうほとんどなく、インドやベトナム、ウクライナのエンジニアをフルリモートで採用する事例が一般的になりました。ここで立ちふさがるのが、みなし輸出です。

外為法第25条第1項は、日本国内の居住者から非居住者への技術提供を規制技術の「輸出」とみなす仕組みですが、2022年5月1日施行の改正でその運用が明確化されました⁶。改正の要点は、たとえ居住者であっても、外国政府や外国企業の強い影響下にあるとみなせる人への技術提供は、実質的に非居住者に提供するのと同じと扱われる、という点です。具体的な類型として、外国政府・軍との強い関係性、外国企業の指揮命令下、外国政府からの返還不要奨学金（条件付き）の受給などが挙げられます。

SaaS企業の人事部門が直面するのはこんな場面です。中国籍の優秀なバックエンドエンジニアを雇いたい。本人は日本に長く住んでいて居住者扱いになる。しかし、母国の奨学金で博士号を取り、現在もその資金から条件付きの支援を受けているとなると、2022年改正以降はみなし輸出の管理対象となる可能性が出てきます。採用自体は禁止されていません。必要なのは、該当技術（暗号、AI、防衛関連機能など）へのアクセスを設計上制御し、事前に経産省への許可申請の要否を判断する仕組みです。

2025年1月31日には、経産省が政省令の改正案を公表し、補完的輸出規制の見直しが2025年10月9日に施行されました⁷。ここではキャッチオール規制が強化されており、みなし輸出の判断にも影響します。SaaS企業で今取り組むべきは、採用時のチェックリストに「海外政府・軍・外国企業との関係性」「資金源」「現在の居住地と渡航履歴」を加え、誓約書と同意書を整備することです。さらにGitHubのブランチ権限、Snowflakeのロール、Kubernetesの名前空間といったレベルで、人材属性に応じてアクセス範囲を絞れる設計が必要になります。

みなし輸出の基本と実務 の記事でも詳しく書きましたが、みなし輸出は「採用した後に気づく」パターンが一番怖い。気づいたときには、すでにソースコードリポジトリに触られていて、証拠も残っていて、後戻りが効かない。人事と開発組織と法務が同じテーブルで議論できる体制があるかどうかが、実質的な防波堤になります。

データ保管先・暗号技術・API経由提供の三点セット

SaaSの輸出管理を語るとき、データ保管先、暗号技術、API経由提供の三つは切り離せません。個別には議論されていても、実務ではセットで設計しないと穴が開きます。

まずデータ保管先について、日本では個人情報保護法の観点で保管場所そのものの規制はありません。ただし、個人データを国外に保管する場合は当該国の個人情報保護制度を確認し、安全管理措置を講じる義務があります（法第28条）。なお「個人情報の保護に関する法律等の一部を改正する法律」が2026年7月10日に成立し、同年7月17日に公布されました。施行は一部を除き公布から起算して2年を超えない範囲で政令の定める日とされているため、越境移転まわりの実務は今後の政令・委員会規則・ガイドラインの整備を追う必要があります⁸。政府情報システムの場合はデジタル社会推進標準ガイドラインDS-310（2023年9月）が適用され、ガバメントクラウドは国内閉域利用を原則としています⁹。興味深いのは、要保護情報であってもCRYPTREC暗号リスト（電子政府推奨暗号）に掲載されたアルゴリズムで暗号化され、かつ鍵が利用者側または耐タンパー装置で管理されていれば、必ずしも国内データセンターである必要はないという整理が示されていることです。つまり暗号と鍵管理をきちんとやれば、AWSの海外リージョンも選択肢になり得ます。

次に暗号技術です。EARのCategory 5 Part 2では、対称鍵128bit超や非対称鍵2048bit超などの基準を満たす暗号ソフトウェアが管理対象となります。AES-256、RSA-4096、ECCといった現代的なアルゴリズムはほぼすべて引っかかる水準です。日本のSaaS企業が自前で実装しているケースは少なく、実態としてはAWS KMS、Azure Key Vault、Google Cloud KMSの機能を利用することが多い。この場合、輸出管理上の責任の切り分けが重要です。CSPはインフラ層で該非判定と届出を済ませていますが、アプリケーション層で追加の暗号機能を実装していれば、そこは自社の責任で該非判定する必要があります。

三つ目がAPI経由提供です。SaaSのエンドポイントに海外からアクセスさせる行為は、経産省通達の整理では「暗号化されたデータの通過」とは別の話で、機能の提供それ自体が役務取引に該当し得ます。具体的には、APIの仕様書や技術マニュアルを海外顧客に提供する行為、カスタマーサクセスとして海外エンジニアに実装支援をする行為、共同開発で技術ノウハウを出す行為、これらはすべて役務取引の論点です。通常兵器・大量破壊兵器のキャッチオール規制との関係では、顧客が制限対象国や懸念エンドユーザーに該当しないかのスクリーニングが必須になります。

この三点セットを手作業のエクセル管理で回すのは、正直もう限界です。私たちが提供するTRAFEED（旧ZEROCK ExCHECK）は、取引先スクリーニング、該非判定支援、テクニカル情報の管理を一気通貫で回すAIエージェントで、世界初のAIベース輸出管理ツールとして経産省基準に準拠した運用を実現しています。SaaS企業が自社のSaaSを守るためにSaaSを使う、やや入れ子の構造ですが、手間を劇的に減らせる実感があります。

AI SaaSは「AI Diffusion撤回後」も油断できない

2025年1月、バイデン政権は「Framework for Artificial Intelligence Diffusion」を公表しました。AIモデルの重みと先端計算チップの流通を規制する壮大な枠組みで、IaaS（Infrastructure as a Service）経由でのアクセス制御まで踏み込んだ内容です。多くのAI SaaS企業が身構えたのを覚えています。

しかし2025年5月13日、BISはこの枠組みを撤回する旨のガイダンスを公表しました。以後BISは、先端計算品目（ECCN 3A090.a・4A090.a および関連する「.z」項目）に課された全世界ライセンス要件について、Country Group D:1・D:4・D:5（A:5・A:6にも該当するものを除く）向けと、D:5またはマカオに本社・最終親会社を置く事業者向けに限って執行する運用を続けています¹⁰。さらに2026年1月15日には、BISの最終規則「Revision to License Review Policy for Advanced Computing Commodities」がFederal Registerに掲載され、同日施行されました。米国から中国またはマカオに所在するエンドユーザーへ、NVIDIA H200やAMD MI325X相当（TPP 21,000未満かつ総DRAM帯域6,500GB/s未満）の品目を輸出する場合のライセンス審査方針が、一定の条件を満たすことを前提に「原則不許可」から「ケースバイケース審査」へ変更された、という内容です¹¹。ここだけを見ると規制緩和に映ります。

ところが、AI SaaSに関係する部分は必ずしも緩んでいません。2026年1月の最終規則でも、マカオまたはCountry Group D:5向けの再輸出（国外からの輸出を含む）・国内移転や、マカオ・D:5に本社や最終親会社を置く事業者向けについては「原則不許可」が維持されています。しかもライセンス申請にあたっては、ベラルーシ、中国、キューバ、イラン、マカオ、北朝鮮、ロシア、ベネズエラに所在する、または最終親会社がこれらに所在する「IaaS remote end users」の一覧を提出することが求められ、当局はそれを踏まえて個別に許否を判断します¹¹。リモートアクセスの提供先は、依然として当局が個社ごとに見る対象だということです。大規模言語モデルをAPIで提供する日本のAI SaaSが、中国本土のスタートアップにAPIキーを発行するだけでも論点が発生します。ユーザー登録時のKYC（Know Your Customer）、IPアドレスのジオブロック、トークン利用制限、監査ログの保持、これらをセットで設計する必要があります。

個人的には、AI Diffusion Ruleの撤回は「枠組みとしては撤回」「個別規制としては継続強化」と読み解くのが正しいと考えています。表面的な緩和ニュースに引きずられて「うちのAI SaaSは関係ない」と判断すると、後から重いペナルティを食らう可能性があります。EAR違反の民事制裁金は、輸出管理改革法（ECRA, 50 U.S.C. 4819）に基づき「取引額の2倍」か法定上限額のいずれか高い方が上限で、その上限額はインフレ調整で毎年引き上げられています。2026年7月時点の現行値はECRAで374,474ドル、IEEPA（50 U.S.C. 1705(b)）で377,700ドルです¹²。これに米国市場からの排除、SDNリスト掲載といった経営リスクが加わります。

日本国内でも、経産省はAI・半導体・クラウドを含む輸出管理の2026年改正 のように、AIとクラウドAPIを明示的に管理対象として扱う方向に舵を切っています。先日まとめた外国自治体・公共セクター向け中国製IT排除の動向 とも連動して、日本のAI SaaSが国内政府調達・自治体市場で生き残るには、輸出管理の整備が先行投資になりつつある。これは「やれば差別化」ではなく「やらなきゃ足切り」の世界に変わってきました。

2026年のSaaS輸出管理に今日から取り組むなら

ここまで5つの論点を見てきて、共通するのは「SaaSは気づかないうちに当事者になっている」という構造です。製造業のように物理的な通関がないため、輸出管理の発動点が見えづらい。その見えづらさこそが最大のリスクで、ひとたび発覚すれば、顧客離れとブランド毀損は物品の不正輸出以上に深刻になります。

現場で今日から始められる取り組みとしては、まず自社SaaSの該非判定をプロダクト単位で更新すること。EAR該当性、外為法該当性、暗号技術の分類、この三つの結果を一覧で持つだけで、社内の議論が前に進みます。次に採用プロセスに海外人材のみなし輸出チェックを組み込むこと。人事単独ではなく、法務と開発組織を巻き込んで、採用後のアクセス制御設計までセットで回す。三つめにISMAPの再評価です。改定後の管理基準の適用開始時期はまだ決まっていませんが、詳細管理策が1,163から322に整理される方向は示されているので、これまで諦めてきた会社も要件を洗い直しておく価値があります。

そして四つめ、取引先スクリーニングの仕組み化です。手作業では制裁リストの更新に追いつけず、漏れが必ず発生します。TRAFEEDのようなAIエージェントに任せ、人はレビューと判断に集中する形が現実的です。SaaSという業態そのものが、手作業では守り切れないスピードで動くビジネスになった以上、輸出管理のオペレーションも同じ速度で回せる仕組みが必要です。

輸出管理は「攻めの経営」と相性が悪いと思われがちですが、この3年の米中対立、経済安全保障の潮流、EU AI Act、日本のキャッチオール強化を見ていると、むしろ輸出管理を整備した会社こそ海外展開を加速できる、という構図に変わってきました。守りの投資ではなく、海外市場に出ていくための土台として捉え直す。SaaS企業にとって、2026年はその転換点になると私は見ています。

輸出管理の実務改善や該非判定の効率化に関心がある方は、TRAFEEDサービスカタログ（PDF）で機能概要を確認するか、お問い合わせからご連絡ください。

参考文献

Footnotes

1. PwC Japan「ISMAPの新たな展開 〜ISMAP管理基準の全般的な改定とISMAPの今後の見通しについて〜」 https://www.pwc.com/jp/ja/knowledge/column/awareness-cyber-security/explanation-of-ismap2.html ↩

2. e-Govパブリック・コメント「『ISMAP管理基準（案）』等に対する意見公募の結果について」案件番号060250918（案の公示日2025年9月18日／受付締切2025年10月17日／結果の公示日2025年12月25日／提出意見60件） https://public-comment.e-gov.go.jp/pcm/1040?CLASSNAME=PCM1040&Mode=1&id=060250918 ↩ ↩²

3. 国家サイバー統括室・デジタル庁・総務省・経済産業省「【参考】ISMAP管理基準の改定について（案）」令和7年9月18日（詳細管理策を1,163項目から322項目に削減） https://public-comment.e-gov.go.jp/pcm/download?seqNo=0000299114 ↩

4. IIJ「クラウド型認証サービスおよびクラウド型Webセキュリティサービスが、政府情報システムのためのセキュリティ評価制度（ISMAP）に登録」2026年1月13日 https://www.iij.ad.jp/news/pressrelease/2026/0113.html ↩

5. IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」 https://www.ipa.go.jp/security/jc-star/index.html ↩

6. 経済産業省貿易管理部「みなし輸出管理の運用明確化について」 https://www.meti.go.jp/policy/anpo/law_document/minashi/meikakukanitsuite2.pdf ↩

7. EY Japan「経産省が政省令改正案を公表 -キャッチオール規制の改正を含む安全保障貿易管理の強化-」 https://www.ey.com/ja_jp/technical/ey-japan-tax-library/tax-alerts/2025/tax-alerts-02-06-03 ↩

8. 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について（令和8年7月17日）」 https://www.ppc.go.jp/news/press/2026/260717/ ↩

9. デジタル庁「デジタル社会推進標準ガイドラインDS-310 政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針」 https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/5167e265/20230929_resources_standard_guidelines_guideline_01.pdf ↩

10. U.S. Bureau of Industry and Security「Enhanced Favorable Treatment for the United Arab Emirates Under the Export Administration Regulations」Federal Register, 2026年7月14日（2025年5月13日および2026年5月31日のBISガイダンスに基づく執行範囲を明記） https://www.federalregister.gov/documents/2026/07/14/2026-14132/enhanced-favorable-treatment-for-the-united-arab-emirates-under-the-export-administration ↩

11. U.S. Bureau of Industry and Security「Revision to License Review Policy for Advanced Computing Commodities」Federal Register 掲載・施行ともに2026年1月15日（文書番号2026-00789） https://www.federalregister.gov/documents/2026/01/15/2026-00789/revision-to-license-review-policy-for-advanced-computing-commodities ↩ ↩²

12. 15 CFR §6.3（米商務省の民事制裁金インフレ調整。eCFR current でECRA 374,474ドル／IEEPA 377,700ドル） https://www.ecfr.gov/current/title-15/subtitle-A/part-6 ↩