ソフトウェアの該非判定と輸出規制｜プログラムの定義・暗号の基準・クラウド提供まで【2026年2月14日施行改正対応】

ソフトウェアの輸出には、船も通関もありません。メールに添付して送る、クラウドにアップロードする、海外拠点にアクセス権を渡す。それだけで外為法上の「輸出」や「提供」が成立します。だからこそソフトウェアの該非判定には貨物の判定とは別の難しさがあり、モノを扱わないIT企業やSaaS事業者ほど見落としやすい領域になっています。

この記事では、外為法におけるプログラムの定義から、貨物等省令での位置づけ、暗号関連の判定基準、クラウド・SaaS提供とみなし輸出の関係、判定フローと社内体制までを、条文番号つきで整理します。2025年11月14日に公布され2026年2月14日に施行された政省令改正に対応した内容です。

ソフトウェアの該非判定 早見表

まず全体像からです。ソフトウェアに関わる行為が外為法のどの規制に紐づくのか、代表的なパターンを一覧にしました。

ソフトウェアに関わる行為	外為法上の扱い	主な根拠
プログラムをメールやダウンロードで海外に送信する	技術の提供（役務取引）	外為法第25条第1項、外国為替令第17条
プログラムを非居住者がアクセスできるサーバーに置く	技術の提供（アップロード時点で成立）	外為法第25条第1項、役務通達
プログラムを記録したUSBやHDDを国外に持ち出す	特定記録媒体等の輸出等	外為法第25条第3項
国内で特定類型に該当する居住者に技術を提供する	みなし輸出（2022年5月1日施行の明確化）	外為法第25条第1項、役務通達
暗号機能を組み込んだ装置（ハードウェア）を輸出する	貨物の輸出	外為法第48条第1項、輸出令別表第1の9項(7)
誰でも入手できる公開プログラム（OSS等）を提供する	原則として許可不要	貿易外省令第9条第2項第九号

自社の取引がどこに当てはまるのか、先に全体の健康診断をしたい方は輸出管理コンプライアンス診断をどうぞ。3分ほどで自社の弱点に当たりがつきます。該非判定そのものの全体プロセス（分類、別表照合、項目別対比表、非該当証明書）は該非判定の手順ガイドで解説しているので、この記事ではソフトウェア特有の論点に絞ります。

ソフトウェアは「プログラム」として規制される

意外に思われるかもしれませんが、外為法とその政省令に「ソフトウェア」という用語は登場しません。法令上の用語は「プログラム」です。経済産業省の役務通達（平成4年12月21日付け4貿局第492号）は用語の解釈のなかで、プログラムを「特定の処理を実行する一連の指令であって、電子装置が実行できる形式又はその形式に変換できる形式で表現されたもの」と定義しています。ソースコードもコンパイル済みのバイナリも、この定義に含まれます。

外為法の輸出管理は二本立てです。貨物の輸出は外為法第48条第1項と輸出貿易管理令（昭和24年政令第378号）が受け持ち、技術の提供は外為法第25条第1項と外国為替令（昭和55年政令第260号）が受け持ちます。プログラムはこのうち技術側に位置づけられます。ここでいう「技術」とは貨物の設計、製造又は使用に必要な特定の情報のことで、設計図や仕様書、プログラムといった技術データと、技術指導や訓練といった技術支援の2つの形態で提供されるものとされています。

物理媒体で運ぶ場合の扱いには注意が要ります。プログラムを記録したUSBメモリや外付けHDDを国外に持ち出す行為は、特定記録媒体等の輸出等として外為法第25条第3項の規制対象になります。媒体そのもの、つまりUSBメモリという貨物の該非判定と、中身のプログラムの該非判定は別物です。実務で問題になるのは、ほぼ例外なく中身のほうでしょう。

もうひとつ、貨物との違いで見落とされがちな点があります。貨物の輸出には一定条件下で許可を不要とする少額特例がありますが、技術やプログラムの提供にこの特例はありません。単価の安い業務アプリであっても、リスト規制に該当すれば許可が必要になります。金額の大小は判定を省略する理由にならない、と覚えておいてください。

貨物等省令のどこを見るか

該非判定の実務で最終的に照合する条文は、貨物等省令（正式名称は「輸出貿易管理令別表第一及び外国為替令別表の規定に基づき貨物又は技術を定める省令」、平成3年通商産業省令第49号）です。輸出令別表第1や外為令別表の各項は「経済産業省令で定めるもの」と書かれているだけで、具体的なスペックはすべて貨物等省令側にあります。プログラムの判定で押さえるべき構造は3つです。

1つ目は、技術とプログラムが別の号に分かれていることです。貨物等省令の技術関連条文では、「設計又は製造に必要な技術（プログラムを除く。）」を定める号と、「プログラム」そのものを定める号が別立てになっています。同じ製品に関する提供でも、設計資料とプログラムでは該当する号が違うということです。判定の抜け漏れは、たいていこの区別を意識していないときに起こります。

2つ目は、プログラムの規制が関連する貨物の規制と対になっていることです。情報セキュリティ分野を例にすると、暗号装置という貨物は輸出令別表第1の9項(7)、条文でいえば貨物等省令第8条第九号が規制し、暗号プログラムは外為令別表の9の項(1)、貨物等省令第21条第1項が規制するという対応関係になっています。ソフトウェアの該非判定で最初に関連貨物の項番に当たりをつけるのは、この構造があるからです。

3つ目は、マトリクス表の存在です。経済産業省は輸出令別表第1・外為令別表と貨物等省令の対応関係を整理したマトリクス表を公表しています。プログラムの判定では、このマトリクスでプログラムの欄に印が付いた項番だけを追えばよく、15項目すべてを総当たりする必要はありません。

ソフトウェアが該当しやすい分野は次のとおりです。

分野	対象になり得るソフトウェアの例	主な関連項番
情報セキュリティ（暗号）	暗号ライブラリ、VPN、暗号解析ツール	9項(7)、外為令9の項(1)
数値制御	工作機械の制御プログラム、CAMソフト	6項
電子計算機	高性能計算向けのプログラム	8項
通信	特定の通信装置用プログラム、スペクトル拡散関連	9項
センサー・画像処理	高精度の信号処理・画像解析プログラム	10項
核・流体解析	核関連、流体力学のシミュレーション	2項、4項ほか

ソフトウェア該非判定の4ステップ

技術（プログラムを含む）の該非判定は、貨物より一段階多い手順になります。当社が実務で推奨しているのは次の4ステップです。

最初のステップは、判定対象の特定と棚卸しです。ソフトウェアの判定は製品名の単位ではなく、実際に提供する構成の単位で行います。自社開発部分、組み込んだ商用ライブラリ、取り込んだOSS、暗号モジュール。この4つに分解してリスト化してください。バージョンの特定も必須です。マイナーアップデートで暗号機能が追加されれば、判定結果はそのバージョンから変わり得ます。過去の判定書にバージョン欄がないなら、その判定書は今日の製品を保証していません。

2番目のステップは、関連する貨物の項番の当たりをつけることです。そのプログラムがどの貨物の設計・製造・使用に関わるのか、あるいはどの貨物に相当する機能を実現するのかを考え、輸出令別表第1の項番の候補を絞ります。工作機械を制御するなら6項、暗号機能なら9項という具合です。

3番目のステップは、判定対象条文の選定です。候補の項番についてマトリクス表を引き、貨物等省令の該当条文を特定します。前述のとおり、技術の号とプログラムの号の両方を確認するのがポイントです。

最後のステップが、パラメータの照合と記録です。貨物等省令の規制値と自社製品の仕様を突き合わせ、結果を項目別対比表またはパラメータシートに残します。ソフトウェアの場合、判定根拠は営業資料ではなく、仕様書、設計書、実装した機能の一覧から取ってください。暗号についてはアルゴリズム、鍵長、用途の明記が必須です。CISTECが頒布する判定帳票は2026年2月14日施行の政省令対応版が最新で、通信・情報セキュリティ分野では貨物用の様式9-07と技術・プログラム用の様式9-技1情セが用意されています。非該当という結論になった場合も、判定記録は根拠つきで保存します。

組み込んだ商用ライブラリやミドルウェアの判定は、自力で解析するより開発元に該非判定書の発行を依頼するのが早道です。依頼文はシンプルで構いません。

件名: 該非判定書発行のお願い（製品名・バージョン）

平素よりお世話になっております。株式会社〇〇で輸出管理を担当しております〇〇です。

弊社製品に貴社製品「〇〇（バージョン〇〇）」を組み込み、海外向けに提供する予定です。
つきましては、外為法に基づく該非判定のため、以下の資料のご提供をお願いできますでしょうか。

1. 該非判定書（項目別対比表またはパラメータシート。2026年2月14日施行の政省令対応版）
2. 暗号機能の有無と、使用アルゴリズム・鍵長・用途がわかる資料
3. 米国EARの対象となる場合は、ECCNとライセンス例外の情報

お手数をおかけしますが、〇月〇日までにご回答いただけますと幸いです。

回答の期限を切ること、政省令の対応版を指定すること。この2点を入れるだけで、やり取りの往復回数が目に見えて減ります。

暗号を含むソフトウェアの判定

ソフトウェア該非判定の最大の難所が暗号です。ただし、条文の構造を知っていれば判定はかなり機械的に進められます。

貨物側の9項(7)、貨物等省令第8条第九号は、データの機密性確保のための暗号機能を持つ装置を規制します。規制のベースラインは、対称アルゴリズムで鍵長が56ビットを超えるもの、またはこれと同等の非対称アルゴリズムを用いるものです。非対称側の規制値としては、512ビットを超える整数の素因数分解に基づくもの（RSAなど）、有限体上の乗法群における512ビットを超える離散対数に基づくもの（DHなど）、それ以外の群における112ビットを超える離散対数に基づくもの（楕円曲線暗号など）が代表です。2026年2月14日施行対応の判定様式では、格子に関連する最短ベクトル問題、超特異楕円曲線間の同種写像の探索、ランダムな符号の復号といった耐量子暗号のアルゴリズム分類も明示されました。つまりAES-128もRSA-2048も楕円曲線P-256も、数値だけ見れば規制値を超えています。

では現代のソフトウェアは全部該当なのかというと、そうはなりません。第8条第九号には除外の仕組みが何層も用意されており、市販ソフトウェアの大半はどこかの除外に落ちます。確認は次の順番が効率的です。

第一に、暗号の用途です。データの機密性確保以外の用途、たとえば認証、デジタル署名、データ完全性の確認、否認防止、デジタル著作権管理などに機能が限定されていれば規制対象になりません。パスワード認証や署名検証だけのソフトはここで抜けます。

第二に、副次的暗号です。暗号機能が製品の主たる機能を支援するためにのみ使われている場合の確認欄が判定様式に設けられています。会計ソフトが通信保護のためだけにTLSを使っている、というケースがこの典型です。

第三に、機器種別による除外です。スマートカード、携帯電話端末、コードレス電話、ルーターやスイッチ、汎用目的の計算機能を有する装置やサーバー、ネットワークに接続する民生産業用途の端末や装置。こうした機器は貨物等省令第8条第九号イの（十一）から（十八）までに列挙され、除外されています。IoT機器の除外が明文化されているのは、実務上ありがたい点です。

第四に、市販暗号です。広く販売され、利用者が暗号機能を容易に変更できないような市販暗号装置や市販暗号プログラムには専用の除外規定があり、CISTECの様式では別紙を使って判定します。

プログラム単体の判定は、外為令別表の9の項(1)に対応する貨物等省令第21条第1項で行います。市販暗号プログラムの除外もこちら側に用意されています。考え方は装置と同じですが、適用できる除外の範囲が微妙に異なるため、貨物の判定結果をそのままプログラムに流用しないことです。

判定に迷ったら、暗号機能の一覧表を作るところから始めてください。製品に含まれる暗号ライブラリ、アルゴリズム、鍵長、用途、有効化の状態を1枚にまとめると、どの除外規定に乗るのかが見えやすくなります。この1枚は判定書の別紙にもそのまま流用できます。

クラウド・SaaS提供と該非判定

クラウド時代の原則はひとつです。規制対象のプログラムや技術データを、非居住者が閲覧・取得できる状態に置いた時点で、提供が成立します。サーバーの物理的な所在地は判定を左右しません。国内リージョンのストレージであっても、海外子会社の従業員がアクセスできる設定なら提供に当たり得ます。逆に海外リージョンでも、アクセス制御によって非居住者が閲覧できない状態を保っていれば、その時点では提供になりません。見るべきはサーバーの場所ではなく、誰がアクセスできるかです。

SaaSについては切り分けが必要です。実行ファイルやソースコードといったプログラムそのものを渡さず、機能だけをブラウザ経由で使わせる形態であれば、プログラムの提供には当たらないと整理するのが一般的です。ただし、これで安心と結論づけるのは早すぎます。オンプレ版の提供、常駐エージェントやAPIクライアントの配布、詳細な技術文書の共有が併走していれば、その部分は通常どおり判定が必要です。SaaS事業者が抱える輸出管理リスクの全体像はSaaS・ソフトウェア企業の輸出管理で詳しく扱っています。

国内で完結して見える取引にも規制はかかります。2022年5月1日に施行された役務通達の改正で、みなし輸出管理の運用が明確化されました。国内の居住者への技術提供であっても、相手が特定類型に該当する場合は非居住者への提供と同様に扱われます。特定類型とは、外国政府や外国法人等の指揮命令に服する又は善管注意義務を負う者、外国政府等から年間所得の25パーセント以上の経済的利益を受けている又は受けることを約している者、国内で外国政府等の指示の下に行動する者の3類型です。外国籍エンジニアを多く雇用するソフトウェア企業には直結する論点で、詳しくはみなし輸出管理の基礎にまとめています。

海外出張も忘れないでください。規制対象プログラムが入ったノートPCの国外持ち出しは、特定記録媒体等の輸出等に該当し得ます。自己使用のための持ち出しは対象外と整理されていますが、出張先で第三者に提供する予定があるなら話は別です。地味ですが、出張前チェックリストに格納データの該非確認を入れておくのが一番効きます。

OSSと公知の技術

オープンソースソフトウェアの扱いは、貿易外省令（正式名称は「貿易関係貿易外取引等に関する省令」、平成10年通商産業省令第8号）第9条第2項第九号が根拠になります。すでに不特定多数の者に公開されている技術、いわゆる公知の技術の提供と、技術を公知とするための提供には許可が不要です。GitHubで誰でも取得できる状態のソースコードは公知の技術に当たり、これを非居住者に案内しても許可は要りません。規制対象になり得る暗号ライブラリでも、公開されているプログラムであれば同じ扱いです。

ただし、落とし穴が3つあります。1つ目は社内フォークです。OSSを取り込んで社内で改修した部分は公開されていないため、公知とは言えません。2つ目は公開前のコードです。将来公開する予定があっても、公開前に特定の相手にだけ渡せば、それは非公開技術の提供です。3つ目は関連文書です。OSS本体は公開でも、社内で作成した設計書や評価データは非公開の技術データとして判定対象になります。OSSだからすべて大丈夫という整理は、この3つが混ざった瞬間に崩れます。

社内体制の作り方

ソフトウェアの輸出管理は、1回の該非判定では完結しません。コードは毎月変わり、依存ライブラリも入れ替わるからです。実務では次の4点を回す体制を勧めています。

• リリース単位の判定。メジャーバージョンアップや暗号機能の追加時には必ず再判定する
• アクセス権の管理。規制対象技術を含むリポジトリやファイルサーバーは業務上必要な者に限定し、海外拠点への一括付与をやめる
• 送信経路の承認。技術データの社外送信やクラウド共有に承認フローを設ける
• 判定記録の保存。非該当の判定も根拠つきで残す

4点目に関連して、外為法第55条の10に基づく輸出者等遵守基準は、リスト規制品目を扱う輸出者等に対して、該非確認の責任者を定めることなどを求めています。判定記録の保存は単なる社内ルールではなく、遵守基準への対応でもあります。

法令の側も動き続けています。2026年2月14日には輸出貿易管理令等の改正が施行され、FPGA組込装置の追加をはじめとする国際輸出管理レジーム合意品目の見直しが行われました。判定帳票の様式も同日付で更新されています。古い様式のまま判定を続けていないか、少なくとも年に一度は版の確認をしてください。改正の中身は輸出貿易管理令改正（2026年2月施行）の解説で詳しく解説しています。

該非判定の負荷を下げる

ここまでの手順を人手だけで回すと、リリースのたびに数日単位の工数が消えます。とりわけ暗号ライブラリの棚卸しと項番の照合は、担当者の経験値に左右されやすい工程です。

TIMEWELLのTRAFEED（旧ZEROCK ExCHECK）は、この判定業務をAIで支援する輸出管理AIエージェントです。製品の技術仕様をもとに貨物等省令の各条文との照合を支援し、判定結果を根拠とともに提示します。経済産業省の基準に準拠し、AI判定精度は95パーセント以上（岡山大学との共同実証・自社調べ）、特許第7862062号を取得、すでに20組織以上で使われています。ソフトウェアのように判定対象が頻繁に変わる製品ほど、仕組み化の効果は大きくなります。

よくある質問

ソフトウェアをメールで海外に送るだけでも該非判定は必要ですか

必要です。外為法の技術提供規制は提供の手段を問いません。メール添付でも、ダウンロードリンクの送付でも、規制対象のプログラムであれば役務取引許可の対象になります。逆に、事前に判定して非該当や対象外と確認できていれば許可は不要です。送る前に判定する、という順序だけは崩さないでください。

TLSで通信を暗号化しているだけのソフトも暗号規制に該当しますか

該当しない場合が多いものの、確認そのものは必要です。AESやRSAの鍵長だけを見ればほとんどの現代的な暗号は規制値を超えますが、認証など機密性確保以外の用途の除外、副次的暗号の確認、機器種別の除外、市販暗号の除外という複数の除外規定があります。市販の業務ソフトの大半はいずれかに落ちます。どの除外を適用したかを判定書に残すところまでが該非判定です。

SaaSとして機能を使わせるだけなら輸出管理は不要ですか

プログラム本体を渡さない純粋なSaaS利用は、プログラムの提供に当たらないと整理するのが一般的です。ただし、オンプレ版の提供、エージェントやAPIクライアントの配布、詳細な技術文書の共有、海外拠点へのアクセス権付与が伴えば、その部分は判定と許可の検討が必要です。みなし輸出の特定類型に該当する国内ユーザーへの技術提供にも注意してください。

OSSを組み込んだ自社ソフトの該非判定はどう考えればよいですか

公開されているOSS部分は公知の技術として扱えますが、自社で開発・改修した非公開部分は通常どおり判定が必要です。組み込んだ商用ライブラリは、開発元に該非判定書の発行を依頼するのが確実です。製品全体としては、非公開部分と商用部分の判定結果を束ねて結論を出します。

まとめ

ソフトウェアの該非判定は、プログラムという法令用語の理解から始まり、貨物等省令の条文照合、暗号の除外規定、クラウドとみなし輸出の運用まで、貨物とは別の知識体系を要求してきます。最初の一歩としては、主力製品を1つ選んで、含まれる暗号機能の一覧表を作ることを勧めます。アルゴリズム、鍵長、用途、有効化状態。この1枚があるだけで、判定も、開発元への依頼も、監査対応も一気に楽になります。そのうえで、リリースごとに判定を見直すルールを開発プロセスに組み込んでください。該非判定は書類仕事ではなく、プロダクト管理の一部です。

参考文献（一次情報）

1. 外国為替及び外国貿易法（昭和24年法律第228号）第25条、第48条（e-Gov法令検索） https://laws.e-gov.go.jp/law/324AC0000000228
2. 輸出貿易管理令（昭和24年政令第378号）別表第1（e-Gov法令検索） https://laws.e-gov.go.jp/law/324CO0000000378
3. 外国為替令（昭和55年政令第260号）第17条・別表（e-Gov法令検索） https://laws.e-gov.go.jp/law/355CO0000000260
4. 輸出貿易管理令別表第一及び外国為替令別表の規定に基づき貨物又は技術を定める省令（平成3年通商産業省令第49号）第8条第九号、第21条第1項（e-Gov法令検索） https://laws.e-gov.go.jp/law/403M50000400049
5. 経済産業省「外国為替及び外国貿易法第25条第1項及び外国為替令第17条第2項の規定に基づき許可を要する技術を提供する取引又は行為について」（役務通達、平成4年12月21日付け4貿局第492号） https://www.meti.go.jp/policy/anpo/law_document/tutatu/t10kaisei/ekimu_tutatu.pdf
6. 経済産業省「みなし輸出管理の運用明確化について」（2022年5月1日施行） https://www.meti.go.jp/policy/anpo/law_document/minashi/meikakukanitsuite2.pdf
7. 貿易関係貿易外取引等に関する省令（平成10年通商産業省令第8号）第9条第2項（e-Gov法令検索） https://laws.e-gov.go.jp/law/410M50000400008
8. 経済産業省「輸出貿易管理令の一部を改正する政令が閣議決定されました」（2025年11月11日。公布2025年11月14日、施行2026年2月14日） https://www.meti.go.jp/press/2025/11/20251111001/20251111001.html
9. CISTEC「パラメータシート記入例（通信・情報セキュリティ）」2026年2月14日施行政省令等対応版 https://www.cistec.or.jp/publication/shoseki/sample/b03-tuushin-kinyuurei.pdf