FCCが中国製通信機器の旧モデルも輸入禁止へ｜日本のキャリア施設は大丈夫か

「また中国製品の規制か」と流し読みしてしまいそうなニュースだが、今回はこれまでと意味合いが違う。新製品だけでなく、すでに認証済みの古い機種までさかのぼって締め出す「レガシー（旧式機器）潰し」だからだ。そして読者から寄せられた最大の関心事はおそらくこれだろう。「では日本はどうなのか。中国製デバイスどころか、キャリアの通信施設そのものは大丈夫なのか」。順を追って見ていく。

何が起きたのか ― 2026年6月のFCC決定

FCCは現地時間6月26日、安全保障上の脅威と認定した中国5社について、過去に認証を取得済みだった旧モデルの輸入・販売も新たに禁止する措置を決めた。施行は7月初旬の予定とされている。根拠となるのは2019年に成立した「安全で信頼できる通信網法」（Secure and Trusted Communications Networks Act）だ。

ポイントは「カバードリスト」（Covered List＝安全保障上の懸念で指定された機器リスト）の運用の変更にある。2022年11月の規制は、あくまで2022年後半以降に設計された新モデルの認証を止めるものだった。つまり、それ以前に認証を取った旧モデルは、リストに載った会社の製品であっても引き続き米国内に入ってこられた。今回はこの構造的な隙間を閉じにきた、というわけだ。

なぜ規制するのか ― 背景にある懸念

米政府が一貫して掲げてきた理由は、中国製の通信・監視機器が中国政府による情報収集に利用されうる、という安全保障上の懸念だ。空港、官公庁の建物、学校、重要インフラの現場に据え付けられた監視カメラや通信機器が、有事に「情報の窓口」になりかねない、という見立てである。

今回の決定は突然出てきたものではなく、ここ半年あまりの一連の動きの延長線上にある。2025年12月に中国製ドローン（無人機）の新モデル輸入を禁止し、2026年3月には中国製の家庭用ルーター（インターネット接続装置）の新モデル輸入を禁止した。空の上から、家庭内のネットワーク機器、そして建物の監視カメラまで、技術の層を一つずつ塞いできた形だ。今回の旧式機器への拡大で、ハードウェアの排除戦略がほぼ一通り出そろったといえる。

これまでと何が変わるのか

2022年の規制と今回の拡大を並べると、変化点がはっきりする。下表で整理した。

今使っている機器は使えるのか

ここは誤解されやすい点なので明確にしておきたい。今回の措置は「輸入と販売」を止めるものであって、すでに導入され稼働している機器の使用を直ちに違法にするものではない。つまり、いま現場で動いている監視カメラや通信機器は、規制の文言上はそのまま動かし続けられる。

ただし、これは米国内の話だ。新規の調達ができなくなれば、故障時の交換部品も入りにくくなる。重要インフラの現場では「使い続けられる」と「使い続けてよい」は別問題で、政府機関や公共安全に関わる組織ほど、前倒しの置き換えに動く可能性が高い。なお2025年・2026年にリストへ追加されたドローンやルーターは、今回の旧式機器拡大の対象には含まれていない。

対象企業は ― 中国5社

今回の拡大で名指しされたのは、以前から指定されてきた次の5社である。いずれも各分野で世界規模のシェアを持つ大手だ。

監視カメラのハイクビジョンは、過去にさかのぼって認証を取り消すやり方に対し、FCCには法的権限がないとして反対の立場を表明していた。規制と当事者企業の主張が真っ向からぶつかっている領域でもある。

日本は規制しないのか

「日本は何もしていない」と思われがちだが、実はそうではない。日本は米国のように特定企業を法律で名指しして輸入禁止にする方式ではなく、「危ないところからは買わない」という調達ルールと、インフラ事業者への審査・届出制度の組み合わせで対応してきた。アプローチが違うだけで、方向は同じだ。

さらに踏み込んだのが、経済安全保障推進法に基づく「特定社会基盤事業者」（基幹インフラ事業者）の制度だ。電気、通信、金融、鉄道など15分野の重要事業者が、重要設備を導入する際には事前に国へ届け出て審査を受ける。2026年4月1日時点で257者が指定されている。海外の主体から強い影響を受けている事業者からの設備導入には、慎重な審査を行う、と明記されている点が肝だ。

日本のキャリア・通信施設こそ危ないのではないか

読者の鋭い問いに正面から答えたい。「デバイス単位の話より、通信キャリアの施設そのものが狙われたら終わりではないか」。これは的を射た懸念だ。実際、政府も同じ問題意識を持っており、ここ数年で制度を一気に厚くしている。

2025年5月に成立したのが「サイバー対処能力強化法」と整備法、いわゆる能動的サイバー防御（Active Cyber Defense、アクティブ・サイバー・ディフェンス）の関連法だ。これは攻撃を受けてから動くのではなく、被害が出る前に国が先回りして食い止める、という発想の転換である。大半の規定は公布から1年半以内、2026年中に施行され、届出やインシデント報告の義務は2026年秋以降に本格化していく見込みだ。

国家の関与が疑われる活動が現実の脅威として語られ、内閣官房の資料では観測された不審な通信の99%以上が海外発、各アドレスへおよそ13秒に1回の頻度で試行があるとされている。キャリアの通信施設が「危ない」のではなく、すでに最前線にある、と捉えるのが実態に近い。

元金融系エンジニアの視点

金融システムの現場にいた立場から言うと、今回の米国の判断は理屈が通っている。金融機関のシステム監査では、「いつ導入したか」より「いま何が動いているか」を見る。10年前に入れた装置でも、今日の脅威の前ではゼロから評価し直す。FCCが「認証時期は本質的な区別にならない」と言い切ったのは、まさにこの監査の発想そのものだ。

一方で、日本のやり方が劣っているとは思わない。名指し禁止は分かりやすいが角も立つ。届出と審査で実質的に締めていく日本式は、見栄えは地味でも供給網の奥まで届く。問題はスピードと現場の理解度だ。制度が整っても、再委託先の中小ベンダーまで意識が回らなければ、結局そこが弱点になる。「うちは関係ない」が一番危ない、というのは金融でもインフラでも変わらない。

読者の「キャリアの施設こそ危ないのでは」という直感は正しい。デバイスの国籍を入れ替えるだけでは守れない時代に入った。次に効いてくるのは、運用と保守を誰がどこまで握っているか、という地味で本質的な問いである。