中国製インバーターが「送電網のキルスイッチ」に？米・欧・日が同時始動した理由

あなたの家の屋根で静かに発電している太陽光パネル。その電気を送電網へ流す「パワーコンディショナ（電力変換装置、以下パワコン）」が、遠く離れた第三国から遠隔で停止させられるとしたら——。
2026年、この懸念はついに再生可能エネルギーの枠を超え、サイバー安全保障・国家安全保障の問題として米国・欧州・日本を同時に動かした。

太陽光は「エネルギー」から「安全保障」へ

これまで太陽光発電をめぐる議論の中心は、発電コストや脱炭素だった。しかし2026年、論点は一気に「誰がこの機器を遠隔操作できるのか」へと移った。きっかけは、送電網に直結するインバーターに、外部と通信する“未申告の装置”が見つかったことにある。

動きは三者三様だ。米国は国家非常事態という最も強い手段を選んだ。欧州は複数の法制度を組み合わせて段階的に締め上げる。日本は表向き穏やかな「認証制度」を使い、静かに、しかし実質的に高リスク製品を排除しつつある。手法は違えど、狙いは同じ。送電網という国家の生命線から、信頼できない機器を外すことだ。

なぜインバーターが狙われるのか

インバーターは、太陽電池パネルが生む直流電気を、送電網で使える交流電気へ変換する装置だ。だが役割はそれだけではない。発電状況の監視や保守のために、外部ネットワークと常時つながる「通信する頭脳」でもある。この通信機能こそが弱点になる。

もしこの頭脳を第三者が握れば、遠隔から出力設定を書き換えたり、まとめて停止させたりできる。太陽光は今や各国の電源構成の中核だ。多数のインバーターが一斉に落ちれば、電力供給の途絶、送電網全体の不安定化、機器の物理的な損傷にまで波及しうる。単なる変換装置が、送電網を内側から崩す入口になりかねない。

発端は「見えない通信装置」の発見

2026年の各国の動きの直接の引き金は、2025年5月の報道だった。米国の専門家が中国製インバーターを分解して調べたところ、製品の部品表（ソフトウェア部品構成、SBOM）に記載のない通信部品が見つかったという。隠されたセルラー無線とみられ、利用企業が設置しているファイアウォールを回り込む“もう1本の連絡路”になりうる。

関係者の一人は、これを「送電網を物理的に破壊する組み込み手段が存在するに等しい」と表現した。同様の未申告部品は一部の蓄電池でも確認されたとされる。さらに2025年11月には、米国などのインバーターが中国側から遠隔で停止させられる事案も起きており、懸念は理論から実例へと移った。

米国——国家非常事態という強硬策

大統領令14420号は、送電網の中核機器を外国の干渉から守ることを目的とする。トランプ政権は第1期にも同種の命令（大統領令13920号、2020年）を出したが、バイデン前政権が2021年に撤回していた。今回はそれを復活させ、対象範囲を広げた形だ。

命令はエネルギー省に対し、リスクの高い外国製機器・ソフトウェア・遠隔アクセス機能の取得や設置を禁止・条件付けする権限を与える。具体的な規則は2026年末までに策定される見込みで、どの範囲の事業者が、いつまでに、いくらの負担で対応するかは、その細則で決まる。なお地域配電網は対象外で、既設設備の扱いは依然として不透明だ。

欧州——資金と法制度の合わせ技

欧州委員会は2026年5月、EUの公的資金を使う発電事業から、高リスク国の機器を段階的に締め出す方針を打ち出した。高リスク国として中国・ロシア・イラン・北朝鮮が名指しされ、欧州投資銀行（EIB）などの資金が使えなくなる。新規事業への適用は2026年11月1日から、本格的な組み込みは2027年4月からとされる。

欧州の特徴は、単発の禁止ではなく複数制度の重ね掛けにある。重要インフラのセキュリティを義務づけるNIS2指令、製品自体に安全要件を課すサイバーレジリエンス法（CRA、2027年12月全面適用）、そして域内製造を後押しするネットゼロ産業法。これらを組み合わせ、依存を時間をかけて解いていく設計だ。リトアニアは2024年、フランスは2026年に先行して独自の制限に踏み込んでいた。委員会は、代替供給元は足りており事業費の増加は2%未満にとどまると説明している。

日本——認証制度による「静かな排除」

日本の切り札は、経済産業省と情報処理推進機構（IPA）が2025年に始めた「JC-STAR（ジャパン・サイバーセキュリティ・ラベル）」だ。ネットにつながる機器の安全性を評価する制度で、経産省は2025年末、送電網に接続する機器について2027年度から認証取得を必須にすると決めた。蓄電所の電池制御システムやパワコンが、その対象に当たる。

報道によれば、世界シェアの高い中国の蓄電池メーカーは、この認証を一つも取得できていない。2027年度以降は認証がなければ送電網につなげないため、中国勢は「事実上の排除だ」と反発し、外交問題に発展する可能性も指摘される。背景には、企業に情報活動への協力を義務づける中国の国家情報法（2017年施行）への警戒がある。禁輸という言葉を使わず、技術要件で線を引く——これが日本流だ。

米・欧・日の比較

IT小僧の視点

この問題は、システム設計の言葉で見ると本質がはっきりする。鍵は「最小権限の原則」だ。電気を変換するだけの装置に、送電網への遠隔書き込み権限と外部通信という、役割に不釣り合いな強い権限が同居している。仕掛けが「ある・ない」を議論する以前に、障害を局所に閉じ込める分離設計ができていないこと自体が弱点なのだ。

その意味で、日本の認証制度は方向性として妥当だ。ただし認証は「取得した時点」のスナップショットにすぎない。機器はファームウェア更新で中身が変わりうるため、出荷後も状態を監査し続ける仕組みまで踏み込めるかが、実効性の分かれ目になる。屋根の上の静かな箱を、誰が最後まで管理し続けるのか。エネルギー政策の答えは、もはや電力会社だけでは出せない段階に来ている。