JPKIのPF方式とSP方式。認定と責任分界の違い

マイナンバーカードの公的個人認証（JPKI）を自社サービスに組み込もうとすると、最初に突き当たるのが「PF（プラットフォーム事業者）になるのか、SP（PFのサービス提供を受ける事業者）になるのか」という分岐です。この選択は料金プランの違いではなく、認定の要否・システムの持ち分・障害時と監査時の責任分界を決める設計判断そのものです。本記事は、発注者・事業会社の開発責任者が「自社はどちらの立場で参入すべきか」をベンダーとの商談前に判断できるよう、PFとSPの構造的な違いを整理します。JPKIそのものの位置づけを先に押さえたい場合はeKYCとJPKIの違いから読むことをおすすめします。確認日: 2026年8月23日。

この記事の要点

• JPKIの署名検証とJ-LISへの失効確認を自ら行うには、公的個人認証法に基づく主務大臣の認定が必要です。認定を取得し他社にも提供するのがPF事業者です
• 大多数の事業者は認定を取らず、認定済みPFと契約して利用するSPになります。デジタル庁公表の数字でも、PF一覧28者に対し利用民間事業者は1,306者です
• PFとSPでは、システムの持ち分・監査対応・障害時の責任分界が変わります。件数や事業戦略を語る前に決めるべき前提の設計判断です
• SPを選んでも、本人確認記録の7年保存など自社に残る義務があります。「PFに任せたから終わり」にはなりません

なぜ「認定」が必要なのか。JPKIの構造から確認する

JPKI方式の本人確認は、次の流れで成立します。

1. ユーザーがマイナンバーカードの署名用電子証明書で取引情報に電子署名する
2. 事業者側がその署名を検証する
3. 使われた電子証明書が失効していないかをJ-LIS（地方公共団体情報システム機構）に照会する

このうち「電子証明書の有効性確認」を行えるのは、公的個人認証法に基づき主務大臣の認定を受けた署名検証者に限られます。個人の秘密鍵で署名された公的な証明書を扱う以上、検証者側の体制とセキュリティを国が審査する、という建て付けです。

この法的構造から、民間事業者の選択肢は論理的に2つしかありません。

• 自社が認定を取得し、J-LISと直接つながる — これがPF（プラットフォーム事業者）の道です
• 認定を取得した事業者のサービスを利用する — これがSP（PF利用事業者）の道です

つまりPF/SPは、サービスメニューの選択ではなく「認定という壁のどちら側に立つか」の選択です。なお、署名の検証と失効確認をどの順序で行うべきかという実装レベルの論点は署名検証の正しい順序で扱っています。

PFとSPの違いを一枚で比較する

項目	PF（プラットフォーム事業者）	SP（PF利用事業者）
認定	主務大臣認定を自社で取得	不要（PFの認定に乗る）
J-LIS接続	自社で接続・失効確認	PF経由
システムの持ち分	署名検証基盤・失効確認・鍵管理・監査ログまで自社	自社アプリとPFのAPI連携部分のみ
体制・監査	認定基準に沿った組織体制・安全管理措置・継続的な監査対応	PFとの契約・委託管理（自社の安全管理措置は当然必要）
導入までの期間	認定準備を含め長期	PFの申込み・審査で短期
費用構造	基盤構築・維持・監査の固定費が大きい	初期費+従量課金が中心
向いている事業者	本人確認を事業の中核にする、他社にも提供する	自社サービスに本人確認を組み込みたい大多数

規模感を数字で確認しておきます。デジタル庁の公表によれば、認定プラットフォーム事業者の一覧は28者（2026年6月30日時点）、JPKIを利用する民間事業者は1,306者（2026年7月31日時点）です。この比率が示すとおり、圧倒的多数はSPとして参入しています。「JPKIを導入する」と言うとき、実務上はほぼ「どのPFと組むか」の話をしていることになります。

注意点として、PF認定の費用や審査期間の具体額は公表資料だけでは確定できず、事業者の体制や構成によって大きく変わります。本記事では金額を断定せず、「PFは固定費型・SPは従量型」という費用構造の違いとして捉えてください。

責任分界。差が出るのは障害時と監査時

PF/SPの違いが実務で本当に効いてくるのは、システムが順調に動いている平時ではありません。障害と監査の場面です。発注者の立場では、次の3点を契約前に押さえておく必要があります。

第一に、失効確認ができない障害への備えです。 J-LIS側またはPF側の障害で失効確認が返らないとき、取引を止めるのか、後日確認に回すのか。SPはPFのSLAと障害時ポリシーに依存するため、契約前にこの取り決めを確認しないと、障害当日に判断基準がない状態に陥ります。

第二に、本人確認記録の保存はSP自身の義務です。 署名検証をPFに委ねても、確認記録の整備・保存（7年）の責任は自社に残ります。「どの情報を自社データベースに残し、何をPF側に置くか」は要件定義で明確にすべき項目です。記録の持ち方と個人情報保護の設計は本人確認記録の保存要件で詳しく解説しています。

第三に、委託管理の説明責任です。 監督官庁や監査から説明を求められたとき、SPは「どの処理をPFに委託し、何を自社で保持しているか」を文書で示せる必要があります。委託管理の一環として、PFの認定状況や監査報告を定期的に確認するプロセスを持っておくべきです。

SPとしてのPF選定チェックリスト

大多数の事業者にとって、実質的な設計判断は「どのPFを選ぶか」に集約されます。商談・RFPで最低限確認したい項目をチェックリストにします。

• 対応方式: 署名用証明書の検証（犯収法のJPKI方式）だけか、利用者証明用証明書による当人認証も提供するか。身元確認とログイン認証の両方が必要なら、後者の有無で構成が変わります
• 提供形態: SDK型か、API型か、画面ホスト型か。自社アプリのUXにどこまで介入されるかが変わります（カード読み取りUXの技術的な背景はマイナカードをNFCで読む裏側を参照）
• 基本4情報の受け渡し方法と、自社側の保存責任の範囲
• 失効確認のタイミング（リアルタイムか）と、障害時の代替手順・SLA
• 料金: 初期費・月額・従量単価・最低利用料。単価は方式や件数レンジで変わるため、自社の件数予測とセットで見積もりを取ります

eKYCベンダーの多くは、PF認定を自社で保有するか、認定事業者と提携してJPKI方式を提供しています。つまり「eKYCベンダー選び」と「PF選び」は多くの場合同じ検討の裏表です。ベンダーの実装を見極める観点はeKYCベンダー比較を開発者の目で読むにまとめています。

それでもPF認定を目指すケース

PFの道を選ぶのは、本人確認を「自社サービスの一機能」ではなく「事業そのもの」にする場合に限られます。判断材料は次のとおりです。

• 自社・グループの確認件数が大きく、従量課金の累積がPF維持費を超える見込みがある
• 他社への提供（プラットフォームビジネス）を計画している
• 認定基準に沿った体制整備・監査対応を継続できる組織体力がある

この条件に当てはまる場合でも、いきなり認定申請に進むのは得策ではありません。まずSPとして運用実績を作り、自社の確認件数・運用体制の実データを持ったうえで、認定基準とのギャップ分析を進めるのが現実的な順序です。JPKIを含む本人確認方式全体の地図はeKYC完全マップ2026で確認できます。

まとめ

• JPKIの署名検証・失効確認には公的個人認証法に基づく主務大臣認定が必要です。認定を取って提供するのがPF、その上で使うのがSPです
• PF一覧28者に対し利用民間事業者は1,306者（いずれもデジタル庁公表・2026年時点）。大多数の事業者にとってSPが現実解です
• PF/SPの違いは平時より障害時・監査時に効きます。SLA・障害時ポリシー・委託管理の説明責任を契約前に確認してください
• SPでも本人確認記録の7年保存など自社に残る義務があります。PFへの委託範囲と自社保持分の線引きは要件定義の必須項目です
• PFを目指すのは本人確認を事業の中核にする場合のみ。SPで実績を作ってからギャップ分析を行うのが現実的な順序です

よくある質問

Q. JPKIのPF方式とSP方式の違いは何ですか？

PF（プラットフォーム事業者）は、公的個人認証法に基づく主務大臣の認定を自社で取得し、J-LISと直接接続して署名検証・失効確認を行い、そのサービスを他社にも提供する立場です。SP（PF利用事業者）は認定を取らず、認定済みPFと契約してJPKI機能を利用する立場です。認定の要否・システムの持ち分・監査対応・費用構造が異なります。

Q. JPKIを使うのに国の認定は必要ですか？

電子証明書の有効性確認（J-LISへの失効照会）を自ら行う場合は、公的個人認証法に基づく主務大臣の認定が必要です。ただし認定済みのプラットフォーム事業者と契約してその機能を利用する場合、自社が認定を取る必要はありません。実際、大多数の民間事業者はこのSP形態で参入しています。

Q. JPKIのプラットフォーム事業者は何社ありますか？

デジタル庁の公表によれば、認定プラットフォーム事業者の一覧は28者（2026年6月30日時点）です。一方、JPKIを利用する民間事業者は1,306者（2026年7月31日時点）に達しており、大多数はPFのサービスを利用するSPとして参入しています。

Q. SPになればPFにすべて任せられますか？

任せられません。署名検証や失効確認の処理はPFに委託できますが、本人確認記録の整備・保存（7年）は自社の義務として残ります。また監督官庁や監査に対して「どの処理を委託し、何を自社で保持しているか」を文書で説明できる委託管理体制も必要です。

Q. PFを選ぶとき何を確認すべきですか？

主な確認項目は5つです。対応方式（署名用証明書の検証のみか、利用者証明用の当人認証も提供するか）、提供形態（SDK型・API型・画面ホスト型）、基本4情報の受け渡しと保存責任の範囲、失効確認のタイミングと障害時の代替手順・SLA、料金体系（初期費・月額・従量単価・最低利用料）です。自社の件数予測とセットで見積もりを取ることが重要です。

Q. 自社でPF認定を取るべきなのはどんな場合ですか？

本人確認を事業そのものにする場合です。具体的には、確認件数が大きく従量課金の累積がPF維持費を超える見込みがある、他社への提供を計画している、認定基準に沿った体制整備と監査対応を継続できる組織体力がある、という条件が揃う場合に限られます。その場合も、まずSPとして運用実績を作ってからギャップ分析を進めるのが現実的です。

主な参考資料: デジタル庁 公的個人認証サービス（JPKI）の導入案内、デジタル庁 プラットフォーム事業者一覧、デジタル庁 民間事業者向けFAQ、J-LIS 署名検証者の手続、JPKI 署名検証者向けページ

TodoONada株式会社では、マイナンバーカード認証（JPKI・eKYC）を組み込んだWebサービス・スマホアプリの受託開発を行っています。PF/SPの方式選定やPF各社の技術比較、RFP・見積もりのレビューといった上流段階からのご相談にも対応し、デジタル庁「デジタル認証アプリ」の利用申請・審査対応も書類作成から指摘対応まで伴走します。料金の目安は認証機能組込みプラン150万円〜、認証込みアプリ開発プラン400万円〜、大規模・個別要件は1,000万円〜です。「自社はSPで足りるのか、どのPFと組むべきか」という検討段階のご相談も、マイナンバーシステム導入支援またはお問い合わせからお気軽にどうぞ。

---

この記事に関連するサービス

TodoONada株式会社では、マイナンバーカード認証を組み込んだシステム開発を行っています。

• マイナンバーシステム導入支援 — JPKI・eKYC対応の本人確認をワンストップで

導入・開発のご相談はお問い合わせからお気軽にどうぞ。検討段階のご相談も歓迎です。