公的個人認証(JPKI)の民間利用。自社で認定を取るか、プラットフォーム事業者を使うか

マイナンバーカードの公的個人認証（JPKI）は、もともとe-Taxをはじめとする行政手続きのための仕組みでした。しかし公的個人認証法の改正により、2016年1月から民間事業者も利用できるようになっています。さらに2027年4月の犯罪収益移転防止法改正で非対面の本人確認がJPKIに一本化される流れがあり、「自社でJPKIを使いたい」という相談は今後さらに増えていきます。

ここで発注者側がつまずくのが、「民間でも使える」と「自社で簡単に使える」の間にある壁です。制度上は開放されていても、中核部分を自社で担うには国の認定が要ります。本記事は、事業会社の意思決定者・開発責任者が「自社はどの経路でJPKIに参入すべきか」を、ベンダー選定に入る前に判断できるよう、制度の建て付けと実務上の選択肢を整理します。

この記事の要点

• JPKIの民間利用は2016年1月に解禁済みですが、電子証明書の検証・失効確認を自ら行うには公的個人認証法に基づく主務大臣の認定が必要です
• 認定取得は期間が年単位・大規模投資・継続的な監査対応を伴い、本人確認そのものを事業にする企業以外には過剰です
• 制度側がこの壁を埋めるのがプラットフォーム事業者の仕組みで、一般の事業会社は認定を持つ事業者と契約して利用します
• 実務で取れる経路は「eKYCベンダー」「プラットフォーム事業者と直接契約」「デジタル認証アプリ」の実質3つです
• どの経路を選んでも、カード読み取り・署名対象データの設計・失効時フロー・確認記録の保存は自社の開発範囲として残ります

制度の建て付け — 検証する側に資格が要る

JPKIによる本人確認の中核は、電子証明書の検証です。ここに制度の非対称性があります。

ユーザーがマイナンバーカードで電子署名を行う部分は、技術的には誰でも作れます。しかし、その署名を検証して「証明書が本物か、失効していないか」を確認する側には資格が要ります。制度上の呼び名は次のとおりです。

• 署名用電子証明書を検証する者 = 署名検証者
• 利用者証明用電子証明書を検証する者 = 利用者証明検証者

民間事業者がこの検証者になるには、公的個人認証法に基づく主務大臣の認定が必要です。認定を受けると、J-LIS（地方公共団体情報システム機構）から電子証明書の失効情報の提供を受けられるようになります。

見落とされやすいのは、失効確認ができて初めて犯収法対応レベルの本人確認として成立するという点です。「証明書の署名を検証できた」だけでは足りません。その証明書が失効していないことを確認する経路を持っていることが、制度上の要件になっています。2種類の証明書の役割と、どちらを使うかで契約構造がどう変わるかは署名用と利用者証明用の違いで整理しています。

認定の壁 — 一般の事業会社には現実的でない

主務大臣認定は、書類を出せば取れる登録制度ではありません。セキュリティ基準を満たす設備・体制の整備、規程類の作成、審査対応を含む重量級の手続きです。J-LISとの接続設備も自社で保有することになります。

負担を3つの軸で見ると次のようになります。

負担の軸	内容
期間	準備から認定まで年単位
コスト	設備投資に加えて運用体制の整備を含む大規模投資
継続負担	監査対応、法改正への追随、セキュリティ水準の維持

重要なのは、認定が「一度取れば終わり」ではないことです。継続的な監査対応と法改正への追随が、認定を維持するかぎり毎年発生します。これは初期投資よりも、むしろ組織体力を要求する部分です。

したがって認定取得は、本人確認サービス自体を事業にする企業（eKYCベンダー等）が取る選択肢です。「自社サービスに本人確認機能を入れたい」だけの事業会社にとっては、明らかに過剰な投資になります。認定を取る側（PF）と取らずに利用する側（SP）の責任分界や監査対応の違いはJPKIのPF方式とSP方式で詳しく比較しています。

現実解 — プラットフォーム事業者に乗る

この壁を制度側が埋めるために用意されているのが、プラットフォーム事業者の仕組みです。

一定の基準を満たして主務大臣認定を受けた署名検証者が、一般の民間事業者の署名検証業務をまとめて受託します。つまり**「認定はプラットフォーム事業者が持ち、一般事業者はそこと契約してAPIを使う」**という構図です。

この構図がもたらす実務上の効果は3点です。

• 一般事業者側に認定は不要 — 契約と、自社側の届出等の手続きで利用を開始できます
• 重い部分は事業者側の設備で動く — 検証・失効確認・J-LIS接続はプラットフォーム事業者側で完結します
• 選択肢は増え続けている — 認定を受けた事業者は増加傾向にあり、シフトセブンコンサルティング（2021年）、ダブルスタンダード（2022年）、ポケットサイン（2023年）、プリマジェスト（2026年）など、近年も新規参入が続いています

押さえておきたいのは、eKYCベンダーが提供するJPKIメニューも、内部的にはこの認定（自社取得または提携）の上に成り立っているということです。つまりJPKI民間利用の実態は、ほぼすべてが「認定事業者のプラットフォームに乗る」形です。自社で認定を取るかどうかという問いは、多くの事業会社にとっては最初から答えが出ています。

実務で選べる経路は3つ

認定を取らない前提に立つと、一般の事業会社がJPKIを使う経路は次の3つに整理できます。

経路	契約相手	向いているケース
eKYCベンダーのSaaS/SDK	eKYCベンダー	早く確実に犯収法対応したい。画面はSDKでよい
プラットフォーム事業者と直接契約	認定署名検証者	自社UXで作り込みたい。件数が多く単価を下げたい
デジタル認証アプリ（デジタル庁）	デジタル庁（+署名APIはプラットフォーム事業者）	ログイン・当人認証が主目的。認証APIなら手数料無料

eKYCベンダー経由は、認定まわりも画面もベンダー側が持つため、立ち上がりが最も速い経路です。UXの自由度はSDKの範囲内に収まりますが、犯収法対応を確実に短期間で終わらせたい場合の第一候補になります。

プラットフォーム事業者との直接契約は、読み取りから結果処理までを自社のUXで設計したい場合の経路です。開発範囲は広くなりますが、既存の会員基盤や業務システムとの深い統合ができ、件数が多い場合は単価面でも有利になり得ます。

デジタル認証アプリは、国がユーザー向けアプリと認証基盤を提供する経路です。認証API（利用者証明用電子証明書）は手数料無料という強みがあります。ただし、基本4情報の取得や電子署名が必要な場合は、結局プラットフォーム事業者との有償契約が必要になります。この構造を理解せずに「国のアプリだから無料」と社内説明すると、要件が固まった段階で前提が崩れます（デジタル認証アプリの利用条件と料金）。

自社認定を含めた4方式の費用感・期間の比較はマイナンバーカード本人確認の4つの組み込み方法に、本人確認方式全体の見取り図はeKYC完全マップ2026にまとめています。

経路を選んでも「自社の開発範囲」は残る

発注者が最も誤解しやすいのがここです。プラットフォーム事業者やeKYCベンダーを使えば、JPKI対応が丸ごと外注できるわけではありません。次の部分は、どの経路を選んでも自社側の開発範囲として残ります。

• NFC読み取り（スマホアプリ側） — カードにかざす体験の実装と、読み取り失敗時のリトライ導線
• 署名対象データの設計 — 何に対して署名させるか。これは業務要件そのものであり、外部委託できません
• 失効・PINロック時のフロー — 検知した後にユーザーをどこへ導くか。離脱率を直接左右します
• 確認記録の保存 — 本人確認記録の整備・保存は自社の義務として残ります

つまり、「どのベンダーを選ぶか」の検討と並行して、「自社で作る部分をどう設計するか」の検討が必要です。ベンダー選定だけで要件定義が終わると考えていると、開発フェーズで必ず膨らみます。受託開発が関わるのは、まさにこの残った領域です。

ベンダー・プラットフォーム事業者の比較チェックリスト

相見積もりを取る際に、従量単価だけを並べても比較になりません。次の項目を揃えて確認してください。

• 対応方式 — 署名用電子証明書の検証だけか、利用者証明用による当人認証も提供するか
• 対応する読み取り経路 — カード読み取りのみか、スマホ搭載の電子証明書にも対応するか
• 提供形態 — SDK型・API型・画面ホスト型のどれか。自社UXにどこまで介入されるか
• SDKの提供範囲 — 読み取り部分だけか、エラーハンドリングや案内画面まで含むか
• 料金体系 — 初期費・月額・従量単価・最低利用料。自社の件数予測とセットで見積もる
• 障害時のサポート体制 — 失効確認が返らない場合の代替手順とSLA
• 接続テストの所要期間と枠の空き状況 — スケジュールに直結します
• 確認記録として何が返るか — 自社に保存すべきデータの形式と項目

スケジュール上の注意 — 2027年4月に向けた駆け込み

制度面の話に見えて、実は最もスケジュールを圧迫しかねないのが接続テストの枠です。

2027年4月の犯収法改正に向けて、契約・接続の駆け込みが予想されます。プラットフォーム事業者側の接続テスト枠が詰まる可能性を考えると、方式決定は2026年内が安全圏です。改正の中身と事業者が取るべき対応の時系列は犯収法2027年改正とJPKI一本化で整理しています。

「開発は半年で終わるから来年から始めればよい」という計算は、契約交渉・審査・接続テスト待ちの時間を織り込んでいません。実際のクリティカルパスは、自社の開発ではなく相手側のリードタイムにあることが多い、と考えておくのが安全です。JPKI・eKYC関連の記事をどの順序で読むと理解が早いかはeKYC記事の読み方ガイドにまとめてあります。

まとめ

• JPKIの民間利用は2016年1月に解禁済みです。ただし電子証明書の検証・失効確認には、公的個人認証法に基づく主務大臣の認定が必要です
• 認定取得は期間が年単位・大規模投資・継続的な監査対応を伴う道であり、本人確認事業者が選ぶ選択肢です。一般の事業会社にとっては過剰です
• 現実解はプラットフォーム事業者（認定署名検証者）との契約です。eKYCベンダーのJPKIメニューも内部的にはこの認定の上に成り立っています
• 実務の経路は「eKYCベンダー」「プラットフォーム事業者と直接契約」「デジタル認証アプリ」の実質3つ。目的（犯収法対応かログイン強化か）と件数で選びます
• どの経路でも、読み取りアプリ側・署名対象データ・失効時フロー・確認記録の保存は自社の開発範囲として残ります
• 2027年4月に向けて接続テスト枠の逼迫が予想されるため、方式決定は2026年内が安全圏です

よくある質問

Q. 公的個人認証（JPKI）は民間企業でも使えますか？

使えます。公的個人認証法の改正により、2016年1月から民間事業者もJPKIを利用できるようになっています。ただし電子証明書の検証や失効確認を自ら行うには主務大臣の認定が必要なため、実務上は認定を受けたプラットフォーム事業者と契約するか、eKYCベンダーのサービスを利用する形が一般的です。

Q. JPKIを使うのに国の認定は必要ですか？

電子証明書を検証する立場（署名検証者・利用者証明検証者）になる場合は、公的個人認証法に基づく主務大臣の認定が必要です。認定を受けるとJ-LISから電子証明書の失効情報の提供を受けられます。一方、認定済みのプラットフォーム事業者と契約してその機能を利用する場合は、自社が認定を取る必要はありません。

Q. 自社でJPKIの認定を取るべきでしょうか？

本人確認サービス自体を事業にするのでなければ、通常は不要です。認定取得には準備から認定まで年単位の期間、設備投資と運用体制を含む大規模投資、さらに監査対応や法改正追随といった継続負担が伴います。自社サービスに本人確認を組み込みたいだけであれば、プラットフォーム事業者との契約が現実的な選択です。

Q. JPKIプラットフォーム事業者とは何ですか？

主務大臣認定を受けた署名検証者が、一般の民間事業者の署名検証業務をまとめて受託する仕組みです。認定はプラットフォーム事業者が持ち、一般事業者は契約してAPIを利用します。検証・失効確認・J-LIS接続は事業者側の設備で行われます。認定事業者は増加傾向にあり、近年も新規参入が続いています。

Q. JPKIを導入する経路にはどんな選択肢がありますか？

実質3つです。eKYCベンダーのSaaS/SDKを使う経路（早く確実に犯収法対応したい場合）、プラットフォーム事業者と直接契約する経路（自社UXで作り込みたい、件数が多い場合）、デジタル庁のデジタル認証アプリを使う経路（ログイン・当人認証が主目的の場合）です。認証APIは手数料無料ですが、署名APIにはプラットフォーム事業者との有償契約が必要です。

Q. プラットフォーム事業者を使えばJPKI対応はすべて任せられますか？

任せられません。NFC読み取り（スマホアプリ側）の実装、署名対象データの設計、失効・PINロック時のフロー設計、確認記録の保存は自社側の開発範囲として残ります。ベンダー選定と並行して、自社で作る部分の設計を進める必要があります。

Q. JPKI導入はいつまでに着手すべきですか？

方式決定は2026年内が安全圏です。2027年4月の犯収法改正に向けて契約・接続の駆け込みが予想され、プラットフォーム事業者側の接続テスト枠が詰まる可能性があります。クリティカルパスは自社の開発期間ではなく、契約交渉・審査・接続テストといった相手側のリードタイムになることが多い点に注意してください。

主な参考資料: 総務省 公的個人認証サービスによる電子証明書（民間事業者向け）、J-LIS 民間事業者が公的個人認証サービスを利用するメリット、公的個人認証サービス利用のための民間事業者向けガイドライン（デジタル庁・総務省）

TodoONada株式会社では、マイナンバーカード認証（JPKI・デジタル認証アプリ連携）を組み込んだWebサービス・スマホアプリの受託開発を行っています。プラットフォーム事業者の選定・技術比較、読み取りアプリ側の開発、失効・PINロック時のフロー設計まで、方式選定から運用までワンストップでご支援します。デジタル庁「デジタル認証アプリ」の利用申請・審査対応も、書類作成から指摘対応まで伴走します。料金の目安は認証機能組込みプラン150万円〜、認証込みアプリ開発プラン400万円〜、大規模・個別要件は1,000万円〜です。「自社はどの経路で参入すべきか」という検討段階のご相談も、マイナンバーシステム導入支援またはお問い合わせからお気軽にどうぞ。

---

この記事に関連するサービス

TodoONada株式会社では、マイナンバーカード認証を組み込んだシステム開発を行っています。

• マイナンバーシステム導入支援 — JPKI・eKYC対応の本人確認をワンストップで

導入・開発のご相談はお問い合わせからお気軽にどうぞ。検討段階のご相談も歓迎です。