SCS評価制度は、取引先のセキュリティ対策を共通の基準で確認するための制度です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、★3・★4は2027年3月頃の運用開始が予定されています。
この制度は法律による一律の義務ではありません。しかし、任意だから中小企業は準備しなくてもよい、とは考えないほうがよいでしょう。
発注企業にとって、セキュリティ対策を説明できる会社と、できない会社のどちらを取引先に選ぶかは経営判断です。SCS評価制度が始まれば、その判断に「★」という共通の物差しが加わります。
取引先から求められてから対策を始めるのでは遅い場合があります。多くの中小企業は、まず★3を基準に自社の現状を確認し、2027年3月までに不足する対策と証拠を整える準備を始めるべきです。
この記事の結論
- ★3・★4は2027年3月頃に運用開始予定
- SCS取得は法律上の一律の義務ではない
- 発注企業が取引条件や取引先選定に利用することが想定されている
- 多くの中小企業は、まず★3を準備の基準にする
- 最初にすることは製品購入ではなく、現状と不足の把握
SCS評価制度とは
SCS評価制度は、企業のセキュリティ対策を段階別に評価し、その結果を取引先へ示せるようにする制度です。経済産業省と内閣官房国家サイバー統括室が公表した制度構築方針に基づき、IPAが運営します。
制度が必要になった背景には、サプライチェーンを経由したサイバー攻撃があります。大企業が自社を守っていても、委託先や取引先の端末、アカウント、ネットワークが攻撃の入口になれば、事業停止や情報漏えいにつながります。
一方、発注企業が独自のチェックシートを作ると、中小企業は取引先ごとに異なる質問へ回答しなければなりません。SCS評価制度は、対策水準を共通化し、発注企業と受注企業の双方が確認しやすくする仕組みです。
制度の評価方法や専門家要件は、IPAのSCS評価制度詳細ページで公開されています。
★3と★4は2027年3月頃に開始予定
2026年8月時点では、★3と★4は2027年3月頃の運用開始が予定されています。★5の要求事項、評価方法、開始時期は今後の検討事項です。
申請方法と取得ガイドは2026年10月頃、★4の評価機関は2026年12月末頃、★3の確認を担うセキュリティ専門家は2027年1月以降に公開される予定です。申請・登録費用はまだ公表されていません。最新の公表予定はIPAのSCS評価制度FAQで確認できます。
「詳細がすべて決まってから動く」のでは、準備期間が短くなります。要求事項と評価基準はすでに公開されているため、現状確認は今から始められます。
SCS評価制度の★3・★4・★5の違い
SCS評価制度では、対策水準を★3・★4・★5に分けます。2027年3月頃に始まる予定なのは★3と★4です。
| 比較項目 | ★3 | ★4 | ★5 |
|---|---|---|---|
| 対策水準 | 一般的なサイバー脅威に対処するための基礎 | 被害拡大防止や取引先のデータ・システム保護まで含む | 高度な攻撃に対するベストプラクティス水準 |
| 評価方法 | 専門家確認付き自己評価 | 第三者評価と技術検証 | 今後検討 |
| 主な確認 | 自己評価書類を専門家が確認 | 文書確認、実地審査、技術検証 | 今後検討 |
| 経営者の関与 | 自己適合宣誓が必要 | 評価結果を受けて登録申請 | 今後検討 |
| 想定される判断 | 多くの中小企業の出発点 | 重要な取引・システムを担う企業が検討 | 現時点では判断を待つ |
★3は、社内だけでチェックシートに回答すれば取得できる制度ではありません。企業が自己評価を行い、登録されたセキュリティ専門家の確認と助言を受け、経営層が自己適合宣誓を行います。
★4では、評価機関による第三者評価に加えて、実地審査と技術検証が行われます。なお、★3を先に取得しなければ★4を申請できないわけではありません。
自社が★4を検討すべきかは、会社の規模だけでは決まりません。重要な情報やシステムを預かるか、停止時に取引先へ大きな影響を与えるか、発注企業から高い水準を求められるかで判断します。詳しくは「SCS評価制度で★4が必要な企業と判断の軸」で整理しています。
SCSは任意制度でも中小企業に関係する
SCS取得は、法律ですべての会社へ強制されるものではありません。それでも、中小企業に無関係とはいえません。
企業間取引では、品質、価格、納期、財務状況などを確認して取引先を選びます。セキュリティが原因で生産停止や情報漏えいが起きるなら、対策状況を取引先選定の基準に加えるのは自然な流れです。
SCS評価制度では、発注企業が取引先へ必要な星の水準を示し、対策を求めたり確認したりする利用方法が想定されています。重要なのは「国が義務化するか」だけではありません。「主要取引先が自社に何を求めるか」です。
法令・契約・市場という3種類の要求
SCSをめぐる議論が分かりにくいのは、「義務」という言葉に異なる意味が混ざるからです。本サイトでは、中小企業への影響を次の3段階で整理します。
| 段階 | 何によって求められるか | 中小企業への影響 |
|---|---|---|
| 法令上の義務 | 法律・規制 | SCSは現時点で一律の法的義務ではない |
| 契約上の要求 | 発注企業の調達基準・契約条件 | 条件になれば、取引継続や新規受注のために対応が必要になる |
| 市場上の要求 | 取引先比較・信用判断 | 未取得でも直ちに失格ではないが、対策を説明できる企業が選ばれやすくなる |
制度が任意だという説明は、「法令上の義務ではない」という第1段階の話です。しかし経営者が見るべきなのは、第2段階と第3段階まで含めた取引への影響です。
未取得だから自動的に取引が停止するわけではありません。一方で、発注企業から確認されたときに、対策状況も改善計画も説明できなければ、選定上の弱点になります。
SCS対応の目的は星を飾ることではありません。「自社は取引先へどのようなリスクを与え得るか」「そのリスクをどう管理しているか」を説明できる状態にすることです。
自動車業界では取引先の自己評価がすでに運用されている
自動車業界は、発注企業がサプライチェーン全体のセキュリティを確認する動きを理解するうえで参考になります。
日本自動車工業会と日本自動車部品工業会は、2020年に業界共通のサイバーセキュリティガイドラインと自己評価基準を策定しました。現在は、企業規模を問わず利用できる37の要求事項と153の達成条件を示し、チェックシートによる自己評価と提出の運用を行っています。自工会・部工会のガイドラインでは、中小企業向けの実践手引きも公開されています。
これは、自動車業界のすべての会社にSCS取得が義務化されたという意味ではありません。しかし、取引先の対策状況を業界共通の基準で確認する仕組みは、SCS開始前からすでに動いています。
「任意だから取引には影響しない」と考えるより、「業界や発注企業によっては、共通基準による確認が先に定着する」と考えるほうが、経営上は安全です。
SCSに対応しない中小企業に起こり得ること
最大のリスクは、星を持っていないこと自体ではありません。取引先から質問されたときに、自社の状態を説明できないことです。
取引先から短期間で回答を求められる
発注企業が調達基準を変更すれば、取引先調査、契約更新、入札、新規商談などで対応状況の回答を求められます。その時点から情報資産を調べ、規程を作り、技術対策を始めると、回答期限に間に合わない可能性があります。
対策していても証拠がなければ説明できない
ウイルス対策ソフトを入れている、バックアップを取っている、社員へ注意を呼びかけている。それだけでは、誰が、何を、いつ確認したかが分かりません。
SCSへの準備では、対策の実施と同時に、台帳、規程、点検記録、教育記録、インシデント対応手順などの証拠を残す必要があります。
他社との比較で説明力に差がつく
価格や技術力が同程度なら、対策状況を共通基準で説明できる会社は発注企業にとって選びやすい取引先です。SCSを単なるコストとして見るのではなく、既存取引を守り、新規取引で信用を示すための投資として考える必要があります。
セキュリティ投資の判断方法は「セキュリティはコストか投資か」でも解説しています。
中小企業はまず★3を準備の基準にする
発注企業から★4を求められている、または事業停止時の影響が大きい会社を除けば、多くの中小企業にとって現実的な出発点は★3です。
ただし、「とりあえず★3を申請する」のではありません。まず要求事項と自社の現状を照合し、不足を把握します。
また、ISMSを取得していてもSCS対応が自動的に完了するわけではありません。ISMSはマネジメントシステム、SCSは具体的な対策水準を確認するベースラインとして補完関係にあります。詳しくは「ISMSは意味ないといわれる理由」を参照してください。
2027年3月までのSCS対応ロードマップ
以下は、2026年8月時点から制度開始予定までを逆算した、本サイト独自の準備ロードマップです。公式の申請日程ではなく、中小企業が社内準備を進めるための目安として利用してください。
| 時期 | 実施すること | 残す成果物 |
|---|---|---|
| 2026年8～9月 | 取引先からの要求、自社の情報・端末・システムを把握する | 主要取引先一覧、情報資産・IT資産台帳 |
| 2026年9～10月 | ★3要求事項と現状を照合する | 対応済み・未対応・確認不能の一覧 |
| 2026年10～11月 | 公開予定の取得ガイドも踏まえて不足を見直す | 改善計画、概算予算、担当者 |
| 2026年11～12月 | 優先度の高い対策と規程整備を進める | 規程、設定記録、教育記録、契約確認結果 |
| 2027年1～2月 | 登録専門家の情報を確認し、事前確認を依頼する | 指摘事項、修正記録、経営者への報告 |
| 2027年3月以降 | 公開された申請方法に沿って取得を判断する | 自己評価、専門家署名、自己適合宣誓 |
スケジュールは今後の公表内容に応じて更新します。ただし、情報資産の把握、社内責任者の決定、既存ルールの確認は、制度詳細の確定を待つ必要がありません。
SCS★3に向けた準備状況チェックリスト
次のチェックリストは、公式の要求事項を代替するものではありません。★3の準備を始める前に、どこから手を付けるべきかを判断する簡易チェックとして利用してください。
| 確認項目 | はい | いいえ・不明 |
|---|---|---|
| 主要取引先から求められるセキュリティ基準を把握している | □ | □ |
| 保有する端末、サーバー、システム、クラウドサービスの一覧がある | □ | □ |
| セキュリティの責任者と実務担当者が決まっている | □ | □ |
| アカウントの発行・変更・削除手順がある | □ | □ |
| 重要なアカウントで多要素認証を利用している | □ | □ |
| OS・ソフトウェアの更新状況を定期的に確認している | □ | □ |
| バックアップから実際に復旧できることを確認している | □ | □ |
| インシデント発生時の連絡・初動手順がある | □ | □ |
| 委託先やクラウドサービスの安全性を確認している | □ | □ |
| セキュリティ規程が実際の運用と一致している | □ | □ |
| 従業員教育の実施記録を残している | □ | □ |
| 対策状況と不足を経営者が把握している | □ | □ |
「いいえ・不明」が多くても、すぐに高額な製品を購入する必要はありません。最初に、何が分からないのか、誰に確認するのか、取引上どれが重要なのかを整理します。
具体的な準備には、次の記事を利用できます。
- セキュリティ対策は何から始めるか
- 中小企業のIT資産台帳の作り方
- SCS評価制度の多要素認証対応
- バックアップの実効性を確認する方法
- 中小企業のセキュリティポリシー
- インシデント対応手順の作り方
- 委託先のセキュリティ管理
SCS評価制度についてよくある質問
SCS評価制度の取得は義務ですか？
法律によって、すべての企業へ一律に取得が義務付けられる制度ではありません。ただし、発注企業が調達基準や契約条件として星の水準を求めれば、その取引を続けるための対応が必要になります。
中小企業も取得する必要がありますか？
会社の規模だけでは決まりません。主要取引先が求める基準、自社が預かる情報、自社の停止が取引先へ与える影響で判断します。現時点で取得を決めていなくても、★3の要求事項を基準に現状を確認する価値はあります。
★3は自己評価だけで取得できますか？
できません。自社による自己評価に加えて、登録されたセキュリティ専門家による確認・助言・署名と、経営層による自己適合宣誓が必要です。
SECURITY ACTIONの★1・★2と同じ制度ですか？
別の制度です。SECURITY ACTIONは中小企業がセキュリティ対策に取り組むことを自己宣言する制度で、SCSの★3・★4とは評価方法が異なります。ただし、基本的な対策を始める入口として活用できます。「SECURITY ACTIONの始め方」で手順を解説しています。
★3の確認は登録セキスペなら誰でもできますか？
登録セキスペを含む所定の資格保有者が、SCS制度の研修を受け、事務局へ登録する必要があります。現在の「中小企業向けサイバーセキュリティ対策支援者リスト」とSCSの登録専門家は同一ではありません。登録セキスペの組織上の役割は「情報処理安全確保支援士は意味ないのか」でも整理しています。
EDRなど特定の製品を導入すれば取得できますか？
特定製品を購入するだけで取得できる制度ではありません。要求される対策をどの方法で実現するかは、自社の環境とリスクに合わせて決めます。製品名から考えるのではなく、守る対象と不足する対策から考えることが重要です。
申請費用はいくらですか？
2026年8月時点では、★3・★4の申請・登録費用は公表されていません。専門家への依頼費用や、対策の改善費用も別途想定しておく必要があります。
まとめ｜任意か義務かではなく、取引先へ説明できる状態を作る
SCS評価制度は法律上の一律の義務ではありません。しかし、発注企業が安全な取引先を選ぶための共通基準として利用することが想定されています。
中小企業が見るべきなのは、「国が義務化するか」だけではありません。主要取引先がいつ、どの水準を求めるのか。そして求められたとき、自社の対策状況を証拠とともに説明できるかです。
制度の詳細がすべて決まるまで待つ必要はありません。まず主要取引先、情報資産、担当者、現在の対策を確認し、★3の要求事項と照合してください。
2027年3月頃までに作るべきなのは、星を申請する準備だけではありません。「この会社なら安心して取引できる」と説明できる状態です。
コメント