最終更新：2026年9月12日時点の公開情報に基づきます。本制度は要求事項・申請方法など今後公表される項目が多いため、公表があり次第このページを更新します。本記事は、SCS評価制度の取得支援を行う当社が、経済産業省・IPAが公表している一次資料をもとに整理したものです。
目次
- SCS評価制度とは
- どのような企業に求められる可能性があるか
- ★3・★4・★5：段階ごとの要件
- スケジュール
- 現時点で分かっていること／まだ分かっていないこと
- 運用開始を待たずに着手できる準備
- よくある質問
- 出典
- SCS評価制度への対応を検討されている方へ
SCS評価制度とは
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省と内閣官房国家サイバー統括室が創設を進め、独立行政法人情報処理推進機構（IPA）が運用主体を務める、企業のセキュリティ対策水準を共通基準で評価する制度です。2026年3月27日に「制度構築方針」が公表されており、現時点では法的義務ではなく任意の枠組みという位置づけになっています（出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」2026年3月27日公表）。
評価は★3〜★5の3段階で構成され、上位の段階ほど第三者の確認を伴う設計です。委託先ごとに異なる基準への個別対応を、共通基準1つに集約することを目的としており、自己宣言型の既存制度「SECURITY ACTION」（2025年4月時点で40万者超が宣言、第三者監査なし）より一段踏み込んだ制度として設計されています。
どのような企業に求められる可能性があるか
制度は任意の枠組みですが、取引先（発注元）からの要請を通じて事実上の対応が必要になる企業は、今後増えると見込まれています。想定される対象は、次のような立場の企業です。
- 大手企業・官公庁のサプライチェーンに連なる中堅・中小企業：委託元から個別に課されていたセキュリティ要件が、SCS評価制度という共通基準に置き換わっていく可能性があります。
- 個人情報・機密情報を委託元から預かる業務を行う企業：IPAの実態調査では、発注元からの要請内容のうち79.6%が秘密保持に関するものでした（出典：IPA「2024年度 中小企業情報セキュリティ実態調査」）。
- すでに委託元から個別のセキュリティ対応を求められたことがある企業：同調査では、発注元から対応を要請された経験がある中小企業は1割強にのぼります。
- 情報システムを他社に開発・運用委託している企業：委託先の管理水準が自社の水準として問われる構造のため、委託元の立場でも対応の要否を判断する必要があります。
逆に言えば、現時点で取引先から具体的な要請を受けていない企業にとっては、緊急度の高い対応ではありません。ただし要求事項の公開後は判断材料が変わるため、次章の情報は継続して確認いただく価値があります。
★3・★4・★5：段階ごとの要件
★3 | ★4 | ★5 | |
|---|---|---|---|
求められる水準 | 経営体制・ガバナンス、資産管理、ID・アクセス管理など8分野の基礎的な対策 | 第三者評価に耐えうる体制 | ★3・★4の上位に位置づけられる最上位の評価 |
要求事項の数 | 26件 | 43件 | 未公表 |
評価方法 | 自己評価（必要に応じてセキュリティ専門家の支援を想定） | 第三者評価機関による評価 | 未公表 |
運用開始の目標時期 | 2027年3月頃 | 2027年3月頃 | 未公表 |
要求事項26件・43件それぞれの個別項目は、本稿執筆時点（2026年9月）でIPAから未公開で、2026年度内に順次公開される見込みとされています。★3と★4のどちらを目指すべきかは、取引先から求められている水準、取り扱う情報の種類、システムの接続状況によって変わります。
自社が★3・★4のどちらを目指すべきか判断がつかない場合
取引内容・取り扱う情報・システムの接続状況を整理すれば、要求事項の公開を待たずに判断できます。当社では30分の無料相談でこの判断を承っています。30分の無料相談を申し込む
スケジュール
- 2025年4月：経済産業省と内閣官房国家サイバー統括室が制度創設の検討を開始しました。運用をIPAが担うことが示されています。
- 2026年3月27日：制度構築方針が公表されました。★3〜★5の評価段階と要求事項の枠組みが正式に示されています。
- 2026年10月頃（予定）：具体的な申請方法が公開される見込みです（出典：IPA「SCS評価制度」FAQ）。
- 2027年3月頃（目標）：★3・★4の評価受付が開始される見込みです。
申請方法の公開（2026年10月頃）から運用開始（2027年3月頃）までは、8ヶ月ほどの期間しかありません。要求事項が公開されてから準備を始めると、この期間はさらに短くなります。
現時点で分かっていること／まだ分かっていないこと
本制度は検討過程にあり、公表済みの情報と未公表の情報が混在しています。判断を誤らないよう、2026年9月時点の区分を明記します。
分かっていること | まだ分かっていないこと |
|---|---|
制度の創設主体・運用主体／★3〜★5の3段階構成／★3=26件・★4=43件という要求事項の件数／運用開始の目標時期（2027年3月頃）／申請方法公開の予定時期（2026年10月頃） | 26件・43件それぞれの要求事項の個別内容／自己評価・第三者評価の具体的な手続き／★5の要求事項数と時期／評価機関・技術検証事業者・研修事業者の指定状況の詳細／費用負担の枠組み |
まだ分かっていない項目は、公表され次第この記事に反映します。要求事項が公開された段階で、自社の対策とのギャップを具体的に照合できるようになります。
自社の現状がどこまで足りているか、棚卸しから相談したい場合
公開済みの8分野・26件の枠組みに沿って、既存の対策・規程・証跡をどこまで満たせているかを一緒に仕分けます。★3・★4の判断から取得後の運用まで、ひとつの窓口で伴走しています。SCS評価制度 取得支援サービスの詳細を見る
運用開始を待たずに着手できる準備
要求事項の個別内容は未公開ですが、方向性がすでに明らかになっている項目については、公開を待たずに着手できます。
- 現状の棚卸し：経営体制・ガバナンス、資産管理、ID・アクセス管理など、★3で問われるとされる8分野について、既存の対策・規程・証跡がどこまで揃っているかを確認します。
- 委託先・委託元のアカウント権限の点検：外部に発行しているアカウントのうち、多要素認証が適用されていないものがないかを洗い出します。
- 情報管理ルールの整備：生成AIへの入力可否を含めた情報の取扱いルールを定め、実施記録を証跡として残せる形にしておきます。
よくある質問
全社で取得する必要がありますか
申請の主体は原則として法人単位ですが、設定した適用範囲について専門家（★3）または評価機関（★4）の妥当性確認を経れば、事業部単位やグループ単位での申請も可能とされています。
★3を取らずに★4を取得できますか
上位の段階は下位で求められる事項を含むため、★3を事前に取得していなくても★4を取得することは可能とされています。ただし要求事項は26件から43件に増え、第三者評価と技術検証が加わるため、準備量は相応に変わります。
対応しないとどうなりますか
制度自体は任意の枠組みで、罰則等は設けられていません。ただし取引先から個別に対応を要請されるケースは、制度の有無に関わらずすでに発生しています（IPA調査で1割強）。SCS評価制度は、その個別の要請を共通基準に置き換えていく方向で設計されています。
出典
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）
- IPA「SCS評価制度の詳細情報」「SCS評価制度」FAQ
- IPA「2024年度 中小企業情報セキュリティ実態調査」
SCS評価制度への対応を検討されている方へ
ここまでの情報だけで★3・★4のどちらを目指すべきか判断がつく企業は、実際には多くありません。取引内容・取り扱う情報・システムの接続状況は会社ごとに異なり、要求事項の個別内容もまだ公開されていないためです。
当社では、目指すべき★の判断、現状の棚卸し、規程・証跡の整備、専門家確認・第三者評価への対応、取得後の運用まで、ひとつの窓口で伴走しています。デロイト トーマツのサイバー領域出身者が担当し、月額30万円〜のシンプルな顧問契約です。
[SCS評価制度 取得支援サービスの詳細はこちら]
[制度の要点を20ページにまとめた解説資料（無料）はこちら]
