★3で足りるか、★4が要るか。
要点を20ページにまとめました。

まだ登録された企業はありません。制度の運用開始が令和8年度下期の目標のため、いまはその手前です。急ぐ理由があるのは、取引先からすでに★を提示されている場合です。まだ言われていない場合は、自己評価の下ごしらえだけ進めておき、要請が来たら動ける状態にしておくのが現実的です。どちらに当たるかは、初回のご相談で切り分けます。

キックオフが2時間、あとは隔週30〜60分の定例と、資料・証跡のご提供が中心です。★4の場合のみ実地審査の立ち会いに半日〜1日いただきます。自己評価の作成や規程・証跡の整備は当社が手を動かすため、情シスがご担当者1〜2名の体制でも進められます。

あります。適用段階を判定するツールと、規程・台帳・証跡の雛形一式を当社で用意しており、ご相談の段階で無料でお渡ししています。まず自社で埋めてみて、詰まったところだけご相談いただく形でも構いません。

もちろんです。「取引先からSCSと言われたが、何から手をつければいいか分からない」というご相談が最も多く寄せられます。まずは取引の状況と、いまの体制をお聞かせください。目指すべき★の見極めから一緒に考えます。

取引先から求められていないのであれば、まずは★3です。制度側も「多くの企業はまず★3を目指し、さらに対策を進めたい企業のために★4を用意している」と整理しており、★4の取得を急がせる説明を戒めています。★4は、供給が止まると発注企業に大きく影響する立場にある企業や、重要な機密情報を預かっている企業が選ぶ区分だとお考えください。

いいえ。上位の段階は下位で求められる事項を含むため、★3を事前に取得していなくても★4を取得できます。ただし要求事項は26件から43件に増え、第三者評価と技術検証が加わるため、準備の量は相応に変わります。

自動的に免除される仕組みは、現時点では示されていません。ただし制度は、先行するSECURITY ACTIONやISMS適合性評価制度と相互補完的に発展することを目指しており、すでに整えている規程や運用の多くは証跡として活かせます。当社の診断では、まず「いま持っているもので何が埋まるか」から確認します。

制度が期間を区切っているのは、★4で評価に着手したあとの1か月だけです。全体の長さを決めるのは、自己評価と自己適合宣言をどれだけ早く整えられるかです。逆算の起点は評価機関との契約日ではなく、自己評価に着手する日になります。初回のご相談で、貴社の場合の目安をすり合わせます。

評価機関の公平性は、資本関係・財務的な利害・役務提供の3点で判断されます。システムを構築または運用している事業者は、その対象を評価できません。構築を支援したベンダーも、運用を受けているSIerも、評価者にはなれない仕組みです。

いいえ。当社は取得支援の立場で、評価機関でも技術検証事業者でもありません。制度上、★3の自己評価は「必要に応じて社内外のセキュリティ専門家からの支援を得ること」が想定されており、当社はその支援を担います。★3の確認を行うSCSセキュリティ専門家、★4の評価を行う評価機関との段取りと窓口も引き受けます。

申請の主体は原則として法人単位ですが、設定した適用範囲について専門家（★3）または評価機関（★4）の妥当性確認を経れば、事業部単位やグループ単位で申請することもできます。どこまでを範囲にするかは、費用と期間に直結する最初の判断です。

月額30万円〜のシンプルな顧問契約です。お試しの診断だけであれば30万円〜（一括）、★3伴走は月額30万円〜、★4伴走は月額50万円〜が目安です（★4は評価機関・技術検証事業者への費用を別途含みます）。対象範囲や現状の整備状況によって変わるため、初回のご相談で概算をお伝えします。