よくある質問
よくある質問
制度そのものと、このサイトの使い方についての質問をまとめました。
SCS評価制度とは何ですか？
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に公表した「制度構築方針」に基づき構築され、両省庁の監督のもと IPA（情報処理推進機構）が運営します。
IPA は制度の目的を、委託先へのサイバー攻撃等を起因とした自社事業・サービスの提供途絶や機密情報の漏えい・改ざん、委託先等を踏み台とした不正侵入等のリスクに対する適切なセキュリティ対策の実施を促し、サプライチェーン全体での対策水準の向上を図ることとしています。
具体的には、2社間の取引契約等において、委託元が委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認することが想定されています。
出典：IPA「SCS評価制度」
いつから始まりますか？
IPA はよくある質問で、★3・★4 について次のように公表しています。
★3・★4は2027年3月頃の運用開始を予定しています。
運用開始までに、次の公表が予定されています。
- 2026年10月頃：★3・★4 の申請方法、要求事項・評価基準の解説書と取得ガイド
- 2026年12月末頃：評価機関、および研修事業者
- 2027年1月以降：セキュリティ専門家
ただし実務上は「制度開始日」より「取引先から★の提示が来る日」のほうが重要です。また ★1・★2 にあたる SECURITY ACTION は既存の制度なので、制度開始を待たずに着手できます。
出典：IPA「よくある質問」
うちは対象ですか？
制度構築方針では、セキュリティ対策の実施主体として想定されているのはサプライチェーン企業（2社間の契約における受注者側）です。受注者が対策を実施するには発注者の協力が必要な場合があるため、制度利用者の範囲には発注者も含まれます。サプライチェーン企業は、取引によっては発注者にもなりえます。
対象とするのは、サプライチェーンを構成する企業等のIT基盤（クラウド環境で運用するものを含む）です。組織のガバナンス・取引先管理、自社IT基盤への検知・防御など、組織全体に影響が及ぶ範囲が対象とされています。
ただし「対象である」ことと「今すぐ★を求められる」ことは別です。実際に何を求められるかは取引先が決めます。
自社の状況の整理には、かんたん判定をお使いください。
★1・★2 と ★3 以降は何が違いますか？
制度構築方針の段階別評価の表には、次の注記があります。
★１・★２については、IPAが運営する「SECURITY ACTION」を参照されたい。
SCS評価制度として要求事項・評価基準が定められ、評価スキームが設けられているのは ★3 以降です。★1・★2 は既存の自己宣言制度である SECURITY ACTION を参照する形になっています。
- ★1・★2：SECURITY ACTION（自己宣言）。制度開始を待たずに着手できる
- ★3：専門家確認付き自己評価。要求事項26件。有効期間1年
- ★4：評価機関による第三者評価と技術検証。要求事項43件。有効期間3年
- ★5：要求事項・評価スキーム・開始時期いずれも検討中
出典：制度構築方針 p.13
★3 を取ってからでないと ★4 は取れませんか？
いいえ。制度構築方針には次のように明記されています。
上位の段階はそれ以下の段階で求められる事項を包括するため、例えば、★3を事前に取得していなければ★4を取得できないという関係とはならない。
取引先から ★4 を提示されている場合、★3 を経由せず直接 ★4 を目指せます。
出典：制度構築方針 p.13
要求事項はもう公開されていますか？
はい。IPA が ★3・★4 の要求事項・評価基準を Excel で公開しています（★3・★4 要求事項・評価基準）。ギャップ分析は今から始められます。
要求事項は全43件で、★3 に該当するのは26件です。評価基準は153件あります。「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」の7分類に整理され、NIST CSF の機能に対応づけられています。
実装例をまとめた解説書と、適合・不適合の判断を自身で行うための取得ガイドは、2026年10月頃の公表予定です。
出典：IPA「要求事項・評価基準」
ISMS（ISO/IEC 27001）を取っていれば大丈夫ですか？
費用はいくらかかりますか？
IPA はよくある質問で、★3・★4 の申請・登録にかかる費用は「今後公開予定」としています。現時点では確定していません。
なお ★4 は評価機関による第三者評価と技術検証を伴うため、申請・登録の費用とは別に、評価機関へ支払う費用が発生する構造になります。
出典：IPA「よくある質問」
中小企業向けの支援はありますか？
★3・★4 の取得支援を目的として「サイバーセキュリティお助け隊サービス（新類型）」が検討されています。未達成の要求事項を、サービスの導入によって達成させる考え方です。
IPA は2026年7月13日に、新類型の実証事業に係るサービス提供事業者の公募を開始しています。
また「中小企業の情報セキュリティ対策ガイドライン」第4.0版が SCS評価制度の基本的な考え方を取り込んでおり、付録5「情報セキュリティ関連規程（サンプル）」は ★3・★4 の要求事項・評価基準に対応する形で見直されています。
出典：IPA「関連制度・施策」
制度をかたった勧誘に注意が必要と聞きました
経済産業省が2026年4月にSCS評価制度に関する注意喚起を公表しています。評価機関は2026年12月末頃、セキュリティ専門家は2027年1月以降に IPA が公表する予定で、それ以前に「登録済みの評価機関」を名乗る事業者がいれば、まず疑ってください。
最新情報は IPA の SCS評価制度のページ と メールニュース で確認できます。
このサイトの情報はどこまで信頼できますか？
制度に関する記載は、経済産業省・内閣官房国家サイバー統括室の「制度構築方針」（2026年3月27日）と、IPA が公開している SCS評価制度の各ページ・要求事項の Excel を確認して作成しています。各ページの末尾に出典を記載しています。
ただし本サイトの解説文は、一次情報をもとに当サイトが要約・再構成したものです。正確な表現と最新の内容は、必ず原典をご確認ください。制度は今後も詳細化が進みます。
一次情報の入口：IPA「SCS評価制度」／経済産業省