発注元・調達部門

制度が想定している使われ方

IPA は、制度の想定として「2社間の取引契約等において、委託元が、委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認すること」を挙げています。つまり発注元は、★を提示する側です。

制度構築方針では、対策の実施主体として想定されているのはサプライチェーン企業（2社間の契約における受注者側）ですが、受注者が対策を実施するには発注者の協力が必要な場合があるため、制度利用者の範囲には発注者も含まれます。

1. 委託先の棚卸し

最初にやるのは認証の取得ではなく、現状把握です。

• どの会社に、どの業務を委託しているか
• その委託先に、どの情報を渡しているか
• その委託先が止まったとき、自社の事業がどれだけ止まるか
• 再委託が発生しているか、把握できているか

2. 提示する★の基準を決める

★3 と ★4 は、想定する脅威が違います。棚卸しの結果をこの線で仕分けると、提示基準を作りやすくなります。

• ★3：広く認知された脆弱性等を悪用する一般的なサイバー攻撃を想定。全てのサプライチェーン企業が最低限実装すべき水準
• ★4：供給停止等でサプライチェーンに大きな影響をもたらす企業への攻撃、機密情報等の漏えいで大きな影響をもたらす資産への攻撃を想定

委託先が ★3 を持っていなくても ★4 を目指せます（上位の段階は下位の段階を包括するため）。「まず★3から」と一律に求める必要はありません。

3. 契約・発注プロセスと、価格交渉の扱い

制度構築方針では、取引先への要請に関する考え方の整理として「発注元企業は、★取得による価格交渉に積極的に対応する必要があり、かつ委託先にこれを周知する必要がある」といった点が挙げられています。対策を求めるだけで費用を負担しない運用は想定されていません。

経済産業省と公正取引委員会は、独占禁止法・取適法（旧下請法）上「問題とならない」想定事例とその解説文書を作成しています（サプライチェーン全体のサイバーセキュリティの向上のための取引先とのパートナーシップの構築に向けて）。要請の設計時に確認してください。

よくあるつまずき

• 全社一律で ★4 を求めてしまい、中小の委託先が対応できず調達が止まる
• 棚卸しを情報システム部門だけで進め、実際の取引実態と合わない
• 再委託先が視野から抜ける
• 対策だけ求めて、費用の負担と価格交渉の窓口を用意していない

出典

経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日、PDF）

IPA「SCS評価制度の詳細情報」

IPA「関連制度・施策」

本ページの解説文は、上記の一次情報をもとに当サイトが要約・再構成したものです。正確な表現は原典をご確認ください。