SCS評価制度とは｜★3・★4の違い・登録料・2027年3月受付開始予定までの準備

SCS評価制度とは：先に結論と確認日時

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、取引先ごとに違っていたセキュリティの求めを、共通の★で示す制度です。IPA（情報処理推進機構）が運営し、★3と★4の受付開始は2027年3月の予定です。

この記事は、取引先から「★は取っていますか」と聞かれたときに、何を確かめ、誰が何を決め、いつ動くかを整理します。経済産業省とIPAの資料を、2026年11月3日 9時時点で確認しました。

先に結論です。

• 求められるか：IPAは、委託元が委託先に★を示す形を「想定」しています。取得は任意で、制度が義務付けるものではありません。
• ★の違い：★3は専門家の確認つきの自己評価（26項目・有効期間1年）、★4は第三者評価（43項目・3年）です。
• 時期：★3・★4の受付開始は2027年3月の予定です。11月3日の確認時点で、申請はできません。
• 費用：IPAへの登録料は、★3が10,000円（1年分・2028年3月31日までの料金）、★4が60,000円（3年分）です。そのほかの費用の公式の金額は、確認できませんでした。
• 最初の動き：取引先に聞く、SECURITY ACTIONを宣言する、★3の26項目を読む、持ち物を数える、の4つです。

状況は変わりえます。最新はIPAと経済産業省のページで読み直してください。事故が疑われたときの報告は、漏えい報告の記事に分けています。

目次

SCS評価制度とは：誰が誰に何を求める制度か

IPAは、委託元（発注する会社）が委託先（受注する会社）に必要な段階の★を示し、対策を促し、実施状況を確認する形を「想定」しています。いわば、取引先ごとにばらばらだった安全点検表を、共通の1枚にそろえる仕組みです。

IPAが挙げる背景は、委託元は委託先の対策が見えにくく、委託先は委託元ごとに違う求めへの対応が負担になる、という課題です。IPAの調査では、2023年度にサイバーインシデント（事故）の被害を受けたと答えた975社のうち、「特に無し」を除く約7割が、取引先に影響があったと答えています（2025年2月の速報版）。

制度の性格は、次の4点です。

• 任意：取得は任意で、取引条件にするかは契約当事者が決めます（IPAのFAQ）。
• 格付けでも保証でもない：競わせる格付けではない（経済産業省）、事故のないことの保証でもない（IPAの概要資料）と、公式に書かれています。
• 対象：業種や規模を問いません。取得の単位は原則として法人又は個人事業主です。範囲はIT基盤（クラウドを含む）などで、工場の制御システムと、発注元に納める製品は直接の対象ではありません。
• 公開：取得した企業は、IPAのサイトで公開されます（FAQ）。

★3と★4の違い：評価の方法・項目数・有効期間

段階は★3と★4で、★5は検討中です。上位は下位の要求事項を含むため、★3を取っていなくても★4を申請できます。たとえるなら、★3は年1回の自主点検、★4は外部の検査員が来る検査のようなものです。

★3の流れは、自己評価を書く、SCSセキュリティ専門家が確認して署名する、経営層が自己適合宣言をする、IPAへ登録を申請する、の順です。専門家は社内の人も社外の人も想定されていますが、資格と研修、IPAへの登録が要ります。★3・★4とも、取得には原則として全ての評価基準への適合が求められます（IPAの概要資料とFAQ）。不適合が見つかっても、是正して専門家（★4は評価機関）の了承を得られれば取得できます。

★4は、評価機関が文書確認、実地審査、技術検証（脆弱性検査）を行います。技術検証の対象は、インターネットに公開している機器のうち侵入のリスクが高いもの（例：社外から社内に接続するVPN装置、ルータ）と、IPAの資料にあります。所要は各段階1〜2日程度の想定です（準備と報告書作成を除く）。

いつ何が決まっているか：公表済みと予定を分ける

日付を、公表済みのものと予定のものに分けました。予定は、経済産業省も「制度運営基盤の整備状況等により変更となる可能性」と書いています。

11月3日の確認時点で、★3・★4を申請できる窓口は開いていません。一方、要求事項や評価用ガイドは公表済みで、申請の前に中身を読めます。

自社に関係があるか：判断の材料は取引先の要請

業種や規模を問わず対象になりえますが、取得は任意で、取引条件にするかは契約当事者が決めます。経済産業省のお助け隊のページは「施行後は★取得を要求されることが想定される」と書いていますが、これは同省の想定です。

当社の整理では、次のどれかに当たれば、取引先から話が出る可能性を見ておきます。

• 取引先から、セキュリティのチェックシートや質問票が届いたことがある。
• 取引基本契約や発注書に、セキュリティの条項がある、または改定の案内が来た。
• 取引先の説明会や通知で、★やSCS評価制度に触れていた。

どれにも当てはまらない場合は、受付開始に向けて、読む・数える準備から始める進め方もあります。取引先が個別に求めてくるかどうかは、公式資料では分かりません。

要請を受ける場合の参考として、経済産業省と公正取引委員会が、取適法（旧下請法）などとの関係を整理した想定事例と解説を出しています。価格交渉の機会を設けて十分に協議することが望ましい、と書かれています。

★3の26項目に書かれていること

要求事項は「何を満たすか」の見出し、評価基準は「満たしたと判断する細かい基準」です。試験でいうと、科目と採点基準のようなものです。★3の要求事項は26件で、IPAは、ポリシー策定などの組織的対策が多く含まれると説明しています。

評価基準（Ver.1.1）の★3には、次のような決めごとが入っています。

• バックアップ：取る対象、頻度、保管期間を決めて取ります。重要な機密情報は、遠隔地にも置きます。
• インシデント対応：発見報告、初動、調査と対応、復旧、最終報告の手順を定めます。
• 取引先との役割：機密情報を共有する取引先との間で、事故が起きたときの役割と責任を決めます。

IPAは、特定のセキュリティ製品の導入を求めるものではないと説明しています。更新の優先順位は脆弱性まとめ（2026年10月）の記事、ID とパスワードの守り方はパスワード管理ツールの記事、取引先に預けるデータの確認はベンダー審査の記事、事故の前に経営者が決めておくことはランサムウェアへの備えの記事にあります。

費用と支援：登録料と、お助け隊（新類型）の実証

IPAの料金表（2026年9月18日付、税込）は、登録料を図のとおり示しています。受付は2027年3月以降に始める予定です。

料金表に載っていないのは、専門家に確認を頼む料金、★4で評価機関に支払う費用、対策に要する機器・サービス・社内の手間です。これらの金額は、IPAの資料で確認できませんでした。

支援策は、サイバーセキュリティお助け隊サービス（新類型）です。★3・★4の取得を目的に、診断、ITツールの導入、規程の整備や教育をまとめて支援する民間サービスで、IPAは2027年度末までの制度化を目指しています。既存のお助け隊サービスだけでは、★3の一部しか満たせないと、IPAは書いています。

実証事業が進んでおり、IPAによると、参加は無償（SCS評価制度の対策の範囲で最大1年程度）で、15事業者が参加しています。実証期間後の継続は有償です。事業者ごとに対象エリアと募集状況が違い、神奈川を対象に含む事業者もあります（11月3日の確認時点）。

「取らないと取引できない」という営業への見方

経済産業省と国家サイバー統括室は2026年4月27日に、SCS評価制度を引き合いにした営業への注意喚起を出しています。「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった勧誘が報告された、という内容です。

同じ注意喚起によると、制度は任意で個社間の商取引に規制措置を講じるものではなく、評価基準の達成に特定の製品の導入は必須ではありません。公共の入札で要件になるかは、調達する機関の判断です（IPAのFAQ）。正しい情報は、IPAから入手するよう案内されています。

当社の整理では、受付が始まっていない★を「すぐ取れる」と案内する話は、公式の日程と合いません。急がせる連絡への見方は、社長を装う送金指示の記事にもあります。

最初にやる4つ：聞く・宣言する・読む・数える

ここからは当社の整理で、公式の手順書そのものではありません。

① 取引先に聞く

取引先の購買や情報システムの担当に、次の5点を聞きます。

• ★を求める予定はありますか。あるなら、★3と★4のどちらですか。
• 求める時期はいつですか（受付開始は2027年3月の予定です）。
• ★の取得の有無だけでなく、要求事項を共通のチェックリストとして使いますか（FAQは、そうした使い方も想定されるとしています）。
• 対策の費用や取引価格について、話し合う場はありますか。
• 契約期間中は、★の維持を求めますか（FAQは、契約満了までの維持を求める運用が考えられるとしています）。

② SECURITY ACTIONを宣言する

IPAは、★3・★4の準備段階として、まずSECURITY ACTION（中小企業が自分で対策への取り組みを宣言する制度）から始めようと案内しています。一つ星は「情報セキュリティ6か条」に取り組む宣言で、ロゴマークを無料で使えます。対策の実施前でも申し込めます。イメージとしては、健康診断の前に体重と血圧を測っておくようなものです。

二つ星は、25項目の自社診断を行い、情報セキュリティ基本方針を作って公開する宣言です。SECURITY ACTIONの星とSCS評価制度の★3・★4は、別の制度です。

③ ★3の26項目を読む

公式の「要求事項・評価基準」（Excel）と、自己評価等ガイドのアセスメントシート（自己評価を書く様式）で、26項目を読みます。「できている」「一部」「できていない」「分からない」の4つに印をつけるだけで、おおまかな位置が見えます。規程の雛形は、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版の付録5にあり、★3・★4との対応表が付いています。

④ 持ち物を数える

パソコン、サーバー、ネットワーク機器、使っているクラウド、預けているデータを一覧にします。たとえるなら、引っ越しの前に荷物のリストを作るようなものです。同じガイドラインの付録6に、資産管理台帳のひな形があります。持つデータを減らす考え方はデータ最小化の記事にあります。

決める人の整理も、当社の案です。取引先への確認と、★を取るかどうかの判断は、経営者です。26項目の読み合わせと一覧づくりは、情報システム担当と総務が受け持ちます。ひとり情シスなら、読み合わせを経営者と1回行い、できていない項目に担当と期限をつけます。

確認できなかったこと

公式の資料で確認できなかった点です。「書かれていない」ことは、「ない」ことではありません。

• 専門家への確認の依頼料、★4の評価の費用、対策に要する機器・サービスの費用の金額（IPAの料金表には登録料だけが載っています）。
• 評価機関と研修事業者の名前（12月下旬に公表予定）、SCSセキュリティ専門家の名前（2027年1月以降に公表予定）、それぞれの価格（公表時期は書かれていません）。
• 登録申請に必要な書類と手順（「登録申請の手引」は11月末頃の公表予定です）。
• ★5の内容と時期（検討中です）。
• どの業種の取引先が、いつ、どの★を求めるか。
• ISMS（情報セキュリティマネジメントシステム）との詳しい比較。IPAのFAQは相互補完的な制度とし、比較は制度構築方針のp.28を案内しています。経済産業省の本文PDFは自動取得できず、読めていません。

よくある質問

従業員が数人の会社や個人事業主でも、関係しますか。

IPAのFAQは、業種や企業規模を問わず対象になりうるとしています。取得の単位は原則として法人又は個人事業主です。取引先の要請がなくても、自主的に取得することが考えられると書かれています。

★を取らないと、取引停止になりますか。

IPAのFAQは、★の取得は任意で、全ての要求事項を満たしていないことを理由に直ちに取引停止等が求められるものではない、としています。取引上の要件にするかは、契約当事者間で決めます。

★3を取ってから★4に進む必要はありますか。

必要ありません。上位の段階は下位の段階の要求事項を含むため、★3を取得していなくても★4の登録申請ができます（IPA）。

★3の申請は、いつ、どこへ出しますか。

申請先は制度を運営するIPAで、★3・★4の受付開始は2027年3月の予定です。11月3日の確認時点では申請できません。「登録申請の手引」は11月末頃に公表する予定と、IPAのFAQにあります。

営業から「取得しないと取引が規制される」と言われました。本当ですか。

経済産業省と国家サイバー統括室は、そうした営業を引き合いにした勧誘が報告されているとして、注意を呼びかけています。本制度は任意で、個社間の商取引に規制措置を講じるものではなく、特定の製品の導入も必須ではありません。正しい情報はIPAから入手するよう案内されています。

まとめ

SCS評価制度の★は任意で、取引条件にするかは取引先と自社の間で決まります。受付は2027年3月の予定です。最初にやるのは、取引先に聞く、SECURITY ACTIONを宣言する、★3の26項目を読む、持ち物を数える、の4つです。

参照元・出典

• IPA（SCS評価制度）：トップ、詳細情報、要求事項・評価基準、よくある質問、料金設定のお知らせ、概要説明資料、関連制度・施策、制度規程・委員会
• 経済産業省：SCS評価制度、不適切な勧誘への注意喚起、お助け隊サービス（新類型）、取引先とのパートナーシップの構築に向けて
• IPA（中小企業向け）：お助け隊（新類型）実証事業、SECURITY ACTION、中小企業の情報セキュリティ対策ガイドライン、2024年度中小企業等実態調査（速報版）

本記事は 2026年11月3日 9時の確認時点のものです。