取引先から「SCS評価制度に対応してほしい」と言われたら
ここ1年ほどで、製造業や物流の中小企業から「発注元からSCS評価制度の話が来た。うちは何をすればいいのか」という相談が増えてきました。
SCS評価制度は、経済産業省が中心になって作っている「サプライチェーン強化に向けたセキュリティ対策評価制度」の略称です。ニュースや解説記事では「セキュリティ対策評価制度」と呼ばれることもあります。大企業だけでなく、その取引先である中小企業のセキュリティ対策を、共通の物差しで「見える化」しようという制度です。
先に結論を書いておきます。
- ★3・★4の申請受付は「2026年度末頃（2027年1〜3月頃）」に始まる予定です（2026年11月時点。経済産業省は、制度運営の準備状況によって変わる可能性があるとしています）
- 中小企業がまず目指すのは★3。★3は専門家の確認を受けたうえでの自己評価です
- いきなり★3が難しいなら、IPAのSECURITY ACTION（★1・★2）から始めるのが現実的です
この記事では、経済産業省が2026年3月27日に公表した「制度構築方針」と関連資料、IPAの公開情報をもとに、制度の中身と中小企業の準備の進め方を整理します。記載内容は2026年11月時点の情報です。評価基準の細部は今後公表される資料で確定するため、申請前には必ず経済産業省・IPAの最新情報を確認してください。
---
SCS評価制度とは
制度の目的
狙いは、サプライチェーン全体のセキュリティの底上げです。
近年のサイバー攻撃では、セキュリティの固い大企業を直接狙うのではなく、取引先や委託先の中小企業を踏み台にして侵入する手口が目立ちます。いわゆるサプライチェーン攻撃です。部品メーカーがランサムウェアに感染し、納入先の工場が操業停止に追い込まれた、という事例は国内でも起きています。
これまでも発注元は、取引先に独自のチェックシートを送ってセキュリティ状況を確認してきました。ただ、発注元ごとに項目も形式もバラバラで、取引先が多い中小企業ほど回答の負担が重くなっていました。しかも自己申告なので、本当にできているかは確認しようがありません。
SCS評価制度は、この状況を変えるための仕組みです。
- 対策の水準を★（星）の段階で共通化する
- 発注側は「★3以上」のように、取引先に求める水準を示しやすくなる
- 受注側は一度評価を受ければ、複数の取引先に同じ結果を示せる
誰が運営するのか
制度の検討は、経済産業省と内閣官房の国家サイバー統括室が中心になって進めています。2025年4月に中間取りまとめ、2025年12月26日に制度構築方針（案）が公表され、パブリックコメントを経て2026年3月27日に「制度構築方針」として確定しました。制度の運営や情報公開にはIPA（情報処理推進機構）も関わる予定で、★3・★4を取得した企業は制度事務局のWebサイトなどで公表される見込みです。
対象になる企業
法律で義務づけられる制度ではなく、任意の制度です。ただし実際には、取引先から求められる形で対応が必要になるケースが多いと考えられます。解説資料では、事業上重要な業務がITに依存している企業が主な対象とされ、単発の購買取引のような一時的な取引先までは想定されていません。
---
★3・★4・★5の違い
SCS評価制度は、IPAのSECURITY ACTION（★1・★2）に続く段階として、★3・★4・★5の3段階を設けています。
| 段階 | 位置づけ | 想定する脅威 | 評価方式 | 有効期間 | |---|---|---|---|---| | ★1・★2（SECURITY ACTION） | 対策に取り組むことの自己宣言 | — | 自己宣言（審査なし） | — | | ★3（Basic） | すべてのサプライチェーン企業が最低限備えるべき対策 | 広く知られた脆弱性を悪用する一般的なサイバー攻撃 | 専門家の確認を受けた自己評価 | 1年（毎年更新） | | ★4（Standard） | サプライチェーン企業が標準的に目指すべき対策 | サプライチェーンに大きな影響を与える攻撃、機密情報を狙う攻撃 | 第三者評価機関による評価 | 3年（間の年も自己評価が必要） | | ★5 | 到達点として目指すべき対策 | より高度な攻撃 | 第三者評価（予定） | 検討中 |
※2026年11月時点。経済産業省の制度構築方針と、それを解説した資料に基づいて整理しています。
★3：まず全員が目指す最低ライン
★3は、OSやソフトウェアの更新、ウイルス対策、パスワードやアカウントの管理、バックアップ、従業員への教育など、基本的な対策が中心です。
評価は自己評価ですが、社内外のセキュリティ専門家（情報処理安全確保支援士などの有資格者を含む）による確認・助言を受けることが前提になっています。「自分たちでチェックシートに丸を付けて終わり」ではない点が、SECURITY ACTIONとの大きな違いです。
★4：取引先管理や体制まで含む
★4は★3の内容を含んだうえで、セキュリティの責任者を決めること、委託先の管理、インシデント対応の手順と訓練など、組織としての体制まで求められます。第三者評価機関が書類の確認や実地での審査を行う方式です。
要求事項の数は、★3が20数項目、★4が40数項目と解説されています（数え方によって資料ごとに1〜2項目の差があるため、正確な数は公式の評価基準で確認してください）。
★5：今後具体化
★5は、制度構築方針の時点では「2026年度以降に要求事項・評価基準や評価スキームを具体化する」とされており、2026年11月時点で中小企業が気にする段階ではありません。
---
制度開始のスケジュール
| 時期 | 内容 | |---|---| | 2025年4月 | 中間取りまとめの公表 | | 2025年12月26日 | 制度構築方針（案）の公表、意見公募 | | 2026年3月27日 | 制度構築方針の確定・公表 | | 2026年4月〜 | 制度立ち上げの準備期間 | | 2026年秋頃（予定） | 要求事項を満たす実装例などをまとめた評価ガイド等の公表 | | 2026年度末頃（予定） | ★3・★4の制度開始（申請受付の開始） |
ネット上には「2026年10月開始」「2026年度下期から開始」と書いた記事も残っていますが、これは方針が固まる前の見込みです。2026年11月時点での公式の目標は「2026年度末頃」です。
評価ガイドの公表状況や申請窓口は、経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」のページで随時更新されます。
---
SECURITY ACTIONとの関係
SCS評価制度を調べると、必ずIPAのSECURITY ACTIONが出てきます。
SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自分で宣言する制度です。一つ星は「情報セキュリティ6か条」に取り組む宣言、二つ星は「5分でできる！情報セキュリティ自社診断」の実施と情報セキュリティ基本方針の公開が条件です。審査はなく、無料で宣言できます。
SCS評価制度の★3・★4・★5は、このSECURITY ACTIONの★1・★2に続く段階として設計されています。つまり、
という順番で考えると無理がありません。SECURITY ACTIONの宣言手順は「SECURITY ACTIONとは？一つ星・二つ星の宣言手順」で詳しく解説しています。デジタル化・AI導入補助金（旧IT導入補助金）の申請要件でもあるので、補助金を検討している会社は先に済ませておくと二度手間になりません。
---
取引先から対応を求められたときの考え方
「いつまでに、どの★か」をまず確認する
取引先からの要請は、表現がさまざまです。「SCS評価制度に対応してください」とだけ言われた場合は、次の3点を確認しましょう。
- 求められているのは★3か★4か
- 期限はいつか（制度開始は2026年度末頃なので、それより前に「取得」を求めるのは時期的に無理があります）
- 取得までの間、従来のチェックシートで代替できるか
発注側にもルールがある
一般論として、取引上の立場を利用して対策費用を一方的に負担させるような要請は、独占禁止法（優越的地位の濫用）や中小受託取引適正化法（旧下請法）の観点から問題になりうるとされています。具体的な扱いは経済産業省・公正取引委員会の最新資料で確認してください。要請を受けた側は、必要な費用や期間について発注元と話し合う余地がある、ということは知っておいてよいでしょう。
受注側にとってはチャンスでもある
★3・★4の取得企業は公表される予定です。セキュリティ対策を「見せられる」ことは、新規の取引先開拓や入札でもプラスに働きます。守りの話に見えて、実は営業材料にもなります。
---
中小企業が今からできる準備
制度開始まで時間があるうちに、次の順で進めておくと、評価ガイドが出たときに慌てずに済みます。
1. 自社の現状を把握する
IPAの「5分でできる！情報セキュリティ自社診断」で、今の状態をざっくり把握します。社内のパソコン・サーバー・クラウドサービスの一覧（IT資産の棚卸し）もこの段階で作っておくと、後の作業がぐっと楽になります。
2. SECURITY ACTIONの二つ星を宣言する
自社診断の実施と基本方針の公開が二つ星の条件なので、ステップ1と自然につながります。
3. ★3の基本対策を固める
★3で求められる対策の多くは、IPAの「中小企業の情報セキュリティ対策ガイドライン」（2026年3月に第4.0版へ改訂）と重なります。特に次の項目は、評価ガイドを待たずに着手できます。
| 分野 | 具体的な対策 | |---|---| | 資産管理 | IT資産・アカウントの一覧化、退職者アカウントの削除 | | 更新管理 | OS・ソフトウェア・VPN機器などの更新を定期的に適用 | | マルウェア対策 | ウイルス対策ソフトの導入と更新 | | アクセス管理 | 強いパスワード、多要素認証、管理者権限の限定 | | バックアップ | 定期的な取得、ネットワークから切り離した保管、復元テスト | | 教育 | 標的型メールや詐欺の手口の周知、年1回以上の研修 | | インシデント対応 | 連絡体制、初動の手順、相談先の整理 | | 取引先・委託先 | 委託先に求めるセキュリティ条件の整理 |
中小企業向けの具体的な進め方は「中小企業のセキュリティ対策ガイド」にまとめています。
4. ルールを文書にする
★3以上では、対策を「やっている」だけでなく、方針や手順として文書で示せることが大事になります。情報セキュリティポリシーや、最近増えている生成AIの利用ルールもこのタイミングで整えておきましょう。
5. 確認してもらう専門家を探す
★3は専門家の確認が前提です。社内に有資格者がいない場合は、外部の専門家やセキュリティ事業者に依頼することになります。制度開始直前は依頼が集中することも考えられるので、早めに相談先を決めておくと安心です。
---
費用と支援策
SCS評価制度の評価費用は、2026年11月時点では確定していません。制度構築方針では、特定のセキュリティ製品の導入を必須にするものではないとされています。
中小企業向けには、IPAの「サイバーセキュリティお助け隊サービス」があり、経済産業省は本制度に対応したお助け隊サービスの新しい類型の検討も進めています。また、デジタル化・AI導入補助金の「セキュリティ対策推進枠」では、お助け隊サービスの利用料が補助対象です。補助金の詳細は「デジタル化・AI導入補助金2026の解説」を参照してください。
---
まとめ
- SCS評価制度は、経済産業省などが作る「サプライチェーン強化に向けたセキュリティ対策評価制度」
- ★3は最低限の対策（専門家確認付き自己評価・有効期間1年）、★4は標準的な対策（第三者評価・3年）、★5は今後具体化
- ★3・★4の申請受付は2026年度末頃の開始予定（2026年11月時点）
- SECURITY ACTION（★1・★2）から段階的に進めるのが現実的
- 制度開始前でも、資産管理・更新・バックアップ・ルールの文書化は今すぐ始められる
---
SCS評価制度の準備をSwaaabがお手伝いします
Swaaabでは、AIセキュリティ対策支援として、中小企業のセキュリティ対策の現状整理、情報セキュリティポリシーや生成AI利用ルールの作成、社員研修、AIツールを安全に使うための設定・運用づくりを支援しています。脆弱性診断などの専門的な検査が必要な場合は、提携する専門事業者をご紹介する形で対応します。
「取引先から言われたが、何から手をつければいいか分からない」という段階でも構いません。お問い合わせからお気軽にご相談ください。
Written by
Swaaab編集部
広島を拠点に、AI開発・DX支援・Web制作を手がける株式会社Swaaabの編集チーム。現場で得た知見をもとに、実践的な情報を発信しています。