SCS評価制度とは？中小企業が取引先に言われたときの対応

取引先から「SCS評価制度への対応を考えてほしい」「★3を確認している」と言われ、何を求められているのか分からず不安になっていないでしょうか。

SCS評価制度は、会社のセキュリティ対策を★で示し、取引先どうしで確認しやすくするための制度です。ただし、★の取得は任意です。取得していない会社との取引を一律に規制する制度ではありません。

経済産業省は、「今すぐ評価を取得しないと入札から除外される」などと急がせる勧誘について注意を呼びかけています。営業を受けたからといって、その場で製品やサービスを契約するのではなく、取引先が何を求めているのか、IPAがどのように案内しているのかを落ち着いて確かめることから始められます。

SCS評価制度とは、どんな制度？

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、略称が「SCS評価制度」です。経済産業省と内閣官房国家サイバー統括室が検討し、2026年3月27日に制度構築方針を公表しました。

この制度が考えられた背景には、発注する側と受注する側、それぞれの困りごとがあります。

発注する側にとっては、取引先がどのようなセキュリティ対策をしているのかを判断しにくいという問題があります。一方、受注する側には、複数の取引先から、それぞれ異なる対策や確認を求められる負担がありました。

SCS評価制度では、2社間の取引で、発注する側が受注する側に適切な段階（★）を示し、対策を促したうえで、実施状況を確認する使い方が想定されています。

会社の優劣を★の数で競わせる格付けではありません。取引の内容に応じて、どの程度の対策を確認するかを話し合うための共通の目安です。

制度を運営するのは、IPA（情報処理推進機構）です。IPAは2026年10月に、要求事項・評価基準や自己評価のためのガイドを公式サイトで公開しています。

★3と★4はどう違い、いつから申し込める？

SCS評価制度には★3と★4があり、★5は今後検討される予定です。★3と★4では、想定する攻撃や評価方法、有効期間が異なります。

SCSセキュリティ専門家とは、情報処理安全確保支援士などの資格を持ち、研修を受けて登録された人です。★3だから会社だけで申告して終わる、という仕組みではありません。

2026年11月4日現在、★3・★4の登録申請は2027年3月に受付開始の予定です。申請方法の手引は2026年11月末頃に公表される予定ですが、開始時期は変わる可能性があります。

登録の費用は、★3が1年ごとに20,000円です。2028年3月31日までは割引があり、10,000円とされています。★4は3年ごとに60,000円です。

これは制度への登録にかかる費用です。登録の費用とは別に、専門家への確認や評価機関への評価を頼む費用がかかることもあります。営業で提示された金額を見るときは、「登録の費用だけなのか」「確認や評価を含むのか」を分けて考える必要があります。

中小企業が★3・★4を安く簡単に取得できるよう、「サイバーセキュリティお助け隊サービス」に新しい類型をつくる予定も示されています。2026年9月から実証事業が行われています。

取得しないと取引できなくなる？

SCS評価制度の★を取得するかどうかは任意です。国が、取得していない会社の商取引を一律に止める制度ではありません。

ただし、実際の取引で★の取得を条件にするかどうかは、発注する会社と受注する会社の当事者どうしで決めます。そのため、「任意だから取引先からの話を無視してよい」という意味でもありません。

取引先からSCS評価制度の話が出たら、次の内容を確かめてみてください。

• ★3と★4のどちらを求めているのか
• 取得そのものが必要なのか、準備状況の確認なのか
• いつ頃までの対応を想定しているのか

要求事項をすべて満たしていない場合でも、直ちに取引停止などが求められるわけではありません。未対応の項目があるときにどのように扱うかも含め、取引先と話し合うことになります。

「★3という言葉だけ聞いた」「担当者から詳しい説明を受けていない」という段階なら、製品を探し始める前に、何を求められているのかを具体的に確認したほうが状況を整理しやすくなります。

「今すぐ取らないと」と勧められたら？

経済産業省は2026年4月27日、SCS評価制度に関する不適切な勧誘への注意を呼びかけました。

報告されているのは、「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった説明による営業です。

SCS評価制度は任意であり、個々の会社の取引を規制する制度ではありません。また、評価の基準を満たすために、特定のセキュリティ製品を導入することも必須ではありません。

営業担当者から制度の説明を受けたときは、その会社の資料だけで判断せず、IPAの公式サイトで制度の内容や開始時期を確かめてください。経済産業省も、正しい情報はIPAから得るよう案内しています。

特定の製品を入れれば自動的に★を取得できる、という制度でもありません。製品の購入と評価の取得をひとまとめにして急かされた場合は、何の費用なのか、取引先から本当に求められている対応なのかを切り分けて考えてみてください。

何から確かめればいい？

取引先から話があった場合は、求められている★と時期を確認したうえで、IPAが公開している要求事項・評価基準や自己評価のガイドを見てみてください。

専門用語が多く、社内だけでは判断しにくい項目もあると思います。すぐに申請や製品購入へ進むのではなく、会社で使っているパソコン、ソフトウェア、データの管理方法などを整理すると、確認が必要な場所が見えやすくなります。

★3の要求事項には、たとえば次のような内容が含まれています。

• 適切なバックアップを行うこと
• 情報機器、OS、ソフトウェアにセキュリティパッチやアップデートを適用する手続を定めること

ホームページやメールも、会社が仕事で使うものの一つです。WordPressやプラグインの更新が長く止まっていないか、メールの設定や管理者が分からない状態になっていないかも、この機会に見直せます。

なお、SECURITY ACTIONはSCS評価制度とは別の制度です。名称やセキュリティ対策に関する取り組みという点が似ていますが、同じ申請や評価ではないため、混同しないようにしてください。

どこに相談すればいいか分からないときは

SCS評価制度の評価や取得については、IPAの公式情報を確認し、必要に応じてSCSセキュリティ専門家や評価機関への相談を検討することになります。

当社は評価機関でもSCSセキュリティ専門家でもないため、★の取得代行や評価は行っていません。ただし、ホームページやメールの設定、WordPressの更新など、Webまわりが現在どうなっているかは確認できます。

以前の制作会社との契約が終わっている、ホームページを管理している人が分からないなど、Webまわりをどこに相談すればいいか迷っている場合は、確認だけでもお気軽にご相談ください。

まとめ

SCS評価制度は、発注する側と受注する側が、取引に必要なセキュリティ対策を確認しやすくするための任意の制度です。★3と★4では評価方法や有効期間が異なり、登録申請は2027年3月に始まる予定です。

取得していないからといって、国が一律に取引を規制するわけではありません。「今すぐ取らないと取引できない」という営業だけで判断せず、特定の製品が必須ではないことも覚えておいてください。

まずは、取引先がどの★をいつ頃までに求めているのかを確かめてみてください。そのうえで、IPAの公式サイトにある最新情報と自己評価のガイドを確認するところから始められます。