SCS評価制度★3・★4を委託先へ求めるとき、何をどう依頼すればいいか

発注元として、委託先にSCS評価制度への対応を求めることを検討する場面が出てきています。ただ、実際に依頼しようとすると、何を求めればいいのか、独自のチェックリストを作ってしまってよいのか、委託先にどう説明すればいいのか、迷う場面が多いのではないでしょうか。

この記事では、SCS評価制度の現在地を整理した上で、委託先へ依頼するときに決めておきたいこと、依頼文で気をつけたいこと、チェックシート運用に落とし込むときのポイントを順に見ていきます。

SCS評価制度の概要：★3・★4の要求事項・評価基準

SCS(Supply Chain Security)評価制度は、経済産業省及び内閣官房国家サイバー統括室が、サプライチェーンにおけるセキュリティ対策の状況を可視化するために構築を進めている制度です。2026年3月27日に「制度構築方針」が公表され、企業の立ち位置に応じて必要な対策を示すため、★3・★4（星3・星4）という段階が具体化されました(★5については今後検討されます)。

★3・★4の運用開始(申請受付の開始)は、2027年3月頃(経済産業省の表現では「令和8年度末頃」)を予定しています。★3・★4の要求事項・評価基準そのものは、制度構築方針と同時にすでに公開されていますが、これを満たしているかどうかを判断するための解説書や取得ガイド、実際の申請方法については、2026年秋(10月頃)に公表される見込みです。確認すべき項目自体はすでに分かっているものの、実務上の判断のしかたや手続きは、これから詳しく示されていく段階にあります。

制度の対象は、サプライチェーンを構成する企業等のIT基盤(クラウド環境を含む)です。製造現場の制御システム(OT)や、委託元へ提供する製品そのものは直接の対象ではなく、他の制度やガイドラインに基づく対応が想定されています。

また、大前提として、SCS評価制度は任意の制度です。評価を取得していないことをもって商取引が規制されるものではなく、特定のセキュリティ対策製品の導入が必須とされているわけでもありません。「評価を取得しないと取引ができなくなる」といった形で製品・サービスを売り込む勧誘も報告されており、経済産業省が注意を呼びかけています。

なぜ発注側が委託先に対応を求め始めているのか

サプライチェーンを狙った攻撃は、IPAの情報セキュリティ10大脅威2026でも組織向け脅威の第2位に位置づけられています。委託先や取引先が攻撃の起点になる事例が増えており、発注側企業としても、委託先のセキュリティ対策状況を何らかの形で把握しておく必要性が高まっています。

一方で、これまでは発注企業ごとに独自のチェックリストを作り、委託先へ送るというやり方が一般的でした。委託先からすると、取引先ごとに異なる項目のチェックシートに答えることになり、負担が積み重なります。SCS評価制度は、この「共通のものさし」を用意することで、発注側・委託先双方の負担を軽減しつつ、サプライチェーン全体のセキュリティ水準を底上げすることを狙いとしています。(SCS評価制度対応と言われたら何を確認すべきか｜不安を煽る勧誘に惑わされない委託先管理でも、制度の基本的な考え方を扱っています。)

委託先へ依頼するときに決めておきたいこと

どのレベル(★3・★4)を求めるか

制度上、★3はセキュリティ専門家による確認を経た自己評価、★4は第三者評価機関による評価および技術検証を行う評価スキームとして整理されています。★4では、初期侵入の防御にとどまらず、被害拡大防止、取引先のデータやシステムの保護、サプライチェーン上の役割に応じた強靭化策まで含む水準が求められます。すべての委託先に同じレベルを一律で求める必要はなく、個人データを扱う委託先や、自社システムと直接つながっている委託先を優先して高いレベルを求める、という考え方が現実的です。★3の専門家確認の要件や、自社に該当する専門家がいない場合の選択肢は、SCS評価制度★3の「専門家確認」とは？自社に専門家がいない場合の対応で解説しています。

何を確認するか

要求事項・評価基準はすでに公開されていますので、それを共通のものさしとして参照しながら確認項目を組み立てます。組織体制の整備、取引先の管理、リスクの把握、システムの防御・検知、インシデント対応・復旧など、複数の観点にまたがる内容になっています。細かい判断基準は解説書や取得ガイドの公表(2026年秋頃予定)を待つ必要がありますが、確認項目の骨格自体は今から準備できます。

再委託先への扱いをどうするか

制度上、再委託先は発注元から見て直接の管理対象にはならないものの、委託先を通じて必要に応じて管理することが想定されています。委託先に依頼する際は、「再委託先がある場合はどう扱っているか」を確認項目に含めておくと、あとから抜け漏れに気づくことが少なくなります。

依頼文で気をつけたいこと

発注企業が委託先にセキュリティ対策を要請すること自体が、独占禁止法や取適法(2026年1月に「下請法」から改称された「中小受託取引適正化法」)上、直ちに問題になるわけではありません。ただし、要請の方法や内容によっては、優越的地位の濫用として問題となるおそれがあります。特に次のような点は注意が必要です。

• コスト上昇分を考慮せず、価格交渉の機会を設けないまま取引価格を据え置くこと
• セキュリティ対策費の負担額や算出根拠を明確にしないまま、金銭的な負担を求めること
• 合理的な必要性がないのに、特定のセキュリティ製品・サービスの購入や利用を強制すること

経済産業省と公正取引委員会は、委託先へ★4相当の対策を求める場合の価格交渉の進め方について、想定事例と解説文書も公表しています。依頼文を作る際は、次を意識しておくと、後々のトラブルを避けやすくなります。

• なぜそのレベルを求めるのか、理由を説明する
• 委託先の業務内容・システムとの接続範囲・取り扱う情報に応じて、求める水準を変える
• 委託先にすでに同等の対策や代替手段がある場合は、それを確認する
• コスト増が見込まれる場合は、価格交渉の余地を残す
• 特定のセキュリティ製品・サービスの導入を前提にしない
• 期限だけを一方的に押し付けず、段階的な対応計画も認める

チェックシート運用に落とし込むときのポイント

依頼する項目が決まっても、それを委託先へどう届け、どう回収し、どう確認するかという運用の部分は残ります。委託先の数が増えるほど、依頼・催促・確認・差し戻しのやりとりが積み重なり、担当者の手作業だけでは追いきれなくなりやすくなります。

マモリスは、SCS評価制度の取得申請、専門家確認、第三者評価、技術検証そのものを代替するものではありません。ただし、公開されている要求事項・評価基準をもとに委託先確認用のチェックシートを作成し、委託先へ回答依頼、回収、確認、差し戻し、履歴管理までを扱えます。委託先はアカウント登録・ログイン不要でURLから回答でき、前回回答をもとにしたプリセット設定にも対応しているため、制度の詳細が固まった後の年次確認・更新確認にも使いやすくなっています。(SCS評価制度で委託先管理はどう変わる？委託先管理ツール・チェックシート運用で準備できることで、運用面をもう少し詳しく扱っています。)

よくある質問（FAQ）

Q1. SCS評価制度は法律で義務付けられていますか？

任意の制度です。評価を取得していないことをもって商取引が規制されるわけではありません。ただし、2社間の取引条件として、委託元が委託先に適切な段階を提示することは想定されています。

Q2. すべての委託先に★4を求めてもよいですか？

一律に求めるのではなく、委託内容、システムとの接続範囲、取り扱う情報、代替可能性、委託先の規模や実態を踏まえて判断することが望ましいです。要請の方法や費用負担の進め方によっては独占禁止法・取適法上の問題が生じ得るため、対話と価格交渉の余地を残すことが重要です。

Q3. 独自のチェックリストとSCS評価制度、どちらで依頼すればよいですか？

SCS評価制度の要求事項・評価基準を共通のものさしとして参照しつつ、自社固有のリスクや委託内容に応じた補足項目を追加していく進め方が現実的です。

Q4. マモリスでSCS評価制度の取得までできますか？

取得申請、専門家確認、第三者評価、技術検証そのものを代替するものではありません。委託先への確認項目の作成、依頼、回答回収、確認、差し戻し、履歴管理を運用しやすくするためのツールとして位置づけています。

Q5. いまから委託先に何を依頼すべきですか？

いきなり「★4を取得してください」と依頼するのではなく、まずは現在の対策状況、取得予定、対応計画、再委託先の管理状況、システムとの接続範囲を確認するところから始めるのが現実的です。

参考情報

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針を公表しました」
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」
• IPA「SCS評価制度の詳細情報」
• IPA「要求事項・評価基準」
• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)よくある質問」
• IPA「情報セキュリティ10大脅威 2026」
• 経済産業省「SCS評価制度に係る不適切な勧誘に御注意ください」
• 経済産業省「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」
• 公正取引委員会「中小受託取引適正化法(取適法)関係」