SCS評価制度とは？対象企業、★3・★4の違い、取得の流れと費用

SCS評価制度は、正式名称を「サプライチェーン強化に向けたセキュリティ対策評価制度」といい、経済産業省と内閣官房国家サイバー統括室の監督のもと、IPA（独立行政法人情報処理推進機構）が運営する評価制度です。2026年3月に制度構築方針が公表され、★3・★4の申請受付は2027年3月に始まる予定です。2026年9月には★3・★4の登録料も公表されました。

「取引先からSCSの話が出た」「ニュースで名前を見たが、自社に関係あるのか分からない」という段階の方に向けて、この記事では制度の全体像を扱います。対象、★3・★4の違い、SECURITY ACTIONとの違い、取得の流れ、費用、今後の予定を順に見ていきます。

本記事の内容は、2026年10月13日にIPA・経済産業省の公表資料で確認したものです。解説書や登録申請の手引は2026年10月下旬に公表される予定のため、公表後に内容を見直します。最新情報はIPAの公式ページをご確認ください。

項目	内容
正式名称	サプライチェーン強化に向けたセキュリティ対策評価制度
運営	IPA（経済産業省・内閣官房国家サイバー統括室が監督）
義務か	法律上の義務ではない任意の制度。取引契約などで、委託元が委託先に★を提示する使い方が想定されている
対象	サプライチェーンを構成するすべての企業等。評価するのは自社のIT基盤（クラウドを含む）
★3	要求事項26件。専門家確認付き自己評価。有効期間1年
★4	要求事項43件。評価機関による第三者評価（実地審査・技術検証を含む）。有効期間3年
申請受付	2027年3月から開始予定
登録料（取得にかかる費用の一部）	★3は1万円（1年分）、★4は6万円（3年分）。2028年3月31日までの申請の場合。税込。登録料とは別に、依頼内容や自社の対策状況に応じて費用が発生する
未公表のこと	解説書・登録申請の手引（10月下旬予定）、評価機関の名称、第三者評価などの費用、★5の内容

SCS評価制度は、企業のセキュリティ対策の状況を共通の基準で評価し、取得した★を台帳に登録・公開する制度です。星の数で企業同士を競わせる格付けではなく、サプライチェーンの中で必要な対策を確認しやすくするための共通の物差しとして位置づけられています。

これまで、取引先のセキュリティ対策を確認する方法は各社で異なっていました。発注元ごとに違うセキュリティチェックシートが届き、受け取る側は似た設問に何度も答える。その確認作業に共通の基準を持ち込むのが、この制度の役割です。

SCS評価制度の取得は、法律で義務付けられたものではありません。制度上は、2社間の取引契約等において、委託元が委託先に必要な★を提示し、対策の実施状況を確認する使い方が想定されています。

SCS評価制度は、大企業向けでも中小企業向けでもなく、サプライチェーンを構成するすべての企業等を対象としています。IPAは、リソースの限られる中小企業ほど活用による効果が大きいと説明していますが、中小企業専用の制度ではありません。

評価の対象は、企業のIT基盤です。メール、認証基盤、社内ネットワーク、業務端末、クラウド環境などが含まれます。一方で、製造設備を制御するOTシステムや、委託元へ納める製品そのものは、原則として直接の評価対象に含めないとされています。

取得するときは、自社のどの組織とIT基盤を適用範囲に含めるかを定めます。申請主体は原則として法人または個人事業主ですが、法人では、適用範囲の妥当性について専門家または評価機関の確認を受けたうえで、事業部単位やグループ単位などを申請主体にすることも想定されています。

現在具体化が進んでいるのは★3と★4です。★5は検討中の段階にあります。

	★3	★4	★5
想定する脅威	広く認知された脆弱性等を悪用する一般的なサイバー攻撃	供給停止等によりサプライチェーンに大きな影響をもたらす企業への攻撃、機密情報等の漏えいにより大きな影響をもたらす資産への攻撃	未知の攻撃を含めた高度なサイバー攻撃
要求事項数	26件	43件	今後検討
評価スキーム	専門家確認付き自己評価	第三者評価（実地審査・技術検証を含む）	第三者評価を想定（詳細は今後検討）
有効期間	1年	3年	今後検討

要求事項数は、2026年4月21日に公開された要求事項・評価基準によるものです。2026年9月11日の運営審議委員会では、要求事項・評価基準に軽微な修正を加えることが合意されており、10月下旬に公表予定の解説書とあわせて確認する必要があります。

上位の段階は、それ以下の段階で求められる事項を包括する関係にあります。このため、★3を先に取得していなければ★4を申請できない、という順序の決まりはありません。

★3は、すべてのサプライチェーン企業が最低限実装すべき対策として、基礎的な組織的対策とシステム防御策を中心に評価します。組織内の役割と責任が定義されているか、自社IT基盤への初期侵入や侵入拡大への対策が講じられているか、インシデント発生時に取引先を含む関係各所へ報告・共有する手順が定義されているか、といった水準です。

評価は自己評価が基本ですが、セキュリティ専門家による確認と署名を経る点が、単純なセルフチェックとの違いです。

★4は、初期侵入の防御にとどまらず、内外への被害拡大の防止や、取引先のデータ・システムの保護に寄与する水準を求めます。事業継続への取り組みや、取引先の対策状況の把握など、サプライチェーンにおける自社の役割に応じた対策も評価範囲です。

評価は評価機関による第三者評価で、文書確認に加えて実地審査と技術検証（インターネットに公開している機器への脆弱性検査など）が実施されます。

★5は、国際規格等に基づくマネジメントシステムの確立や、ベストプラクティスに基づく高度な対策を想定した段階です。具体的な要求事項・評価基準・評価方法・有効期間・開始時期は、現時点では検討中です。

「★3から始まるなら、★1・★2はどこにあるのか」という疑問を持つ方は多いはずです。制度構築方針では、★1・★2については、IPAが運営する「SECURITY ACTION」を参照するよう示されています。

	SECURITY ACTION	SCS評価制度 ★3・★4
仕組み	中小企業等が、情報セキュリティ対策に取り組むことを自ら宣言する制度（一つ星・二つ星）	要求事項・評価基準への適合を評価し、台帳に登録・公開する制度
誰が確認するか	自己宣言	★3は登録された専門家が確認・署名、★4は評価機関が第三者評価
SCSとの関係	★1・★2に当たる取り組みとして参照されている	★3・★4は別の手続き

SECURITY ACTIONを宣言していても、それだけで★3・★4を取得したことにはなりません。同じ制度の簡易版として扱わないよう注意してください。一方で、制度構築方針は、SCS評価制度をSECURITY ACTIONやISMS適合性評価制度などと相互補完的な制度として発展させる方針を示しています。

IPAの第3回運営審議委員会（2026年9月11日）の資料では、取得を希望する組織の想定スケジュールが示されています。以下は、その資料と制度構築方針にもとづく流れです。

1. 解説書などの公表後に、★3の要求事項・評価基準に沿って自己評価を記入する（必要に応じて社内外のセキュリティ専門家の支援を受けることも可能）
2. 確認を担う専門家を決める。社内の専門家に確認してもらう場合は、2027年1月以降に研修事業者の研修を受講し、試験に合格したうえでIPAに専門家として登録する。社外の専門家に頼む場合は、その専門家と契約する
3. セキュリティ専門家が記入内容を確認し、必要に応じて修正を含む助言を行い、提出内容を了承した場合に署名する
4. 2027年3月以降、経営層による自己適合宣誓を含め、IPAへ登録を申請する
5. 事務局の確認後、台帳に登録・公開される

★3・★4ともに、原則としてすべての評価基準への適合が求められます。制度構築方針では、不適合が見つかった場合でも、適切に是正し、専門家の了承を得られれば★3を取得できる考え方が示されています。

専門家には、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかの資格に加え、研修の受講とIPAへの登録が求められます。自社に該当者がいない場合の対応は、SCS評価制度★3の「専門家確認」とは？で扱っています。

1. ★4の要求事項・評価基準に沿って自己評価を記入する
2. 2027年1月以降、公表された評価機関と契約する（評価機関の公表は2026年12月下旬の予定）
3. 評価機関による文書確認・実地審査・技術検証を受ける。評価機関側でも研修の受講が必要なため、第三者評価は2027年2月頃からの想定
4. 評価機関から評価報告書を受け取る
5. 2027年3月以降、IPAへ★4の登録を申請する
6. 事務局の確認後、台帳に登録・公開される

制度構築方針では、実地審査はリモートでの実施も可能とされ、文書確認・実地審査・技術検証は、それぞれ1〜2日程度が現時点の想定として示されています。この日数には事前準備や報告書作成の期間は含まれません。

不適合が指摘された場合は、一定期間内に是正報告を提出し、評価機関の了承を得られれば★4を取得できる方向性が示されています。評価機関等の指定基準と指定手順は、2026年9月11日に公表されています。

IPAが公表しているのは登録料で、取得にかかる費用の一部です。料金は2026年9月18日に「SCS評価制度の料金設定について」として公表されました。

費用	金額	備考
★3の登録料	10,000円（1年分）	2028年4月1日以降の申請は20,000円
★4の登録料	60,000円（3年分）	2028年4月1日以降も同じ金額
SCSセキュリティ専門家の登録料	無料	登録の受付は2027年1月以降の予定

料金は消費税込みで、どの料金が適用されるかは申請日で決まります。

登録料とは別に、依頼内容や自社の対策状況に応じて費用が発生します。いずれも、公表資料に金額は示されていません。

場合	発生しうる費用
★3を社内の専門家が確認する場合	確認を担う社員が研修を受講し、専門家として登録するための費用（受講料など。専門家の登録料は無料）
★3を社外の専門家に依頼する場合	社外の専門家との契約による費用
★4	評価機関による第三者評価（実地審査・技術検証を含む）の費用。評価機関との契約による
★3・★4共通	要求事項を満たすために対策を追加・変更する場合の費用

時期	内容	状態
2026年3月27日	制度構築方針の公表	公表済み
2026年4月21日	IPAの制度サイト公開、★3・★4の要求事項・評価基準の公開	公表済み
2026年8月28日	基本規程、制度運営機関規則、評価機関指定規則など	公表済み
2026年9月11日	評価機関・技術検証事業者・研修事業者の指定基準と指定手順	公表済み
2026年9月18日	料金設定、評価機関等の新規申請の募集開始	公表済み
2026年10月下旬	評価用ガイド類（★3・★4の要求事項・評価基準の解説書、登録申請の手引など）	予定（10月13日時点で未公表）
2026年12月下旬	評価機関・技術検証事業者・研修事業者の指定と公表	予定
2027年1月以降	研修の提供、SCSセキュリティ専門家の登録と公表	予定
2027年2月頃	★4の第三者評価の開始	想定
2027年3月	★3・★4の申請受付の開始	予定
未定	★5の要求事項・評価方法・開始時期	検討中

2027年3月の申請受付開始は、IPAの第3回運営審議委員会の資料で示され、委員会で合意された予定です。IPAは、運営基盤の整備に遅れが出た場合は、受付開始時期を見直すとしています。経済産業省のページでは「2026年度末頃の制度開始（申請受付の開始）を目指します」と案内されています。

2026年10月13日時点で、次の点は公表されていません。

• ★3・★4の解説書と登録申請の手引の内容（要求事項・評価基準の軽微な修正もあわせて反映される見込み）
• 評価機関・技術検証事業者・研修事業者の名称
• ★5の内容全般
• ISMS適合性評価制度など既存制度との整合性の詳細

第三者評価や社外の専門家への依頼費用は、依頼先と契約内容に応じて確認します。IPAの公表する登録料とは別に見積もりを確認してください。

この記事の内容も、今後の公表によって更新する前提でお読みください。判断の基準は、IPA・経済産業省の一次情報に置くことをおすすめします。

背景にあるのは、サプライチェーンや委託先を経由したセキュリティインシデントが繰り返し起きていることです。攻撃者は企業を直接狙うだけでなく、取引先や委託先の環境を足がかりにして、別の企業へ侵入する手口も使います。IPAの「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位となり、8年連続で選ばれています。

発注側の企業は取引先へのセキュリティ確認を強めてきましたが、その結果、確認する側にもされる側にも負荷が積み上がっています。共通の評価制度があれば、個別の確認の一部を「★の取得状況を確認する」形に置き換えられる可能性があります。委託先管理の実務がどう変わりうるかは、SCS評価制度で委託先管理はどう変わる？で詳しく扱っています。

制度の詳細が固まりきっていない時期は、不確かな情報や、不安を過度に煽る売り込みが出回りやすい時期でもあります。経済産業省と内閣官房国家サイバー統括室は2026年4月、正しい情報はIPAから入手するよう注意喚起を出しています。「SCS対応」を掲げた勧誘を受けたときの確認の仕方は、SCS評価制度対応と言われたら何を確認すべきかにまとめています。

★3・★4の解説書は2026年10月下旬に公表される予定です。それを待つ間にできるのは、自社が今どんな対策を実施していて、それを裏付ける資料（規程、設定記録、対応履歴など）がどこにあるかを確認しておくことです。★3は自己評価が起点になるため、「対策はしているが、証跡がどこにあるか分からない」状態を解消しておくと、公表後に動き出しやすくなります。

自社が★を取得する側になるだけでなく、委託先の取得状況を確認する側になる企業もあります。委託先に★の取得を求める側になったとき、どの水準を、何のために求めるのかを考える際は、★3・★4を委託先へ求めるとき、何をどう依頼すればいいかも参考になります。

マモリスは、SCS評価制度の評価機関やセキュリティ専門家ではなく、★の取得を保証するものでもありません。自己評価や委託先確認を進める際の、回答・根拠資料・確認・差し戻し・履歴の管理に使えるチェックシート運用のプラットフォームです。証跡を残しながら確認作業を進める場面を支援します。

Q1. SCS評価制度の取得は義務ですか？

いいえ、法律上の義務ではありません。任意の制度です。ただし、制度上は、2社間の取引契約等において、委託元が委託先に必要な★を提示し、対策の実施状況を確認する使い方が想定されています。自社の取引関係や調達方針に照らして、必要性を確認することになります。

Q2. ★3と★4のどちらを目指すべきですか？

★3を取得していなくても★4を申請できるため、順番に取る必要はありません。自社がサプライチェーンの中でどんな位置にいるか、取引先からどの水準を期待されるかによって判断が分かれます。要求事項数（★3は26件、★4は43件）と評価スキームの違い（自己評価か第三者評価か）を踏まえ、解説書などの公表後に詳細を確認し、自社の対策状況や専門家・評価機関への依頼に必要な期間を踏まえて、申請時期を検討します。

Q3. いつから申請できますか？

申請受付は2027年3月に始まる予定です。登録申請の手引は2026年10月下旬に公表される予定で、10月13日時点では申請の受付は始まっていません。

Q4. ISMS認証を取得していれば、SCS評価制度は不要ですか？

ISMS認証を取得していても、現時点ではSCS評価制度の★3・★4を取得したものとは扱われません。制度構築方針はISMS適合性評価制度と相互補完的な制度として発展させる方針を示していますが、自動的な代替や申請の免除は公表されていません。ISMSの運用で整備した規程や証跡が★の要求事項への対応に使える可能性はありますが、個別に確認する必要があります。

Q5. SCS評価制度の取得にかかる費用はいくらですか？

IPAが公表しているのは、取得にかかる費用の一部である登録料です（★3は1万円／1年分、★4は6万円／3年分。2028年3月31日までの申請、税込）。登録料とは別に、依頼内容や自社の対策状況に応じて費用が発生します。★3を社内の専門家が確認する場合は研修受講などの費用、社外の専門家に依頼する場合はその契約による費用、★4では評価機関による第三者評価の費用が考えられます。要求事項を満たすために対策を追加する場合は、その費用もかかります。いずれも公表資料に金額は示されていません。

本記事は、以下の一次情報をもとに作成しています（2026年10月13日確認）。

• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜IPA
• SCS評価制度の詳細情報｜IPA
• 要求事項・評価基準｜IPA
• SCS評価制度 よくある質問｜IPA
• SCS評価制度の料金設定について｜IPA（PDF）
• 制度規程・委員会｜IPA
• 第3回SCS評価制度運営審議委員会 配付資料｜IPA（PDF）
• 第3回SCS評価制度運営審議委員会 議事要旨｜IPA（PDF）
• SECURITY ACTION セキュリティ対策自己宣言｜IPA
• 情報セキュリティ10大脅威 2026｜IPA
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜経済産業省
• 「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」を公表しました｜経済産業省
• SCS評価制度に関する注意喚起｜経済産業省