SCS評価制度への対応を委託先へ依頼する方法

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は任意の制度で、委託先に対応を求めるかどうかは、発注側が自社の取引条件として決めます。制度は、2社間の取引契約などで、委託元が委託先に適切な段階（★）を示し、対策の実施状況を確認する使い方を想定しています。

この記事では、委託先へ対応を依頼する前に決めること、依頼文の例、準備状況を確認する回答欄の例、対応状況の記録の例を紹介します。制度の全体像や★3・★4の違い、費用は、SCS評価制度とは？で扱っています。本記事の制度の予定は、2026年10月15日にIPA・経済産業省の公表資料で確認したものです。

[目次]

この記事で区別すること
依頼する前に押さえる制度の状況
依頼する前に決めること
依頼文の例
回答欄の例
対応状況の記録の例
マモリスで最初に試すこと
よくある質問
参考情報

この記事で区別すること

依頼の内容には、性格の違うものが混ざります。この記事では次のように分けて書きます。

区分	例
制度上の要件	★3・★4を取得する組織が満たす要求事項・評価基準
公式資料が示す例	制度構築方針の「★3・★4適用の考え方（例）」
自社の取引条件	委託先に何を、いつまでに求めるか（発注側が委託先と協議して決める）
この記事の記入例	依頼文・回答欄・記録表の例（制度が定めた様式ではない）

依頼する前に押さえる制度の状況

2026年10月15日時点で、公表済みのことと予定は次のとおりです。

時期	内容	状態
2026年4月	★3・★4の要求事項・評価基準の公開	公表済み
2026年9月	評価機関等の指定基準・手順、登録料の公表	公表済み
2026年10月下旬	要求事項・評価基準の解説書などの評価用ガイド類	予定（10月15日時点で未公表）
2026年12月下旬	評価機関・技術検証事業者・研修事業者の指定と公表	予定
2027年3月	★3・★4の申請受付の開始	予定

★3・★4の申請受付は2027年3月の予定のため、2026年10月15日時点では、SCS評価制度の★3・★4の取得済み評価を確認する段階ではありません。今確認できるのは、委託先の準備状況です。★3・★4の取得済み評価の確認は、申請受付が始まり、委託先が登録された後になります。

依頼する前に決めること

どの委託先に、どの段階を求めるか

経済産業省と内閣官房国家サイバー統括室の「制度構築方針」は、取引先に求める段階を考える例として、次の流れを示しています。

前提：事業上重要な業務（受発注など）の多くがIT基盤に依存している取引先であること
事業継続リスク：取引先の事業が止まると、自社の事業継続上重要な業務に許容できない遅れなどが生じ得るか（判断で考えることの例：供給が止まったときの影響範囲、同業他社から調達できるか、在庫を確保しにくいか）
情報管理リスク：取引先へのサイバー攻撃などで、自社の機密情報などの管理に重大な影響が生じ得るか（判断で考えることの例：取引先が自社の重要な機密情報にアクセスできるか、自社のシステムやネットワークにアクセスできるか、その範囲）
調整の要素の例：直近でその取引先や同業他社でインシデントが起きているか、再委託先に自社にとって重要な事業者が含まれるか

この例では、前提に当てはまる取引先について、事業継続リスクか情報管理リスクのどちらかが高ければ★4、そうでなければ★3を割り当てる流れになっています。あわせて、必要に応じて求める段階や要求の水準を調整することも考えられるとしています。また、単発の調達や、市販品のように市場で代わりを見つけやすいものなど、重要度が相対的に高くない調達は、この流れの対象から外すことも考えられるとしています。

これは公式資料が示す例で、すべての委託先に何らかの★を求めるという決まりではありません。どの委託先に、どの段階を、いつまでに求めるかは、この例を参考に、委託先と協議したうえで自社の取引条件として決めます。

何を確認するか

★3・★4の要求事項・評価基準は公開されています。委託先に準備状況を聞くときは、要求事項・評価基準を確認したか、どの段階の取得を予定しているか、不足している対策をどう補う計画か、を確認するのが出発点になります。細かい判断のしかたは、10月下旬に予定されている解説書などの公表後に確認します。

再委託先の扱い

制度構築方針は、再委託先は委託元から見た直接の管理対象にはならず、直接の委託先を通じて必要に応じて管理することを想定しています。再委託先に制度を適用するかどうかは、直接の委託先が判断します。

なお、★4の要求事項には、重要な取引先のセキュリティ対策状況を把握すること（自社の重要な機密情報を共有する、事業継続上重要な位置づけを持つ、取引先の環境から自社の内部システムにアクセスできる、のいずれかに当たる取引先を対象に、年1回以上）が含まれています。委託先が★4を取得する場合、その委託先から見て要求事項の対象となる重要な取引先について、対策状況を把握します。再委託先も、その条件に該当する場合に対象となります。

費用と期限の話し合い方

経済産業省と公正取引委員会は、発注側が取引先にサイバーセキュリティ対策の実施を要請すること自体は、直ちに独占禁止法上の問題になるものではないとしています。ただし、要請の方法や内容によっては、優越的地位の濫用として問題になることがあると説明しています。例として、次のような行為が挙げられています。

対策によって取引の相手方に生じるコストの上昇を考慮せず、一方的に著しく低い対価を定めること
合理的な必要性がないのに、自社が指定する商品の購入や役務の利用を強制すること

違反を防ぐためには、価格の交渉の機会を設け、対策の内容と費用負担のあり方を相手と十分に協議することが望まれるとしています。両者は、SCS評価制度の★4に相当する対策を要請する場合を想定した事例と解説も公表しています。なお、下請法は改正により、2026年1月1日から「中小受託取引適正化法（取適法）」として施行されています。

「SCS評価制度対応」をうたう売り込みへの注意や、委託元が過度な要求をしないための考え方は、SCS評価制度対応と言われたら何を確認すべきかで扱っています。

委託先管理の運用全体が今どの程度回っているかを点検したい場合は、次の診断も使えます。

無料・登録不要・約3分

SCS評価制度を見据えて、
委託先確認の運用を見直したい方へ

SCS評価制度への対応を焦る前に、まずは現在のチェックシート運用を見直すことが重要です。回答回収、差し戻し、証跡資料、前回回答、確認済み管理がどの程度整っているかを確認してみませんか。

依頼文の例

自社の取引条件として、委託先に準備状況の回答を依頼する文例です。この記事で作った一例で、制度上の義務を伝える文書ではありません。

件名：SCS評価制度への対応状況についてのご回答のお願い

当社では、委託先管理の方針として、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の要求事項・評価基準を参考に、委託先の皆さまのセキュリティ対策の状況を確認しています。

つきましては、添付の確認シートに、現時点の準備状況をご回答ください。
・回答期限：○年○月○日
・期限までのご回答が難しい場合は、下記の担当までご連絡ください。

本依頼の時点では、SCS評価制度の★3・★4の申請受付は始まっていないため（2027年3月開始予定）、★3・★4の取得済み評価の提出をお願いするものではありません。今後、取得をお願いする場合は、求める段階と時期、対策にかかる費用の扱いについて、別途ご相談のうえで決めさせていただきます。特定の製品やサービスの導入をお願いするものでもありません。

担当：○○部 ○○（連絡先）

回答欄の例

準備状況を聞く設問と、申請受付の開始後に追加する設問を分けた例です。該当しない場合に答えられるよう、選択肢に「対象外」や「検討中」を入れておきます。

区分	設問の例	回答形式の例
準備状況	公開されている★3・★4の要求事項・評価基準を確認しましたか	選択式（確認した／確認中／未確認）
準備状況	取得を予定している段階と、予定の時期を教えてください	選択式（★3／★4／予定なし／検討中）と記入欄
★3を検討している場合	★3の専門家確認を、社内・社外のどちらで受ける予定ですか	選択式（社内／社外／未定／★3を検討していない）
準備状況	要求事項に対して不足している対策がある場合、その対応計画を教えてください	記入欄、資料の添付
再委託先	当社の業務に関わる再委託先がある場合、その対策状況をどのように確認していますか	記入欄（再委託先がない場合は「なし」）
取得済み（申請受付の開始後に追加）	取得した段階、登録日、有効期限	選択式・記入欄

★3の専門家確認の要件や、社内に該当者がいない場合の選択肢は、SCS評価制度★3の「専門家確認」とは？で解説しています。

対応状況の記録の例

委託先ごとの状況を残す表の例です（委託先・内容は架空）。

委託先	求める段階（協議中の案）	案の理由	依頼日	回答日	準備状況	次の確認
架空C社	★4	自社の基幹システムに接続している。代わりの調達先がない	2026/11/4	2026/11/25	★4を予定。評価機関は未定	2027年1月（評価機関の公表後）
架空D社	★3	重要な受発注業務がIT基盤に依存している。機密情報へのアクセスはなく、供給停止時も代替調達により許容範囲内で業務を継続できる想定	2026/11/4	2026/11/20	★3を検討中。専門家確認は社外を予定	2027年1月

「求める段階」は、委託先との協議で決まるまでは案として記録し、決まった時点で取引条件として更新します。

マモリスで最初に試すこと

委託先への依頼と回答の確認、記録を一か所で扱いたい場合は、チェックシートのツールで試す方法があります。マモリスは、SCS評価制度の評価機関やセキュリティ専門家ではなく、★の取得を代わりに行ったり、保証したりするものではありません。委託先はログイン不要・無料で回答できます。

無料登録し、回答欄の例の「準備状況」の設問でチェックシートを作る。取得予定は選択式と記入欄、対応計画は資料の添付も受け付ける設問にする
確認対象として選んだ委託先1社に、依頼文を添えて回答を依頼する
届いた回答と添付資料を確認し、記録表の「準備状況」「次の確認」に書き写す。説明が足りない点は、コメントを付けて差し戻す

年1回などの定期的な確認には、繰り返し依頼の設定を使えます。申請受付が始まった後は、「取得済み」の設問を追加します。

マモリスは、Excelやメールでやり取りされていた
チェックシートの登録、配布、回収、管理を
すべてオンラインで完結させるクラウドサービスです

無料ではじめる

よくある質問

Q1. SCS評価制度の取得は、法律で義務付けられていますか？

任意の制度です。評価を取得していないことで商取引が規制されるものではありません。制度は、2社間の取引契約などで、委託元が委託先に適切な段階を示す使い方を想定しています。

Q2. すべての委託先に★4を求めてもよいですか？

制度構築方針は、事業継続リスクと情報管理リスクを考えて取引先ごとに段階を割り当てる例を示しています。一律に求めるのではなく、委託の内容、システムとの接続、扱う情報などを踏まえ、委託先と協議して決めます。要請の方法や費用の扱いによっては、独占禁止法や取適法上の問題が生じ得るため、価格交渉の機会を設けます。

Q3. 今すぐ委託先に★の取得を求めるべきですか？

★3・★4の申請受付は2027年3月に始まる予定で、2026年10月15日時点では、SCS評価制度の★3・★4の取得済み評価を確認する段階ではありません。今は準備状況を確認し、求める段階と時期は、解説書などの公表後に委託先と協議して決めるのが現実的です。

Q4. 自社の独自のチェックシートとSCS評価制度は、どちらで確認すればよいですか？

公開されている要求事項・評価基準を共通の参考にしつつ、自社の委託内容に固有の確認項目を補う進め方があります。申請受付の開始後は、取得済みの評価の確認と、補う項目の確認を分けて扱います。

Q5. マモリスでSCS評価制度の取得までできますか？

できません。取得申請、専門家確認、第三者評価、技術検証を代わりに行うものではありません。委託先への確認の依頼、回答の回収、確認、差し戻し、記録の保管を扱うツールです。

参考情報

本記事は、以下の一次情報をもとに作成しています（2026年10月15日確認）。

この記事の執筆者

マモリス編集部

セキュリティチェックや委託先管理、品質・安全管理など、現場のチェック業務に役立つ情報を発信しています。