SCS評価制度の★3・★4の登録申請は、IPAのFAQによると2027年3月に受付を始める予定です。ただし、経済産業省は、制度運営基盤の整備状況などにより変更となる可能性があるとしています。この記事の内容は2026年11月6日に確かめたものです。
今日やることは、自社の期限を確かめることです。主要な取引先の購買や品質保証の窓口に、「SCS評価制度について、取引上いつ、どの段階を求める予定があるか」を聞きます。答えが「未定」でも、聞いた日と相手を記録します。
自社の期限になるのは、制度の開始日ではなく、取引先と約束する時期です。
いま公表されている予定は？
過去に済んだものと、これからのものを分けて並べます。
これからの予定は、IPAのFAQと料金のお知らせから取りました。★5については要求事項、評価スキーム、開始時期が検討中で、日付は出ていません。
予定を見るときの注意点が2つあります。古い記事では「2026年度末頃の開始」となっており、これは2027年3月と矛盾しません。また、「受付開始」は申請ができるようになる日で、誰もがその日に★を持っていなければならない日ではありません。
公表されていないこと
受付開始から登録までに何日かかるか、専門家や評価機関に頼む料金の相場は、私たちが確かめた範囲では公表されていません。手引や指定事業者の公開後に変わる情報なので、IPAのSCS評価制度のページで確かめてください。
2027年3月に間に合わせる必要はある？
取引先に求められていなければ、必要はありません。取得は任意で、基準を満たしていないことを理由に直ちに取引停止等が求められるものではないとされています。
経済産業省と国家サイバー統括室は、「今すぐ評価を取得しないと入札から除外される」といった勧誘に注意を呼びかけています。開始日を理由に急かされたときは、IPAの資料と取引先の方針で確かめます。
ただ、取引先が期限を切ってきたときに、短い期間では間に合わないことがあります。対策の実施に時間がかかる項目もあるからです。だから、取得するかどうかを決める前に、点検だけは始めておく価値があります。
自社の状況は3つに分かれます。
| 自社の状況 |
準備の組み方 |
| 取引先から時期と段階を言われた |
その時期から逆算する |
| 言われていないが、主要な取引先が大手 |
受付開始までに★3の点検を終える |
| 取引先からの話がなく、基本対策も途中 |
6か条と自社診断を先に終える |
月ごとに何をする？
下の表は、★3の取得を2027年の春以降に目指す会社を想定した、私たちの目安です。公式の期間ではありません。対策の進み具合で前後します。
| 時期 |
やること |
| 2026年11月 |
取引先に聞く。担当者を決める。適用範囲の案を作る |
| 2026年12月 |
★3の26件で自己点検。手引を読む。評価機関などの公開を確かめる |
| 2027年1月 |
確認を頼む専門家を探し始める。足りない項目の対策計画を作る |
| 2027年2月 |
規程と記録を整える。経営層に進み具合と費用を説明する |
| 2027年3月 |
専門家の確認の日程を調整する。受付開始の情報を確かめる |
| 2027年4月以降 |
不足する対策を終えたら確認を受け、自己適合宣言をして申請する |
11月は範囲と担当を決める
手引は11月末頃の公表予定ですが、待たずに進められることがあります。担当者と、経営層の承認者を決めることです。★3も★4も経営層による自己適合宣言が手続きに含まれるので、社長に話を通さないと最後に止まります。
適用範囲の案は、概要説明資料の図を見ながら、端末、サーバ、ネットワーク機器、クラウドを書き出します。製造業なら、工場の制御システムは直接の対象ではないので、事務系とどこでつながっているかを図にします。
たとえば、受発注の端末は事務棟、NC工作機械へのデータ転送用パソコンは工場にある会社の場合を考えます。転送用のパソコンがインターネットにつながっているか、事務系のネットワークとどう分かれているかで、範囲の説明が変わります。この図は取引先への説明にも使えます。
12月は26件を点検する
★3の要求事項は26件です。それぞれ「できている」「できているが記録がない」「できていない」に分けます。原則として全基準への適合が求められるので、「できていない」項目の数と対策の重さが、そのまま準備の期間になります。
2つ目の「記録がない」は、規程のひな形で短くできる場合があります。中小企業の情報セキュリティ対策ガイドライン第4.0版のサンプルが使えます。項目が多く管理しにくければ、チェックシート管理ツールの比較で方法を見てください。
1月以降は依頼先を決める
SCSセキュリティ専門家の公開と研修は2027年1月以降の予定です。つまり、★3の確認を制度に沿って頼める相手が確定するのは年明け以降です。
今のうちに依頼の候補を探すなら、聞くのは「SCSセキュリティ専門家として登録する予定か」です。取得の支援と確認を同じ相手に頼めるかは、公平性の要件が2026年12月下旬に公開予定なので、公開後に確かめます。候補の洗い出しにはセキュリティコンサルティングの比較が使えます。
中小企業向けには、お助け隊サービス（新類型）の実証事業もあります。実証期間は2026年9月頃から2027年9月頃までの約1年間の予定です。参加の条件は最新の案内で確かめてください。
★4を求められたら、いつから動く？
★3より早く動きます。要求事項は43件で、評価機関による文書確認、実地審査、技術検証（脆弱性検査）を受けます。
工程ごとの想定は1〜2日程度ですが、実地審査と技術検証の日数には事前準備と報告書の作成を含みません。不適合があれば、指摘から一定期間内（例として1か月以内）に是正を報告します。対策の期間に、これらの日程を足して逆算します。
評価機関の公開は12月下旬の予定なので、★4を求められそうな会社は、公開を確かめてから早めに問い合わせます。技術検証の前に自社の弱点を知っておきたい場合は、専門会社の脆弱性診断を先に受ける方法もあります。
取った後の予定は？
★3は有効期間が1年で、毎年の自己評価と専門家の確認が続きます。★4は有効期間が3年で、毎年の自己評価と、更新時の第三者評価があります。
料金のお知らせによると、★3の登録料は2028年3月31日までの申請が1万円、それ以降は2万円で、適用時期は申請日が基準です。差は1万円なので、この割引だけを理由に急ぐ必要はありません。
制度の中身はSCS評価制度の星3と星4の違い、ISMSとの使い分けはISMS認証が必要な会社と自己点検で足りる会社の違い、背景はサプライチェーン攻撃と取引への影響で扱っています。サプライチェーンのセキュリティ対策の一覧からほかの記事も読めます。
